Decisione di esecuzione (UE) 2022/483 della Commissione del 21 marzo 2022 che modifica la decisione di esecuzione (UE) 2021/1073 che stabilisce specifiche tecniche e norme per l’attuazione del quadro di fiducia per il certificato COVID digitale dell’UE istituito dal regolamento (UE) 2021/953 del Parlamento europeo e del Consiglio (Testo rilevante ai fini del SEE)

visto il trattato sul funzionamento dell’Unione europea,

visto il regolamento (UE) 2021/953 del Parlamento europeo e del Consiglio, del 14 giugno 2021, su un quadro per il rilascio, la verifica e l’accettazione di certificati interoperabili di vaccinazione, di test e di guarigione in relazione alla COVID-19 (certificato COVID digitale dell’UE) per agevolare la libera circolazione delle persone durante la pandemia di COVID-19¹, in particolare l’articolo 9, paragrafo 1,

Il regolamento (UE) 2021/953 stabilisce il certificato COVID digitale dell’UE, il quale comprova che il titolare ha ricevuto un vaccino anti COVID-19, un risultato negativo a un test o è guarito dall’infezione, con lo scopo di agevolare l’esercizio del diritto di libera circolazione durante la pandemia di COVID-19 da parte dei loro titolari.

Il regolamento (UE) 2021/954 del Parlamento europeo e del Consiglio² dispone che gli Stati membri applichino le norme stabilite nel regolamento (UE) 2021/953 ai cittadini di paesi terzi che non rientrano nell’ambito di applicazione di tale regolamento ma che soggiornano regolarmente o risiedono nel loro territorio e che sono autorizzati a spostarsi in altri Stati membri ai sensi del diritto dell’Unione.

A norma della raccomandazione (UE) 2022/290 del Consiglio che modifica la raccomandazione (UE) 2020/912 relativa alla restrizione temporanea dei viaggi non essenziali verso l’UE e all’eventuale revoca di tale restrizione³, i cittadini di paesi terzi che intendono effettuare un viaggio non essenziale da un paese terzo verso l’Unione dovrebbero essere in possesso di una prova valida della vaccinazione o della guarigione, come un certificato COVID digitale dell’UE o un certificato COVID-19 rilasciato da un paese terzo contemplato da un atto di esecuzione adottato a norma dell’articolo 8, paragrafo 2, del regolamento (UE) 2021/953.

Affinché il certificato COVID digitale dell’UE sia operativo in tutta l’Unione, la Commissione ha adottato la decisione di esecuzione (UE) 2021/10734, che stabilisce specifiche tecniche e norme per compilare, rilasciare in modo sicuro e verificare i certificati COVID digitali dell’UE, garantire la protezione dei dati personali, stabilire la struttura comune dell’identificativo univoco del certificato e creare un codice a barre valido, sicuro e interoperabile.

Conformemente all’articolo 4 del regolamento (UE) 2021/953, la Commissione e gli Stati membri dovevano istituire e mantenere un quadro di fiducia per il certificato COVID digitale dell’UE. Tale quadro di fiducia è in grado di sostenere lo scambio bilaterale degli elenchi dei certificati revocati contenenti gli identificativi univoci dei certificati revocati.

Il 1o luglio 2021 è diventato operativo il gateway per i certificati COVID digitali dell’UE (il «gateway»), che costituisce la parte centrale del quadro di fiducia e consente lo scambio sicuro e affidabile tra gli Stati membri delle chiavi pubbliche utilizzate per la verifica dei certificati COVID digitali dell’UE.

In seguito al successo della loro introduzione su larga scala, i certificati COVID digitali dell’UE sono diventati un bersaglio per i truffatori che cercano modi per rilasciare certificati fraudolenti. Tali certificati fraudolenti devono pertanto essere revocati. Inoltre alcuni certificati COVID digitali dell’UE possono essere revocati dagli Stati membri a livello nazionale per motivi medici e di salute pubblica, ad esempio perché una partita di vaccini somministrati è successivamente risultata difettosa.

Mentre il sistema del certificato COVID digitale dell’UE è in grado di smascherare immediatamente i certificati falsificati, i certificati autentici rilasciati illecitamente sulla base di documenti falsi, a seguito di un accesso non autorizzato o con intento fraudolento non possono essere individuati negli altri Stati membri a meno che gli elenchi dei certificati revocati generati a livello nazionale non siano scambiati tra gli Stati membri. Lo stesso vale per i certificati che sono stati revocati per motivi medici e di salute pubblica. Il mancato rilevamento, da parte delle applicazioni di verifica degli Stati membri, dei certificati revocati da altri Stati membri costituisce una minaccia per la salute pubblica e indebolisce la fiducia dei cittadini nel sistema del certificato COVID digitale dell’UE.

Come indicato al considerando 19 del regolamento (UE) 2021/953, per motivi medici e di salute pubblica e in caso di certificati rilasciati o ottenuti fraudolentemente, è opportuno che gli Stati membri possano stilare e scambiare con altri Stati membri, ai fini di tale regolamento, elenchi di revoca dei certificati per casi limitati, in particolare per quanto riguarda i certificati rilasciati erroneamente, come conseguenza di una frode o a seguito della sospensione di una partita di vaccino anti COVID-19 risultata difettosa. Gli Stati membri non dovrebbero poter revocare i certificati rilasciati dagli altri Stati membri. Gli elenchi di revoca dei certificati scambiati non dovrebbero contenere dati personali diversi da quelli identificativi unici dei certificati. In particolare non dovrebbero includere il motivo per cui un certificato è stato revocato.

Oltre alle informazioni generali sulla possibilità di revoca dei certificati e sui possibili motivi di tale misura, i titolari dei certificati revocati dovrebbero essere tempestivamente informati della revoca dei loro certificati e dei motivi della revoca dall’autorità di rilascio responsabile. In alcune circostanze, in particolare nel caso dei certificati COVID digitali dell’UE rilasciati in formato cartaceo, rintracciare il titolare e informarlo della revoca potrebbe tuttavia risultare impossibile o comportare uno sforzo sproporzionato. Gli Stati membri non dovrebbero raccogliere dati personali aggiuntivi non necessari per il processo di rilascio solo per poter informare i titolari in caso di revoca dei loro certificati.

È pertanto necessario rafforzare il quadro di fiducia per il certificato COVID digitale dell’UE sostenendo lo scambio bilaterale tra gli Stati membri degli elenchi dei certificati revocati.

La presente decisione non riguarda la sospensione temporanea dei certificati per casi di uso nazionale che esulano dall’ambito di applicazione del regolamento sul certificato COVID digitale dell’UE, ad esempio perché il titolare di un certificato di vaccinazione è risultato positivo al SARS-CoV-2. Essa non pregiudica le procedure stabilite per verificare le regole operative per la validità dei certificati.

Sebbene siano tecnicamente possibili diverse architetture per lo scambio degli elenchi dei certificati revocati, la più appropriata consiste nello scambiarli tramite il gateway, in quanto limita gli scambi di dati al quadro di fiducia già istituito e, rispetto a un sistema alternativo peer-to-peer, riduce al minimo il numero dei possibili punti di vulnerabilità come pure degli scambi tra Stati membri.

Il gateway per i certificati COVID digitali dell’UE dovrebbe di conseguenza essere rafforzato per sostenere lo scambio sicuro dei certificati COVID digitali dell’UE revocati ai fini della loro verifica sicura tramite il gateway. A tale riguardo dovrebbero essere attuate misure di sicurezza adeguate per proteggere i dati personali trattati nel gateway. Per garantire un livello elevato di protezione, gli Stati membri dovrebbero pseudonimizzare gli attributi dei certificati mediante un hash irreversibile da includere negli elenchi dei certificati revocati. L’identificativo univoco dovrebbe quindi essere considerato un dato pseudonimizzato per i trattamenti effettuati nel quadro del gateway.

È inoltre opportuno stabilire disposizioni sul ruolo degli Stati membri e della Commissione per quanto riguarda lo scambio degli elenchi dei certificati revocati.

Il trattamento dei dati personali dei titolari dei certificati, effettuato sotto la responsabilità degli Stati membri o di altre organizzazioni pubbliche o organismi ufficiali degli Stati membri, dovrebbe essere realizzato conformemente al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio⁵. Il trattamento dei dati personali effettuato sotto la responsabilità della Commissione allo scopo di gestire e garantire la sicurezza del gateway per i certificati COVID digitali dell’UE dovrebbe ottemperare alle disposizioni del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio⁶.

Gli Stati membri, rappresentati dalle autorità nazionali o dagli organismi ufficiali designati, determinano congiuntamente le finalità e i mezzi del trattamento dei dati personali tramite il gateway per i certificati COVID digitali dell’UE e sono pertanto contitolari del trattamento. L’articolo 26 del regolamento (UE) 2016/679 prevede l’obbligo per i contitolari del trattamento dei dati personali di determinare in modo trasparente le rispettive responsabilità in merito all’osservanza degli obblighi derivanti da detto regolamento. Esso prevede inoltre la possibilità che tali responsabilità siano determinate dal diritto dell’Unione o dello Stato membro cui i titolari del trattamento sono soggetti. L’accordo di cui all’articolo 26 dovrebbe essere incluso nell’allegato III della presente decisione.

Il regolamento (UE) 2021/953 attribuisce alla Commissione il compito di sostenere tali scambi. Il modo più appropriato per adempiere tale mandato consiste nel raccogliere per conto degli Stati membri gli elenchi dei certificati revocati presentati. Alla Commissione dovrebbe pertanto essere assegnato un ruolo di responsabile del trattamento per sostenere tali scambi agevolando lo scambio degli elenchi tramite il gateway per i certificati COVID digitali dell’UE per conto degli Stati membri.

La Commissione, in quanto fornitrice di soluzioni tecniche e organizzative per il gateway per i certificati COVID digitali dell’UE, procede al trattamento dei dati personali contenuti negli elenchi dei certificati revocati nel gateway per conto degli Stati membri quali contitolari del trattamento. Agisce pertanto in qualità di responsabile del trattamento. A norma dell’articolo 28 del regolamento (UE) 2016/679 e dell’articolo 29 del regolamento (UE) 2018/1725, i trattamenti da parte di un responsabile del trattamento devono essere disciplinati da un contratto o da un atto giuridico, a norma del diritto dell’Unione o di uno Stato membro, che vincoli il responsabile del trattamento al titolare del trattamento e che specifichi i trattamenti. È pertanto necessario stabilire norme relative ai trattamenti da parte della Commissione in qualità di responsabile del trattamento.

Il compito di sostegno della Commissione non comporta la costituzione di una banca dati centralizzata di cui al considerando 52 del regolamento (UE) 2021/953. Tale divieto è inteso a evitare la creazione di un archivio centrale di tutti i certificati COVID digitali dell’UE rilasciati e non impedisce agli Stati membri di scambiare gli elenchi dei certificati revocati, possibilità espressamente prevista all’articolo 4, paragrafo 2, del regolamento (UE) 2021/953.

Nell’effettuare il trattamento dei dati personali nel quadro del gateway per i certificati COVID digitali dell’UE, la Commissione è vincolata dalla sua decisione (UE, Euratom) 2017/467.

L’articolo 3, paragrafo 10, del regolamento (UE) 2021/953 consente alla Commissione di adottare atti di esecuzione che stabiliscono che i certificati COVID-19 rilasciati da un paese terzo con il quale l’Unione e gli Stati membri hanno concluso un accordo sulla libera circolazione delle persone che consente alle parti contraenti di limitare in modo non discriminatorio la libera circolazione per motivi di sanità pubblica e che non contiene un meccanismo di incorporazione degli atti giuridici dell’Unione sono equivalenti a quelli rilasciati in conformità di tale regolamento. Su tale base l’8 luglio 2021 la Commissione ha adottato la decisione di esecuzione (UE) 2021/11268 che stabilisce l’equivalenza dei certificati COVID-19 rilasciati dalla Svizzera.

L’articolo 8, paragrafo 2, del regolamento (UE) 2021/953 consente alla Commissione di adottare atti di esecuzione che stabiliscono che i certificati COVID-19 rilasciati da un paese terzo secondo norme e sistemi tecnologici che sono interoperabili con il quadro di fiducia per il certificato COVID digitale dell’UE, che consentono la verifica dell’autenticità, della validità e dell’integrità del certificato e che contengono i dati di cui all’allegato del regolamento, devono essere considerati equivalenti ai certificati COVID digitali dell’UE, al fine di agevolare l’esercizio del diritto di libera circolazione all’interno dell’Unione da parte dei loro titolari. Come indicato al considerando 28 del regolamento (UE) 2021/953, l’articolo 8, paragrafo 2, di tale regolamento riguarda l’accettazione dei certificati rilasciati da paesi terzi ai cittadini dell’Unione e ai loro familiari. La Commissione ha già adottato diversi atti di esecuzione di questo tipo.

Onde evitare lacune nell’individuazione dei certificati revocati contemplati da tali atti di esecuzione, i paesi terzi i cui certificati COVID-19 sono stati considerati equivalenti a norma dell’articolo 3, paragrafo 10, e dell’articolo 8, paragrafo 2, del regolamento (UE) 2021/953 dovrebbero anche poter presentare i pertinenti elenchi dei certificati revocati al gateway per i certificati COVID digitali dell’UE.

Alcuni cittadini di paesi terzi titolari di certificati COVID-19 revocati rilasciati da un paese terzo i cui certificati COVID-19 sono stati considerati equivalenti a norma del regolamento (UE) 2021/953 possono non rientrare nell’ambito di applicazione di tale regolamento o del regolamento (UE) 2021/954 nel momento in cui un elenco dei certificati revocati comprendente i loro certificati è generato dal paese terzo in questione. Nel momento in cui un elenco dei certificati revocati è generato da un determinato paese terzo non è tuttavia possibile sapere se tutti i cittadini di paesi terzi titolari dei certificati revocati rientrino nell’ambito di applicazione di uno dei suddetti regolamenti. Non è quindi possibile escludere le persone che non rientrano nell’ambito di applicazione di uno dei due regolamenti nel momento in cui sono generati gli elenchi dei certificati revocati di tali paesi e qualsiasi tentativo in tal senso comporterebbe per gli Stati membri l’impossibilità di individuare i certificati revocati detenuti da cittadini di paesi terzi che viaggiano verso l’Unione per la prima volta. Nondimeno anche i certificati revocati di tali cittadini di paesi terzi verrebbero verificati dagli Stati membri quando i loro titolari effettuano un viaggio verso l’Unione e, successivamente, quando viaggiano all’interno dell’Unione. I paesi terzi i cui certificati sono stati considerati equivalenti a norma del regolamento (UE) 2021/953 non partecipano alla governance del gateway e pertanto non si qualificano come contitolari del trattamento.

Il certificato COVID digitale dell’UE si è inoltre dimostrato l’unico sistema di certificato COVID-19 operativo a livello internazionale su larga scala. Ha pertanto assunto un’importanza crescente nel mondo e ha contribuito ad affrontare la pandemia a livello internazionale, facilitando e rendendo sicuri gli spostamenti tra un paese e l’altro e favorendo la ripresa globale. Nel processo di adozione di altri atti di esecuzione a norma dell’articolo 8, paragrafo 2, del regolamento (UE) 2021/953 emergono nuove esigenze relative alla compilazione del certificato COVID digitale dell’UE. In base alle norme di cui alla decisione di esecuzione (UE) 2021/1073, il cognome è un campo obbligatorio nei contenuti tecnici del certificato. È necessario modificare tale requisito per promuovere l’inclusione e l’interoperabilità con altri sistemi, dato che in alcuni paesi terzi vi sono persone prive di cognome. Nei casi in cui non possa essere suddiviso in due parti, il nome del titolare del certificato dovrebbe essere inserito nello stesso campo (cognome o nome) del certificato COVID digitale dell’UE in cui sarebbe indicato nel documento di viaggio o d’identità del titolare. Tale modifica consentirebbe inoltre un migliore allineamento dei contenuti tecnici dei certificati alle specifiche attualmente in vigore sui documenti di viaggio a lettura ottica pubblicate dall’Organizzazione per l’aviazione civile internazionale.

È pertanto opportuno modificare di conseguenza la decisione di esecuzione (UE) 2021/1073.

Conformemente all’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725, il Garante europeo della protezione dei dati è stato consultato e ha formulato il suo parere l’11 marzo 2022.

Al fine di concedere agli Stati membri e alla Commissione tempo sufficiente per attuare le modifiche necessarie a consentire lo scambio degli elenchi dei certificati revocati tramite il gateway per i certificati COVID digitali dell’UE, la presente decisione dovrebbe iniziare ad applicarsi quattro settimane dopo l’entrata in vigore.

Le misure previste dalla presente decisione sono conformi al parere del comitato istituito a norma dell’articolo 14 del regolamento (UE) 2021/953,