Agencia Estatal Boletín Oficial del Estado

(1)

El Reglamento (UE) 2021/953 establece el certificado COVID digital de la UE, que acredita que una persona ha recibido una vacuna contra la COVID-19, un resultado negativo de una prueba diagnóstica o se ha recuperado de la infección, con el fin de facilitar el ejercicio, por parte de los titulares, de su derecho a la libre circulación durante la pandemia de COVID-19.

(2)

El Reglamento (UE) 2021/954 del Parlamento Europeo y del Consejo (2) establece que los Estados miembros deben aplicar las normas establecidas en el Reglamento (UE) 2021/953 a los nacionales de terceros países que no entren en el ámbito de aplicación de dicho Reglamento pero se encuentren o residan legalmente en su territorio y tengan derecho a viajar a otros Estados miembros de conformidad con el Derecho de la Unión.

(3)

La Recomendación (UE) 2022/290 del Consejo (3) establece que los nacionales de terceros países que deseen realizar viajes no esenciales desde un tercer país a la Unión deben estar en posesión de una prueba válida de vacunación o recuperación, como un certificado COVID digital de la UE o un certificado COVID-19 expedido por un tercer país cubierto por un acto de ejecución adoptado con arreglo al artículo 8, apartado 2, del Reglamento (UE) 2021/953.

(4)

Para que el certificado COVID digital de la UE funcione en toda la Unión, la Comisión adoptó la Decisión de Ejecución (UE) 2021/1073 (4) por la que se establecen especificaciones técnicas y normas que permitan cumplimentar, expedir y verificar de forma segura los certificados COVID digitales, garantizar la protección de los datos personales, establecer una estructura común del identificador único del certificado y expedir un código de barras válido, seguro e interoperable.

(5)

De conformidad con el artículo 4 del Reglamento (UE) 2021/953, la Comisión y los Estados miembros debían establecer y mantener un marco de confianza para el certificado COVID digital de la UE. El marco de confianza puede apoyar el intercambio bilateral de listas de revocación de certificados que contengan los identificadores únicos de los certificados revocados.

(6)

El 1 de julio de 2021 entró en funcionamiento la pasarela del certificado COVID digital de la UE (en lo sucesivo, «pasarela»), que es la parte central del marco de confianza y que permite el intercambio seguro y fiable entre los Estados miembros de las claves públicas utilizadas para verificar los certificados COVID digitales de la UE.

(7)

Debido al éxito y la gran escala de su implantación, los certificados COVID digitales de la UE se han convertido en un objetivo para los defraudadores que intentan encontrar formas de expedir certificados fraudulentos. Por lo tanto, esos certificados fraudulentos deben ser revocados. Además, algunos certificados COVID digitales de la UE pueden ser revocados por los Estados miembros a nivel nacional por motivos médicos y de salud pública, por ejemplo, porque se haya constatado posteriormente que un lote de vacunas administradas era defectuoso.

(8)

Si bien el sistema de certificados COVID digitales de la UE tiene la capacidad de revelar inmediatamente aquellos que son falsificados, los certificados auténticos expedidos ilegalmente sobre la base de documentación falsa, acceso no autorizado o intención fraudulenta no pueden detectarse en otros Estados miembros a menos que los Estados miembros intercambien las listas de certificados revocados generados a nivel nacional. Lo mismo se aplica a los certificados que han sido revocados por razones médicas y de salud pública. El hecho de que las solicitudes de verificación de los Estados miembros no detecten los certificados revocados por otros Estados miembros supone una amenaza para la salud pública y socava la confianza de los ciudadanos en el sistema de certificados COVID digitales de la UE.

(9)

Como se señala en el considerando 19 del Reglamento (UE) 2021/953, los Estados miembros deben, por motivos médicos y de salud pública y en el caso de certificados expedidos u obtenidos de forma fraudulenta, poder establecer e intercambiar con otros Estados miembros, a los efectos de dicho Reglamento, listas de revocación de certificados en casos limitados, en particular en lo que respecta a los certificados que se hayan expedido de forma incorrecta, fraudulenta o tras la suspensión de un lote defectuoso de vacunas contra la COVID-19. Los Estados miembros no deben tener la posibilidad de revocar los certificados expedidos por otros Estados miembros. Las listas de revocación de certificados intercambiadas no deberán contener ningún dato personal distinto del identificador único de certificado. En particular, no deben incluir el motivo por el que se ha revocado un certificado.

(10)

Además de la información general sobre la posibilidad de revocación de certificados y los posibles motivos para ello, los titulares de certificados revocados deben ser informados sin demora por la autoridad expedidora responsable acerca de la revocación de sus certificados y de los motivos de la misma. Sin embargo, en determinados casos, y en particular en el caso de los certificados COVID digitales de la UE expedidos en papel, localizar al titular e informarle de la revocación puede resultar imposible o implicar un esfuerzo desproporcionado. Los Estados miembros no deben recopilar datos personales adicionales que no sean necesarios para el proceso de expedición únicamente con el objetivo de poder informar a los titulares de certificados en caso de revocación de estos.

(11)

Por tanto, es necesario mejorar el marco de confianza del certificado COVID digital de la UE apoyando el intercambio bilateral de listas de revocación de certificados entre los Estados miembros.

(12)

La presente Decisión no cubre la suspensión temporal de certificados para casos de uso nacional fuera del ámbito de aplicación del Reglamento sobre el certificado COVID digital de la UE, por ejemplo porque el titular de un certificado de vacunación haya dado positivo en una prueba diagnóstica del SARS-CoV-2. Esto se entiende sin perjuicio de los procedimientos establecidos para la comprobación de las normas comerciales relativas a la validez de los certificados.

(13)

Aunque, desde un punto de vista técnico, son viables diferentes arquitecturas para el intercambio de listas de revocación, la forma más adecuada de hacerlo es a través de la pasarela, ya que limita los intercambios de datos al marco de confianza ya establecido y minimiza el número tanto de posibles puntos de fallo como de intercambios entre Estados miembros, en comparación con un sistema alternativo entre pares.

(14)

En consecuencia, debe mejorarse la pasarela del certificado COVID digital de la UE para apoyar el intercambio seguro de certificados COVID digitales de la UE revocados a efectos de su verificación segura a través de la pasarela. A este respecto, deben aplicarse medidas de seguridad adecuadas para proteger los datos personales tratados en la pasarela. Para garantizar un elevado nivel de protección, los Estados miembros deben seudonimizar los atributos del certificado mediante un hash irreversible que se incluya en las listas de revocación. De hecho, el identificador único debe considerarse como dato seudonimizado para las operaciones de procesamiento realizadas en el marco de la pasarela.

(15)

Además, deben establecerse disposiciones adicionales relativas a la función de los Estados miembros y de la Comisión en lo que respecta al intercambio de listas de revocación de certificados.

(16)

El tratamiento de los datos personales de los titulares de certificados, efectuado bajo la responsabilidad de los Estados miembros o de otras organizaciones públicas u organismos oficiales de los Estados miembros, debe llevarse a cabo de conformidad con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (5). El tratamiento de datos personales bajo la responsabilidad de la Comisión con el fin de gestionar y garantizar la seguridad de la pasarela del certificado COVID digital de la UE debe cumplir lo dispuesto en el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (6).

(17)

Los Estados miembros, representados por las autoridades nacionales o los organismos oficiales designados, determinan conjuntamente el propósito y los medios de tratamiento de los datos personales a través de la pasarela del certificado COVID digital de la UE, por lo que son corresponsables del tratamiento. El artículo 26 del Reglamento (UE) 2016/679 impone a los corresponsables de las operaciones de tratamiento de datos personales la obligación de determinar de manera transparente sus responsabilidades respectivas en el cumplimiento de las obligaciones establecidas en dicho Reglamento. También contempla la posibilidad de que tales responsabilidades se rijan por el Derecho de la Unión o de los Estados miembros que se les aplique a ellos. El acuerdo a que se refiere el artículo 26 debe incluirse en el anexo III de la presente Decisión.

(18)

El Reglamento (UE) 2021/953 encomienda a la Comisión la tarea de apoyar dichos intercambios. La forma más adecuada de cumplir este mandato es recopilar las listas de revocación de certificados presentadas en nombre de los Estados miembros. Por consiguiente, debe asignarse a la Comisión una función de encargada del tratamiento de datos para apoyar estos intercambios facilitando el intercambio de listas a través de la pasarela del certificado COVID digital de la UE en nombre de los Estados miembros.

(19)

La Comisión, en su calidad de proveedora de soluciones técnicas y organizativas para la pasarela del certificado COVID digital de la UE, trata los datos personales de las listas de revocación en la pasarela en nombre de los Estados miembros en tanto que corresponsables del tratamiento. Por lo tanto, actúa como encargada del tratamiento de dichos datos. Según el artículo 28 del Reglamento (UE) 2016/679 y el artículo 29 del Reglamento (UE) 2018/1725, el tratamiento por el encargado debe regirse por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros que vincule al encargado respecto del responsable del tratamiento y que especifique el tratamiento. Por consiguiente, resulta necesario establecer normas que rijan el tratamiento efectuado por la Comisión como encargada del tratamiento de datos.

(20)

La tarea de apoyo de la Comisión no implica la creación de una base de datos central como la mencionada en el considerando 52 del Reglamento (UE) 2021/953. Esa prohibición tiene por objeto evitar que exista un repositorio central de todos los certificados COVID digitales de la UE expedidos y no impide que los Estados miembros intercambien listas de revocación, lo que el artículo 4, apartado 2, del Reglamento (UE) 2021/953 prevé de forma expresa.

(21)

Al tratar datos personales en el marco de la pasarela del certificado COVID digital de la UE, la Comisión debe atenerse a lo dispuesto en su Decisión (UE, Euratom) 2017/46 (7).

(22)

El artículo 3, apartado 10, del Reglamento (UE) 2021/953 permite a la Comisión adoptar actos de ejecución por los que se establezca que los certificados COVID-19 expedidos por un tercer país con el que la Unión y los Estados miembros hayan celebrado un acuerdo en materia de libre circulación de personas que permita a las partes contratantes restringir la libre circulación por motivos de salud pública de manera no discriminatoria y que no contenga un mecanismo de incorporación de actos jurídicos de la Unión son equivalentes a los expedidos de conformidad con el presente Reglamento. Sobre esa base, la Comisión adoptó, el 8 de julio de 2021, la Decisión de Ejecución (UE) 2021/1126 (8), por la que se establece la equivalencia de los certificados COVID-19 expedidos por Suiza.

(23)

El artículo 8, apartado 2, del Reglamento (UE) 2021/953 permite a la Comisión adoptar actos de ejecución por los que se establezca que los certificados COVID-19 expedidos por un tercer país con arreglo a normas y sistemas tecnológicos que sean interoperables con el marco de confianza para el certificado COVID digital de la UE, que permitan verificar la autenticidad, validez e integridad del certificado, y que contengan los datos establecidos en el anexo al Reglamento, deben ser considerados equivalentes a los certificados COVID digitales de la UE, a fin de facilitar a sus titulares el ejercicio de su derecho a la libre circulación en la Unión. Como se indica en el considerando 28 del Reglamento (UE) 2021/953, el artículo 8, apartado 2, de dicho Reglamento se refiere a la aceptación de certificados expedidos por terceros países a ciudadanos de la Unión y a los miembros de sus familias. La Comisión ya ha adoptado varios actos de ejecución de este tipo.

(24)

Para evitar lagunas en la detección de los certificados revocados que se contemplan en dichos actos de ejecución, también debe ser posible que los terceros países cuyos certificados COVID-19 se hayan considerado equivalentes con arreglo al artículo 3, apartado 10, y al artículo 8, apartado 2, del Reglamento (UE) 2021/953 presenten las listas pertinentes de revocación de certificados en la pasarela del certificado COVID digital de la UE.

(25)

Algunos nacionales de terceros países que tienen certificados de COVID-19 revocados emitidos por un tercer país y considerados equivalentes con arreglo al artículo 3, apartado 10, y al artículo 8, apartado 2, del Reglamento (UE) 2021/953, pueden entrar en el ámbito de aplicación de ese Reglamento o del Reglamento (UE) 2021/954 en el momento en que el tercer país en cuestión genera una lista de revocación que incluye sus certificados. No obstante, no puede saberse, en el momento en que un tercer país en cuestión genera una lista de revocación de certificados, si todos los nacionales de terceros países que son titulares de certificados revocados entran en el ámbito de aplicación de cualquiera de esos Reglamentos. El intento de excluir a las personas no incluidas en el ámbito de aplicación de dichos Reglamentos en el momento en que se generan las listas de revocación de certificados de esos países no es, por tanto, viable y, al intentar hacerlo, los Estados miembros no podrían detectar los certificados revocados de los que sean titulares nacionales de terceros países que viajen por primera vez a la Unión. No obstante, incluso los certificados revocados de esos nacionales de terceros países serían verificados por los Estados miembros cuando sus titulares viajen a la Unión y, seguidamente, cuando viajen dentro de la Unión. Los terceros países cuyos certificados se hayan considerado equivalentes con arreglo al Reglamento (UE) 2021/953 no participan en la gobernanza de la pasarela y, por tanto, no pueden considerarse corresponsables del tratamiento.

(26)

Además, el sistema de certificado COVID digital de la UE ha demostrado ser el único sistema de certificados COVID-19 operativo a gran escala y de ámbito internacional. Por ello, el certificado COVID digital de la UE ha adquirido una creciente importancia en el mundo y ha contribuido a hacer frente a la pandemia a nivel internacional, facilitando unos viajes internacionales seguros y una recuperación global. En el proceso de adopción de actos de ejecución adicionales de conformidad con el artículo 8, apartado 2, del Reglamento (UE) 2021/953, surgen nuevas necesidades en relación con la cumplimentación del certificado COVID digital de la UE. De conformidad con las normas establecidas en la Decisión de Ejecución (UE) 2021/1073, los apellidos son un campo obligatorio del contenido técnico del certificado. Es necesario modificar ese requisito para favorecer la inclusión y la interoperabilidad con otros sistemas, puesto que en algunos terceros países hay personas sin apellidos. En los casos en que el nombre del titular del certificado no pueda separarse en dos partes, el nombre debe colocarse en el mismo campo (apellidos o nombre) del certificado COVID digital de la UE en que se indicaría en el documento de viaje o de identidad del titular. Con este cambio también se ajustaría mejor el contenido técnico de los certificados a las especificaciones actualmente vigentes sobre documentos de viaje de lectura mecánica publicadas por la Organización de Aviación Civil Internacional.

(27)

Procede, por tanto, modificar la Decisión de Ejecución (UE) 2021/1073 en consecuencia.

(28)

El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725, emitió su dictamen el 11 de marzo de 2022.

(29)

A fin de que los Estados miembros y la Comisión dispongan de tiempo suficiente para aplicar los cambios necesarios que permitan el intercambio de listas de revocación de certificados a través de la pasarela del certificado COVID digital de la UE, la presente Decisión debe empezar a aplicarse cuatro semanas después de su entrada en vigor.

(30)

Las medidas previstas en la presente Decisión se ajustan al dictamen del Comité creado por el artículo 14 del Reglamento (UE) 2021/953.

1)

Se insertan los artículos 5 bis, 5 ter y 5 quater siguientes:

«Artículo 5 bis

Intercambio de listas de revocación de certificados

1.   El marco de confianza para el certificado COVID digital de la UE permitirá el intercambio de listas de revocación de certificados a través de la pasarela central del certificado COVID digital de la UE (“pasarela”), de conformidad con las especificaciones técnicas del anexo I.

2.   Cuando los Estados miembros revoquen los certificados COVID digitales de la UE, podrán presentar listas de revocación de certificados en la pasarela.

3.   Cuando los Estados miembros presenten listas de revocación de certificados, las autoridades expedidoras mantendrán una lista de certificados revocados.

4.   Cuando los datos personales se intercambien a través de la pasarela, la finalidad de su tratamiento se limitará a apoyar el intercambio de información relativa a la revocación. Dichos datos personales solo se utilizarán para verificar el estado de revocación de los certificados COVID digitales de la UE expedidos en el ámbito de aplicación del Reglamento (UE) 2021/953.

5.   La información presentada en la pasarela incluirá los siguientes datos, de conformidad con las especificaciones técnicas establecidas en el anexo I:

6.   Cuando una autoridad expedidora revoque certificados COVID digitales de la UE que ella misma haya expedido en virtud del Reglamento (UE) 2021/953 o del Reglamento (UE) 2021/954, y tenga la intención de intercambiar información pertinente a través de la pasarela, transmitirá la información a que se refiere el apartado 5 en forma de listas de revocación de certificados en la pasarela en un formato seguro, de conformidad con las disposiciones técnicas establecidas en el anexo I.

7.   Las autoridades expedidoras proporcionarán, en la medida de lo posible, una solución para informar a los titulares de certificados revocados sobre el estado de revocación de sus certificados y el motivo de la revocación en el momento que esta se produzca.

8.   La pasarela recopilará las listas de revocación de certificados recibidas. Proporcionará herramientas para la distribución de las listas a los Estados miembros. Suprimirá automáticamente las listas de conformidad con las fechas de caducidad indicadas por la autoridad en cuestión para cada lista que haya presentado.

9.   Las autoridades nacionales o los organismos oficiales designados de los Estados miembros que traten datos personales en la pasarela serán corresponsables del tratamiento de dichos datos. Las respectivas responsabilidades de los corresponsables del tratamiento se asignarán de acuerdo con el anexo VI.

10.   La Comisión será la encargada del tratamiento de los datos personales tratados dentro de la pasarela. En su calidad de encargada del tratamiento de los datos en nombre de los Estados miembros, la Comisión garantizará la seguridad de la transmisión y del alojamiento de datos personales en la pasarela y cumplirá las obligaciones del encargado del tratamiento establecidas en el anexo VII.

11.   La eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento de los datos personales en la pasarela será sometida a ensayo, valorada y evaluada con regularidad por la Comisión y por los corresponsables del tratamiento.

Artículo 5 ter

Presentación de listas de revocación de certificados por terceros países

Los terceros países que expidan certificados COVID-19 respecto de los cuales la Comisión haya adoptado un acto de ejecución con arreglo al artículo 3, apartado 10, o al artículo 8, apartado 2, del Reglamento (UE) 2021/953 podrán presentar en la pasarela listas de certificados COVID-19 revocados cubiertos por dicho acto de ejecución para que sean tratadas por la Comisión en nombre de los corresponsables del tratamiento, tal como se refiere en el artículo 5 bis, de conformidad con las especificaciones técnicas establecidas en el anexo I.

Artículo 5 quater

Gobernanza del tratamiento de datos personales en la pasarela central del certificado COVID digital de la UE

1.   El proceso de toma de decisiones de los corresponsables del tratamiento se regirá por un grupo de trabajo creado en el marco del Comité a que se refiere el artículo 14 del Reglamento (UE) 2021/953.

2.   Las autoridades nacionales o los organismos oficiales designados de los Estados miembros que traten datos personales en la pasarela como corresponsables de su tratamiento designarán representantes en dicho grupo.».

2)

El anexo I se modifica de conformidad con el anexo I de la presente Decisión.

3)

El anexo V se modifica de conformidad con el anexo II de la presente Decisión.

4)

El texto que figura en el anexo III de la presente Decisión se añade como anexo VI.

5)

El texto que figura en el anexo IV de la presente Decisión se añade como anexo VII.

Tipo

Atributo

Cálculo del hash

SIGNATURE

DCC Signature

SHA256 of DCC Signature

UCI

UCI (identificador único de certificado)

SHA256 of UCI

COUNTRYCODEUCI

Código del país emisor + UCI

SHA256 of Issuing CountryCode + UCI

{

}

Campo

Definición

more

Indicador booleano que indica que hay más lotes.

batches

Matriz con los lotes existentes.

batchId

https://en.wikipedia.org/wiki/Universally_unique_identifier

country

Código del país ISO 3166

date

ISO 8601 Date UTC. Fecha en que se añadió o eliminó el lote.

deleted

Valor booleano. “True” en caso que se elimine. Cuando se activa la marca “deleted” (eliminado), la entrada puede suprimirse definitivamente de los resultados de la consulta al cabo de 7 días.

Código

Descripción

200

Todo correcto.

204

Sin contenido, si el contenido del encabezado “If-Modified-Since” no tiene ninguna correspondencia.

Encabezado

Obligatorio

Descripción

If-Modified-Since

Sí

Este encabezado contiene la última fecha descargada para obtener únicamente los resultados más recientes. En la llamada inicial, el encabezado debe seguir el formato ‘2021-06-01T00:00:00Z’

{

}

Campo

Obligatorio

Tipo

Definición

expires

Sí

Cadena

Fecha en que puede suprimirse el elemento.

Fecha/hora UTC ISO8601

country

Sí

Cadena

Código del país ISO 3166

hashType

Sí

Cadena

Tipo de hash de las entradas facilitadas (véase “Tipos de hash)

entries

Sí

JSON Object Array

Véase el cuadro Entradas

kid

Sí

Cadena

KID codificado en Base64 del DSC utilizado para firmar el CCD.

Si el KID no es conocido, se puede utilizar la cadena `UNKNOWN_KID` (sin `).

Notas:

—

Los lotes se agruparán por fecha de caducidad y DSC: todos los elementos caducarán al mismo tiempo y habrán sido firmados por la misma clave.

—

La hora de caducidad es una fecha/hora indicada en UTC, ya que el CCD de la UE es un sistema mundial y debemos utilizar una hora inequívoca.

—

La fecha de expiración de un CCD revocado de forma permanente se fijará en la fecha de expiración del DSC correspondiente utilizado para firmar el CCD o en la hora de expiración del CCD revocado (en cuyo caso se considerará que las horas NumericDate/epoch utilizadas se encuentran en la zona horaria del UTC).

—

El backend nacional (NB) suprimirá los elementos de su lista de revocación cuando se alcance la fecha de caducidad.

—

El Nota: puede suprimir elementos de su lista de revocación en caso de que se revoque el kid utilizado para firmar el CCD.

Campo

Obligatorio

Tipo

Definición

hash

Sí

Cadena

Primeros 128 bits del hash SHA-256 codificado como cadena de base64

Código

Descripción

200

Todo correcto.

410

El lote ha desaparecido. Se puede eliminar el lote en el backend nacional.

Encabezado

Descripción

ETag

ID del lote.

{

}

{

}

{

}

RevocationListReader

RevocationUploader

RevocationDeleter

ID del campo

Nombre del campo

Instructiones

ver

Versión del sistema

Coincidirá con el identificador de la versión del sistema utilizado para elaborar el CCD de la UE.

Ejemplo:

“ver”:“1.3.0”

ID del campo

Nombre del campo

Instrucciones

nam/fn

Apellido(s)

Apellido(s) del titular

Si el titular no tiene apellido(s) pero tiene nombre, se omitirá el campo.

En el resto de los casos, se facilitará exactamente 1 (un) campo no vacío, con todos los apellidos incluidos en él. En caso de pluralidad de apellidos, estos estarán separados por un espacio. No obstante, los nombres combinados que incluyan guiones o caracteres similares deberán permanecer iguales.

Ejemplos:

“fn”:“Musterfrau-Gößinger”

“fn”:“Musterfrau-Gößinger Müller”

nam/fnt

Apellido(s) normalizado(s)

Apellido(s) del titular transliterado(s) utilizando la misma convención que la aplicada en los documentos de viaje de lectura mecánica del titular (tales como las normas definidas en el documento 9303 de la OACI, parte 3).

Si el titular no tiene apellido(s) pero tiene nombre, se omitirá el campo.

Se facilitará exactamente 1 (un) campo no vacío, utilizando solo los caracteres A-Z y <. Longitud máxima: 80 caracteres (según la especificación de la OACI 9303).

Ejemplos:

“fnt”:“MUSTERFRAU<GOESSINGER”

“fnt”:“MUSTERFRAU<GOESSINGER<MUELLER”

nam/gn

Nombre(s)

Nombre(s) del titular.

Si el titular no tiene nombre(s) pero tiene apellido(s), se omitirá el campo.

En el resto de los casos, se facilitará exactamente 1 (un) campo no vacío, con todos los nombres incluidos en él. En caso de pluralidad de nombres, estos estarán separados por un espacio.

Ejemplo:

“gn”:“Isolde Erika”

nam/gnt

Nombre(s) normalizado(s)

Nombres(s) del titular transliterado(s) utilizando la misma convención que la aplicada en los documentos de viaje de lectura mecánica del titular (tales como las normas definidas en el documento 9303, parte 3, de la OACI).

Si el titular no tiene nombre pero tiene apellido(s), se omitirá el campo.

Se facilitará exactamente 1 (un) campo no vacío, utilizando solo los caracteres A-Z y <. Longitud máxima: 80 caracteres

Ejemplo:

“gnt”:“ISOLDE<ERIKA”

dob

Fecha de nacimiento

Fecha de nacimiento del titular del CCD.

Fecha completa o parcial sin indicación de tiempo limitada al intervalo de 1900-01-01 a 2099-12-31.

Se facilitará exactamente 1 (un) campo no vacío si se conoce la fecha de nacimiento completa o parcial. Si la fecha de nacimiento no se conoce ni siquiera parcialmente, el campo lo constituirá una cadena vacía ““. Esta información debe coincidir con la facilitada en los documentos de viaje.

Se utilizará uno de los siguientes formatos ISO 8601 si se dispone de información sobre la fecha de nacimiento. No se admiten otras opciones.

AAAA-MM-DD

AAAA-MM

AAAA

(La aplicación del verificador puede mostrar las partes de la fecha de nacimiento que faltan utilizando la convención XX, como la empleada en documentos de viaje de lectura mecánica, por ejemplo, 1990-XX-XX.)

Ejemplos:

“dob”:“1979-04-14”

“dob”: “1901-08 ”

“dob”:“1939”

“dob”:

Identificador del grupo

Nombre del grupo

Entradas

v

Grupo de vacunación

Si fuera el caso, deberá contener exactamente 1 (una) entrada que indique exactamente 1 (una) dosis de vacunación (una dosis).

t

Grupo de prueba

Si fuera pertinente, deberá contener exactamente 1 (una) entrada que indique exactamente 1 (un) resultado de una prueba.

r

Grupo de recuperación

Si fuera pertinente, deberá contener exactamente 1 (una) entrada que indique 1 (un) certificado de recuperación.».

1)

2)

3)

4)

5)

6)

7)

8)

9)

1)

2)

3)

1)

2)

3)

4)

1)

1)

Crear y garantizar una infraestructura de comunicación segura y fiable en nombre de los Estados miembros que permita el intercambio de listas de revocación presentadas en la pasarela del certificado COVID digital de la UE.

2)

Para cumplir sus obligaciones como encargada del tratamiento de datos del portal del marco de confianza para los Estados miembros, la Comisión podrá recurrir a terceros como subencargados del tratamiento; La Comisión informará a los corresponsables del tratamiento de cualquier cambio previsto en relación con la adición o sustitución de otros subencargados del tratamiento, dándoles así la oportunidad de oponerse de forma conjunta a tales cambios. Asimismo, deberá velar por que se apliquen a estos subencargados del tratamiento las mismas obligaciones de protección de datos que contiene la presente Decisión.

3)

Tratar los datos personales basándose exclusivamente en las instrucciones documentadas dadas por los responsables del tratamiento, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros; en tal caso, la Comisión informará a los responsables del tratamiento de ese requisito jurídico antes del tratamiento, a menos que el citado Derecho prohíba enviar esa información por motivos importantes de interés público.

El tratamiento por parte de la Comisión conlleva lo siguiente:

4)

Adoptar todas las medidas de seguridad organizativa, física y lógica más avanzadas que sean necesarias para el mantenimiento de la pasarela del certificado COVID digital de la UE. A tal fin, la Comisión deberá:

5)

Adoptar todas las medidas de seguridad necesarias para evitar comprometer el correcto funcionamiento operativo de los servidores finales nacionales. A tal fin, instaurará procedimientos específicos relativos a la conexión de los servidores finales con la pasarela del certificado COVID digital de la UE. Esto incluye:

6)

Adoptar las medidas de seguridad física o lógica más avanzadas para las instalaciones que alojen el equipo de la pasarela del certificado COVID digital de la UE y para los controles de los datos lógicos y el acceso de seguridad. A tal fin, la Comisión deberá:

7)

Adoptar medidas para proteger su dominio, incluida la desconexión, en caso de que se produzca una desviación sustancial con respecto a los principios y conceptos de calidad o seguridad.

8)

Mantener un plan de gestión de riesgos relacionado con su ámbito de responsabilidad.

9)

Monitorizar, en tiempo real, el funcionamiento de todos los componentes de servicio de sus servicios de la pasarela del marco de confianza, elaborar estadísticas regulares y llevar registros.

10)

Prestar apoyo con respecto a todos los servicios de la pasarela del marco de confianza en inglés, las veinticuatro horas del día, siete días a la semana, por teléfono, correo electrónico o portal web, y aceptar las llamadas de los usuarios autorizados: los coordinadores de la pasarela del Certificado COVID Digital de la UE y sus respectivos servicios de asistencia, responsables de proyectos y personas designadas por la Comisión.

11)

Ayudar en la medida de lo posible a los responsables del tratamiento con medidas técnicas y organizativas apropiadas de conformidad con el artículo 12 del Reglamento (UE) 2018/1725 para que cumplan su obligación de responder a las solicitudes de ejercicio de los derechos de los interesados establecidas en el capítulo III del Reglamento general de protección de datos.

12)

Ayudar a los corresponsables del tratamiento proporcionándoles información sobre la pasarela del Certificado COVID Digital de la UE, a fin de dar cumplimiento a las obligaciones derivadas de los artículos 32, 33, 34, 35 y 36 del Reglamento general de protección de datos;

13)

Garantizar que los datos tratados en la pasarela del Certificado COVID Digital de la UE sean ininteligibles para cualquier persona que no esté autorizada a acceder a ella;

14)

Adoptar todas las medidas pertinentes para impedir que los operadores de la pasarela del Certificado COVID Digital de la UE accedan sin autorización a los datos transmitidos;

15)

Adoptar medidas para facilitar la interoperabilidad y la comunicación entre los responsables del tratamiento designados de la pasarela del Certificado COVID Digital de la UE;

16)

Llevar un registro de las actividades de tratamiento realizadas en nombre de los corresponsables del tratamiento de conformidad con el artículo 31, apartado 2, del Reglamento (UE) 2018/1725.