CELEX: 32022D0483
Language: hr
Date: 2022-03-21 00:00:00
Title: Provedbena odluka Komisije (EU) 2022/483 оd 21. ožujka 2022. o izmjeni Provedbene odluke (EU) 2021/1073 o utvrđivanju tehničkih specifikacija i pravila za uspostavljanje okvira povjerenja za EU digitalnu COVID potvrdu, uspostavljenu Uredbom (EU) 2021/953 Europskog parlamenta i Vijeća (Tekst značajan za EGP)

25.3.2022   
               
               
                  HR
               
               
                  Službeni list Europske unije
               
               
                  L 98/84
               
            
         PROVEDBENA ODLUKA KOMISIJE (EU) 2022/483
         оd 21. ožujka 2022.
         o izmjeni Provedbene odluke (EU) 2021/1073 o utvrđivanju tehničkih specifikacija i pravila za uspostavljanje okvira povjerenja za EU digitalnu COVID potvrdu, uspostavljenu Uredbom (EU) 2021/953 Europskog parlamenta i Vijeća
         (Tekst značajan za EGP)
         EUROPSKA KOMISIJA,
         uzimajući u obzir Ugovor o funkcioniranju Europske unije,
         uzimajući u obzir Uredbu (EU) 2021/953 Europskog parlamenta i Vijeća od 14. lipnja 2021. o okviru za izdavanje, provjeru i prihvaćanje interoperabilnih potvrda o cijepljenju, testiranju i preboljenju bolesti COVID-19 (EU digitalna COVID potvrda) radi olakšavanja slobodnog kretanja tijekom pandemije bolesti COVID-19 (1), a posebno njezin članak 9. stavak 1.,
         budući da:
         
                     (1)
                  
                  
                     Uredbom (EU) 2021/953 utvrđena je EU digitalna COVID potvrda koja je dokaz da je osoba cijepljena protiv bolesti COVID-19, da je dobila negativan rezultat testa ili da je preboljela bolest kako bi se nositeljima potvrde olakšalo ostvarivanje prava na slobodno kretanje tijekom pandemije bolesti COVID-19.
                  
               
                     (2)
                  
                  
                     Uredbom (EU) 2021/954 Europskog parlamenta i Vijeća (2) utvrđeno je da države članice primjenjuju pravila utvrđena u Uredbi (EU) 2021/953 na državljane trećih zemalja koji nisu obuhvaćeni područjem primjene te uredbe, ali koji se zakonito nalaze ili borave na njihovu državnom području i koji imaju pravo putovati u druge države članice u skladu s pravom Unije.
                  
               
                     (3)
                  
                  
                     Preporukom Vijeća (EU) 2022/290 o izmjeni Preporuke (EU) 2020/912 o privremenom ograničenju neobveznih putovanja u EU i mogućem ukidanju takvog ograničenja (3) navodi se da bi državljani trećih zemalja koji žele otići na neobvezno putovanje iz trećih zemalja u Uniju trebali posjedovati valjan dokaz o cijepljenju ili preboljenju, kao što je EU digitalna COVID potvrda ili COVID-19 potvrda koju je izdala treća zemlja obuhvaćena provedbenim aktom donesenim na temelju članka 8. stavka 2. Uredbe (EU) 2021/953.
                  
               
                     (4)
                  
                  
                     Da bi EU digitalna COVID potvrda mogla funkcionirati u cijeloj Uniji, Komisija je donijela Provedbenu odluku (EU) 2021/1073 (4) u kojoj su utvrđene tehničke specifikacije i pravila za ispunjavanje, sigurno izdavanje i provjeru EU digitalnih COVID potvrda, zaštitu osobnih podataka, definiranje zajedničke strukture jedinstvenog identifikatora potvrde i izdavanje valjanog, sigurnog i interoperabilnog crtičnog koda.
                  
               
                     (5)
                  
                  
                     U skladu s člankom 4. Uredbe (EU) 2021/953 Komisija i države članice bile su dužne uspostaviti i održavati okvir povjerenja za EU digitalnu COVID potvrdu. Taj okvir povjerenja može podržavati bilateralnu razmjenu popisa opozvanih potvrda koji sadržavaju jedinstvene identifikatore opozvanih potvrda.
                  
               
                     (6)
                  
                  
                     Pristupnik za EU digitalnu COVID potvrdu („pristupnik”), koji je osnovni dio okvira povjerenja i omogućuje sigurnu i pouzdanu razmjenu javnih ključeva za provjeru EU digitalnih COVID potvrda među državama članicama, počeo je s radom 1. srpnja 2021.
                  
               
                     (7)
                  
                  
                     Zbog uspješnog masovnog uvođenja EU digitalne COVID potvrde postale su meta prevaranata koji traže načine izdavanja lažnih potvrda. Takve lažne potvrde treba opozvati. Usto, države članice mogu na nacionalnoj razini opozvati određene EU digitalne COVID potvrde zbog medicinskih i javnozdravstvenih razloga, primjerice ako se naknadno utvrdi da je neka serija cjepiva bila neispravna.
                  
               
                     (8)
                  
                  
                     Premda sustav EU digitalne COVID potvrde može odmah otkriti krivotvorene potvrde, vjerodostojne potvrde koje su nezakonito izdane na temelju lažne dokumentacije, neovlaštenog pristupa ili s namjerom prijevare ne mogu se otkriti u drugim državama članicama osim ako države članice razmjenjuju popise opozvanih potvrda izrađene na nacionalnoj razini. Isto vrijedi i za potvrde opozvane zbog zdravstvenih i javnozdravstvenih razloga. Ako aplikacije država članica za provjeru ne otkrivaju potvrde koje su druge države članice opozvale, to je prijetnja javnom zdravlju i narušava povjerenje građana u sustav EU digitalne COVID potvrde.
                  
               
                     (9)
                  
                  
                     Kako je navedeno u uvodnoj izjavi 19. Uredbe (EU) 2021/953, države članice trebale bi, iz medicinskih i javnozdravstvenih razloga te u slučaju potvrda koje su izdane ili dobivene prijevarom, za potrebe te uredbe moći uspostaviti te s drugim državama članicama u ograničenim slučajevima razmjenjivati popis opozvanih potvrda, osobito potvrda koje su izdane na temelju pogreške, kao rezultat prijevare ili nakon suspenzije serije cjepiva protiv bolesti COVID-19 za koju je utvrđeno da je neispravna. Države članice ne bi trebale moći opozvati potvrde koje su izdale druge države članice. Razmijenjeni popisi opozvanih potvrda ne bi trebali sadržavati nikakve druge osobne podatke osim jedinstvenih identifikatora potvrde. Osobito ne bi trebali sadržavati razlog opoziva potvrde.
                  
               
                     (10)
                  
                  
                     Nadležni izdavatelj trebao bi davati opće informacije o mogućnosti opoziva potvrda i mogućim razlozima za to te nositelje opozvanih potvrda bez odgađanja obavješćivati o opozivu njihovih potvrda i razlozima za opoziv. Ponekad, osobito u slučaju EU digitalnih COVID potvrda izdanih na papiru, pronalaženje nositelja potvrde i obavješćivanje o opozivu nije moguće ili je za to potrebno uložiti nerazmjeran trud. Države članice ne bi trebale prikupljati dodatne osobne podatke koji nisu potrebni za postupak izdavanja samo zato da mogu obavijestiti nositelje certifikata u slučaju opoziva njihovih potvrda.
                  
               
                     (11)
                  
                  
                     Stoga je potrebno poboljšati okvir povjerenja za EU digitalnu COVID potvrdu tako da se omogući bilateralna razmjena popisa opozvanih potvrda između država članica.
                  
               
                     (12)
                  
                  
                     Ova se Odluka ne odnosi na privremenu suspenziju potvrda za slučajeve nacionalne upotrebe izvan područja primjene Uredbe o EU digitalnoj COVID potvrdi, primjerice kad se utvrdi da je nositelj potvrde pozitivan na virus SARS-CoV-2. Time se ne dovode u pitanje uspostavljeni postupci za provjeru poslovnih pravila za valjanost potvrda.
                  
               
                     (13)
                  
                  
                     Premda se razmjena popisâ opozvanih potvrda tehnički može izvesti na temelju različitih arhitektura, najprikladnije ih je razmjenjivati putem pristupnika jer to ograničava razmjenu podataka na već uspostavljeni okvir povjerenja i, u usporedbi s alternativnim peer-to peer sustavom, smanjuje i broj točaka na kojima može doći do pogreške i broj razmjena među državama članicama.
                  
               
                     (14)
                  
                  
                     U skladu s tim pristupnik za EU digitalnu COVID potvrdu trebalo bi unaprijediti tako da podržava sigurnu razmjenu opozvanih EU digitalnih COVID potvrda u svrhu njihove sigurne provjere putem pristupnika. U tom bi pogledu trebalo uvesti odgovarajuće sigurnosne mjere za zaštitu osobnih podataka koji se obrađuju u pristupniku. Kako bi se postigla visoka razina zaštite, države članice trebale bi pseudonimizirati atribute potvrde jednosmjernom hash vrijednošću koju treba uvrstiti na popise opoziva. Jedinstvene identifikatore trebalo bi za potrebe obrade u okviru pristupnika smatrati pseudonimiziranim podacima.
                  
               
                     (15)
                  
                  
                     Trebalo bi utvrditi i odredbe o ulozi država članica i Komisije u razmjeni popisâ opozvanih certifikata.
                  
               
                     (16)
                  
                  
                     Obrada osobnih podataka nositelja potvrde, koja se obavlja u nadležnosti države članice ili drugih javnih organizacija ili službenih tijela u državama članicama, trebala bi se provoditi u skladu s Uredbom (EU) 2016/679 Europskog parlamenta i Vijeća (5). Obrada osobnih podataka u svrhu upravljanja pristupnikom za EU digitalnu COVID potvrdu i jamčenja njegove sigurnosti, za koju je nadležna Komisija, trebala bi biti u skladu s Uredbom (EU) 2018/1725 Europskog parlamenta i Vijeća (6).
                  
               
                     (17)
                  
                  
                     Države članice, preko imenovanih nacionalnih tijela ili službenih tijela, zajedno određuju svrhu i načine obrade osobnih podataka putem pristupnika za EU digitalnu COVID potvrdu te su stoga zajednički voditelji obrade. Člankom 26. Uredbe (EU) 2016/679 zajedničke voditelje obrade osobnih podataka obvezuje se da na transparentan način odrede svoje odgovornosti za poštovanje obveza iz te uredbe. U istom članku predviđena je i mogućnost da su te odgovornosti utvrđene pravom Unije ili pravom države članice kojem podliježu voditelji obrade. Dogovor iz članka 26. trebalo bi uvrstiti u Prilog III. ovoj Odluci.
                  
               
                     (18)
                  
                  
                     Uredbom (EU) 2021/953 Komisiji je dodijeljena zadaća pružanja potpore takvim razmjenama. Taj će mandat najprikladnije ispuniti objedinjavanjem poslanih popisa opozvanih potvrda u ime država članica. Komisiji bi stoga trebalo dodijeliti ulogu izvršitelja obrade podataka kako bi poduprla te razmjene olakšavanjem razmjene popisâ putem pristupnika za EU digitalnu COVID potvrdu u ime država članica.
                  
               
                     (19)
                  
                  
                     Komisija, kao pružatelj tehničkih i organizacijskih rješenja za pristupnik za EU digitalnu COVID potvrdu, obrađuje osobne podatke iz popisâ opozvanih potvrda u pristupniku u ime država članica kao zajedničkih voditelja obrade. Dakle, ona je njihov izvršitelj obrade. Na temelju članka 28. Uredbe (EU) 2016/679 i članka 29. Uredbe (EU) 2018/1725 obrada koju provodi izvršitelj obrade uređuje se ugovorom ili pravnim aktom u skladu s pravom Unije ili države članice, koji izvršitelja obrade obvezuje prema voditelju obrade i kojim se utvrđuje postupak obrade. Stoga je potrebno utvrditi pravila o obradi koju provodi Komisija kao izvršitelj obrade podataka.
                  
               
                     (20)
                  
                  
                     Potporna zadaća Komisije ne podrazumijeva uspostavu središnje baze podataka iz uvodne izjave 52. Uredbe (EU) 2021/953. Tom se zabranom želi izbjeći postojanje središnjeg repozitorija svih izdanih EU digitalnih COVID potvrda i ona ne sprečava države članice da razmjenjuju popise opozvanih potvrda, što je izričito omogućeno u članku 4. stavku 2. Uredbe (EU) 2021/953.
                  
               
                     (21)
                  
                  
                     Pri obradi osobnih podataka u pristupniku za EU digitalnu COVID potvrdu Komisiju obvezuje Odluka Komisije (EU, Euratom) 2017/46 (7).
                  
               
                     (22)
                  
                  
                     Člankom 3. stavkom 10. Uredbe (EU) 2021/953 Komisiji je omogućeno donošenje provedbenih akata kojima se utvrđuje da su potvrde o bolesti COVID-19, koje je izdala treća zemlja s kojom su Unija i države članice sklopile sporazum o slobodnom kretanju osoba kojim se ugovornim strankama omogućuje da na nediskriminirajući način ograničavaju slobodno kretanje zbog javnog zdravlja i koji ne sadržava mehanizam uključivanja pravnih akata Unije, jednakovrijedne onima izdanima u skladu s ovom Uredbom. Na temelju toga Komisija je 8. srpnja 2021. donijela Provedbenu odluku (EU) 2021/1126 (8) o utvrđivanju istovrijednosti COVID-19 potvrda koje izdaje Švicarska.
                  
               
                     (23)
                  
                  
                     Člankom 8. stavkom 2. Uredbe (EU) 2021/953 Komisiji je omogućeno donošenje provedbenih akata kojima se utvrđuje da COVID-19 potvrde koje je izdala treća zemlja u skladu sa standardima i tehnološkim sustavima koji su interoperabilni s okvirom povjerenja za EU digitalnu COVID potvrdu i za koje je moguće provjeriti vjerodostojnost, valjanost i cjelovitost potvrde, te koje sadržavaju osobne podatke iz Priloga toj uredbi, treba smatrati jednakovrijednima EU digitalnim COVID potvrdama kako bi se nositeljima olakšalo ostvarivanje prava na slobodno kretanje unutar Unije. Kako je navedeno u uvodnoj izjavi 28. Uredbe (EU) 2021/953, članak 8. stavak 2. te uredbe odnosi se na prihvaćanje potvrda koje su građanima Unije i članovima njihovih obitelji izdale treće zemlje. Komisija je već donijela nekoliko takvih provedbenih akata.
                  
               
                     (24)
                  
                  
                     Kako bi se izbjegli propusti u otkrivanju opozvanih potvrda obuhvaćenih tim provedbenim aktima, treće zemlje čije su COVID-19 potvrde utvrđene jednakovrijednima na temelju članka 3. stavka 10. i članka 8. stavka 2. Uredbe (EU) 2021/953 također bi trebale moći slati relevantne popise opozvanih potvrda u pristupnik za EU digitalnu COVID potvrdu.
                  
               
                     (25)
                  
                  
                     Pojedini državljani trećih zemalja s opozvanim COVID-19 potvrdama koje je izdala treća zemlja čije su COVID-19 potvrde utvrđene jednakovrijednima na temelju Uredbe (EU) 2021/953 mogu biti izvan područja primjene te uredbe ili Uredbe (EU) 2021/954 u trenutku kad ta treća zemlja izradi popis opozvanih potvrda koji sadržava njihove potvrde. No u trenutku kad treća zemlja izradi popis opozvanih potvrda ne može se znati jesu li svi državljani te treće zemlje koji posjeduju opozvane potvrde obuhvaćeni područjem primjene jedne od tih uredbi. Dakle, isključivanje osoba koje nisu obuhvaćene područjem primjene jedne od tih uredbi u trenutku izrade popisa opozvanih potvrda tih zemalja nije izvedivo, a pokušaj da se to učini rezultirao bi time da države članice ne bi mogle otkriti opozvane potvrde državljana trećih zemalja koji prvi put putuju u Uniju. Države članice provjerile bi, međutim, čak i opozvane potvrde tih državljana trećih zemalja države članice kad njihovi nositelji doputuju u Uniju i zatim kad putuju unutar Unije. Treće zemlje čije su potvrde utvrđene jednakovrijednima na temelju Uredbe (EU) 2021/953 ne sudjeluju u upravljanju pristupnikom pa ne mogu biti zajednički voditelji obrade.
                  
               
                     (26)
                  
                  
                     Nadalje, pokazalo se da je sustav EU digitalne COVID potvrde jedini sustav COVID-19 potvrda koji funkcionira na međunarodnoj razini u velikim razmjerima. Zbog toga je EU digitalna COVID potvrda sve važnija na globalnoj razini i pridonosi borbi protiv pandemije na međunarodnoj razini olakšavanjem sigurnog međunarodnog putovanja i oporavka u svijetu. U postupku donošenja dodatnih provedbenih akata na temelju članka 8. stavka 2. Uredbe (EU) 2021/953 nameću se nove potrebe u pogledu sadržaja EU digitalne COVID potvrde. Prema pravilima utvrđenima u Provedbenoj odluci (EU) 2021/1073 prezime je obvezno polje u tehničkom sadržaju potvrde. Taj je zahtjev potrebno izmijeniti radi promicanja uključenosti i interoperabilnosti s drugim sustavima jer u nekim trećim zemljama postoje osobe bez prezimena. Ako se ime nositelja potvrde ne može podijeliti na dva dijela, trebalo bi ga navesti u istom polju (prezime ili ime) EU digitalne COVID potvrde kao što bi se učinilo u putnoj ili osobnoj ispravi nositelja. Tom bi se izmjenom tehnički sadržaj potvrda bolje uskladio s trenutačno važećim specifikacijama za strojno čitljive putne isprave koje objavljuje Međunarodna organizacija civilnog zrakoplovstva.
                  
               
                     (27)
                  
                  
                     Provedbenu odluku (EU) 2021/1073 trebalo bi stoga na odgovarajući način izmijeniti.
                  
               
                     (28)
                  
                  
                     Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 te je on dao mišljenje 11. ožujka 2022.
                  
               
                     (29)
                  
                  
                     Kako bi se državama članicama i Komisiji dalo dovoljno vremena za uvođenje izmjena potrebnih da se omogući razmjena popisa opozvanih potvrda putem pristupnika za EU digitalnu COVID potvrdu, ova bi se Odluka trebala početi primjenjivati četiri tjedna nakon stupanja na snagu.
                  
               
                     (30)
                  
                  
                     Mjere predviđene ovom Odlukom u skladu su s mišljenjem Odbora osnovanog na temelju članka 14. Uredbe (EU) 2021/953,
                  
               DONIJELA JE OVU ODLUKU:
         
            Članak 1.
            Provedbena odluka (EU) 2021/1073 mijenja se kako slijedi:
            
                        (1)
                     
                     
                        umeću se sljedeći članci 5.a, 5.b i 5.c:
                        
                           „Članak 5.a
                           Razmjena popisa opozvanih potvrda
                           
                              1.   Okvir povjerenja za EU digitalnu COVID potvrdu omogućuje razmjenu popisâ opozvanih potvrda putem središnjeg pristupnika za EU digitalnu COVID potvrdu („pristupnik”) u skladu s tehničkim specifikacijama iz Priloga I.
                           
                           
                              2.   Ako država članica opozove EU digitalne COVID potvrde, popise opozvanih potvrda može poslati u pristupnik.
                           
                           
                              3.   Ako države članice šalju popise opozvanih potvrda, izdavatelji vode popis opozvanih potvrda.
                           
                           
                              4.   Ako se putem pristupnika razmjenjuju osobni podaci, obrada je ograničena na svrhu podupiranja razmjene informacija o opozivu. Takvi se osobni podaci upotrebljavaju samo za potrebe provjere statusa opoziva EU digitalnih COVID potvrda izdanih unutar područja primjene Uredbe (EU) 2021/953.
                           
                           
                              5.   Informacije poslane u pristupnik sadržavaju sljedeće podatke u skladu s tehničkim specifikacijama iz Priloga I.:
                              
                                          (a)
                                       
                                       
                                          pseudonimizirane jedinstvene identifikatore potvrde opozvanih potvrda;
                                       
                                    
                                          (b)
                                       
                                       
                                          datum isteka valjanosti poslanog popisa opozvanih potvrda.
                                       
                                    
                           
                              6.   Ako izdavatelj opozove EU digitalne COVID potvrde koje je izdalo na temelju Uredbe (EU) 2021/953 ili Uredbe (EU) 2021/954 i namjerava razmjenjivati relevantne informacije putem pristupnika, informacije iz stavka 5. može unijeti u pristupnik u obliku popisâ opozvanih potvrda u sigurnom formatu u skladu s tehničkim specifikacijama iz Priloga I.
                           
                           
                              7.   Izdavatelji su u mjeri u kojoj je to moguće dužni uspostaviti rješenje za obavješćivanje nositelja opozvanih potvrda o statusu opoziva njihovih potvrda uz navođenje razloga opoziva u trenutku opoziva.
                           
                           
                              8.   Pristupnik prikuplja primljene popise opozvanih potvrda. Pristupnik ima alate za distribuciju tih popisa državama članicama. Pristupnik automatski briše popise u skladu s datumima isteka valjanosti koje je za svaki poslani popis navelo tijelo koje ga je dostavilo.
                           
                           
                              9.   Imenovana nacionalna tijela ili službena tijela država članica koja obrađuju osobne podatke u pristupniku su zajednički voditelji obrade podataka koji se obrađuju. Odgovornosti zajedničkih voditelja obrade dodjeljuju se u skladu s Prilogom VI.
                           
                           
                              10.   Komisija je izvršitelj obrade osobnih podataka koji se obrađuju u pristupniku. U svojstvu izvršitelja obrade u ime država članica Komisija jamči sigurnost prijenosa i smještaja osobnih podataka u pristupniku te poštuje obveze izvršitelja obrade utvrđene u Prilogu VII.
                           
                           
                              11.   Komisija i zajednički voditelji obrade redovito testiraju, ocjenjuju i evaluiraju djelotvornost tehničkih i organizacijskih mjera za sigurnost obrade osobnih podataka u pristupniku.
                           
                        
                        
                           Članak 5.b
                           Dostavljanje popisa opozvanih potvrda iz trećih zemalja
                           Treće zemlje koje izdaju COVID-19 potvrde za koje je Komisija donijela provedbeni akt na temelju članka 3. stavka 10. ili članka 8. stavka 2. Uredbe (EU) 2021/953 mogu u skladu s tehničkim specifikacijama utvrđenima u Prilogu I. slati popise opozvanih COVID-19 potvrda obuhvaćenih takvim provedbenim aktom u pristupnik na obradu koju provodi Komisija u ime zajedničkih voditelja obrade iz članka 5.a.
                        
                        
                           Članak 5.c
                           Upravljanje obradom osobnih podataka u središnjem pristupniku za EU digitalnu COVID potvrdu
                           
                              1.   Postupkom donošenja odluka zajedničkih voditelja obrade upravlja radna skupina osnovana u okviru odbora iz članka 14. Uredbe (EU) 2021/953.
                           
                           
                              2.   Imenovana nacionalna tijela ili službena tijela država članica koja obrađuju osobne podatke u pristupniku kao zajednički voditelji obrade imenuju predstavnike u tu skupinu.”;
                           
                        
                     
                  
                        (2)
                     
                     
                        Prilog I. mijenja se u skladu s Prilogom I. ovoj Odluci;
                     
                  
                        (3)
                     
                     
                        Prilog V. mijenja se u skladu s Prilogom II. ovoj Odluci;
                     
                  
                        (4)
                     
                     
                        tekst u Prilogu III. ovoj Odluci dodaje se kao Prilog VI.;
                     
                  
                        (5)
                     
                     
                        tekst u Prilogu IV. ovoj Odluci dodaje se kao Prilog VII.”
                     
                  
         
            Članak 2.
            Ova Odluka stupa na snagu trećeg dana od dana objave u Službenom listu Europske unije.
            Počinje se primjenjivati četiri tjedna nakon stupanja na snagu.
         
         
            Sastavljeno u Bruxellesu 21. ožujka 2022.
            
               
                  Za Komisiju
               
               
                  Predsjednica
               
               Ursula VON DER LEYEN
            
         
         
            (1)  SL L 211, 15.6.2021., str. 1.
         
         
            (2)  Uredba (EU) 2021/954 Europskog parlamenta i Vijeća od 14. lipnja 2021. o okviru za izdavanje, provjeru i prihvaćanje interoperabilnih potvrda o cijepljenju, testiranju i preboljenju bolesti COVID-19 (EU digitalna COVID potvrda) u pogledu državljana trećih zemalja koji se zakonito nalaze ili borave na državnom području država članica tijekom pandemije bolesti COVID-19 (SL L 211, 15.6.2021., str. 24.).
         
            (3)  Preporuka Vijeća (EU) 2022/290 od 22. veljače 2022. o izmjeni Preporuke Vijeća (EU) 2020/912 o privremenom ograničenju neobveznih putovanja u EU i mogućem ukidanju takvog ograničenja (SL L 43, 24.2.2022., str. 79.).
         
            (4)  Provedbena odluka Komisije (EU) 2021/1073 оd 28. lipnja 2021. o utvrđivanju tehničkih specifikacija i pravila za uspostavljanje okvira povjerenja za EU digitalnu COVID potvrdu, uspostavljenu Uredbom (EU) 2021/953 Europskog parlamenta i Vijeća (SL L 230, 30.6.2021., str. 32.).
         
            (5)  Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL L 119, 4.5.2016., str. 1.).
         
            (6)  Uredba (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (SL L 295, 21.11.2018., str. 39.).
         
            (7)  Komisija objavljuje dodatne informacije o sigurnosnim standardima koji se primjenjuju na sve informacijske sustave Europske komisije na poveznici https://ec.europa.eu/info/publications/security-standards-applying-all-european-commission-information-systems_en.
         
            (8)  Provedbena odluka Komisije (EU) 2021/1126 od 8. srpnja 2021. o utvrđivanju istovrijednosti COVID-19 potvrda koje je izdala Švicarska s potvrdama izdanima u skladu s Uredbom (EU) 2021/953 Europskog parlamenta i Vijeća (SL L 243, 9.7.2021., str. 49.).
      
      
         
            PRILOG I.
            U Prilogu I. Provedbenoj odluci (EU) 2021/1073 dodaje se odjeljak 9.:
            
               „9.   RJEŠENJE ZA OPOZIV
               
               9.1   Utvrđivanje popisa opozvanih DCC-a (DRL)
               
               Pristupnik mora imati krajnje točke i funkcionalnost za čuvanje popisa opozvanih potvrda i za upravljanje tim popisima:
               
                  L0982022HR7610120220322HR0008.0001781803ODBOR ZA POLJOPRIVREDUG/AG/3211. studenoga 2021.PREISPITIVANJE FUNKCIONIRANJA ODLUKE S BALIJA O UPRAVLJANJU CARINSKIM KVOTAMAIZVJEŠĆE PREDSJEDNIKA GLAVNOM VIJEĆU1.1.Na devetom zasjedanju Ministarske konferencije održanom u prosincu 2013. na Baliju ministri su donijeli Odluku o Dogovoru o upravljanju carinskim kvotama za poljoprivredne proizvode kako su definirani u članku 2. Sporazuma o poljoprivredi, (WT/MIN(13)/39) (u daljnjem tekstu Odluka). Odlukom se zahtijeva i preispitivanje njegova funkcioniranja, što bi trebalo započeti najkasnije do kraja 2017. u cilju poboljšanja stope iskorištenosti carinskih kvota. Konkretno, određeno je da se buduće funkcioniranje točke 4. mehanizma za nedovoljno iskorištavanje kvota iz Priloga A uključi u preispitivanje u skladu s točkama od 13. do 14. Odluke.1.2.Preispitivanje je dovršeno kada je Glavno vijeće na sastanku 9. i 10. prosinca 2019. odobrilo preporuke Odbora za poljoprivredu (CoA) iz Priloga 2. dokumentu G/AG/29. Međutim, tijekom preispitivanja provedenog u razdoblju 2017.–2019. nije postignut dogovor o pitanju budućeg funkcioniranja točke 4. mehanizma za nedovoljno iskorištavanje kvota. Umjesto toga, u skladu sa stavkom 1. odobrenih preporuka iz Priloga 2. dokumentu G/AG/29, članovi su se složili da se rok za odluku o stavku 4. mehanizma za nedovoljno iskorištavanje kvota odgodi za dvije godine, tj. do kraja 2021.1.3.U preporukama se upućuje i na potencijalnu rascjepkanost Odluke jer se odabranim članicama navedenima u Prilogu B Odluci daje pravo da prekinu primjenu točke 4. ako se članice ne dogovore o budućem funkcioniranju te točke. Izbjegavanje izuzeća za određene članice, do kojeg bi moglo doći ako se u dogovorenom roku ne postigne dogovor o budućem funkcioniranju točke 4., ostalo je važna motivacija za nekoliko članica da u raspravama o tom pitanju koje su se održale u Odboru za poljoprivredu nakon 2019. pronađu prihvatljivo rješenje za tu točku.1.4.U tim su raspravama članice detaljno ispitali kako bi sadašnja točka 4. funkcionirala u praksi tijekom završne faze mehanizma za nedovoljno iskorištavanje kvota. Napomenuto je da je, na temelju sadašnje točke 4., članica uvoznica u završnoj fazi mehanizma za nedovoljno iskorištavanje kvota obvezna promijeniti metodu upravljanja carinskim kvotama te prijeći na metodu prema načelu prvi po redoslijedu na carini (FCFS) ili na sustav automatskih bezuvjetnih dozvola na zahtjev, a odabir se vrši na temelju savjetovanja s konkretnom članicom izvoznicom/članicama izvoznicama. Odabrana metoda upravljanja zatim bi se zadržala najmanje dvije godine, nakon čega će, pod uvjetom da se pravodobno obavijestilo o stopama iskorištenosti za te dvije godine, to pitanje biti zatvoreno i primjerno označeno u registru za praćenje Tajništva.1.5.Na temelju posljednjeg dijela sadašnje točke 4., članice uvoznice koje su zemlje u razvoju mogu u završnoj fazi mehanizma za nedovoljno iskorištavanje kvota odabrati alternativnu metodu upravljanja carinskim kvotama ili zadržati postojeću metodu. O odabiru alternativne metode upravljanja carinskim kvotama trebale bi obavijestiti Odbor za poljoprivredu u okviru funkcioniranja mehanizma za nedovoljno iskorištavanje kvota. Odabrana metoda zadržala bi se najmanje dvije godine, a pitanje bi bilo zatvoreno pod uvjetom da se stopa iskorištenosti povećala za dvije trećine godišnjih povećanja opisanih u točki 3.(b) mehanizma za nedovoljno iskorištavanje kvota.1.6.Na temelju tih rasprava članice su postigle bolje razumijevanje glavnog problema u vezi s budućim funkcioniranjem točke 4. mehanizma za nedovoljno iskorištavanje kvota, kada članica uvoznica koja je zemlja u razvoju ne postigne potrebno povećanje stope iskorištenosti a pritom zadržava postojeću metodu upravljanja carinskim kvotama ili primjenjuje alternativnu metodu.1.7.Napori članica da se postigne dogovor o točki 4. uglavnom su bili usmjereni na pronalaženje mogućih pristupa za rješavanje potencijalne izvanredne situacije za članicu uvoznicu koja je zemlja u razvoju kako bi se postiglo zatvaranje pitanja nedovoljnog iskorištavanja kvota.1.8.Postoji široka podrška za pristup koji je Kostarika predložila u neslužbenom tekstu, prema kojem bi članica uvoznica koja je zemlja u razvoju i koja ne ispunjava potreban standard stope iskorištenosti (tj. dvije trećine godišnjih povećanja kako je opisano u točki 3.(b) mehanizma za nedovoljno iskorištavanje kvota) nakon dvije godine u završnoj fazi mehanizma za nedovoljno iskorištavanje kvota, ako je primjenjivala alternativnu metodu upravljanja ili zadržala postojeću metodu, podlijegala zahtjevu u pogledu standarda iz prve rečenice točke 4. ako to zatraže zainteresirane članice izvoznice. Ako to ne zatraže, pitanje bi se označilo kao zatvoreno nakon dvije godine u završnoj fazi, čak i ako nije postignuto potrebno povećanje stope iskorištenosti. Tim se prijedlogom nastoji osigurati da to pitanje u završnoj fazi mehanizma konačno bude zatvoreno ili razriješeno.1.9.Jedno dodatno pitanje koje je nedavno postavljeno u toj raspravi odnosilo se na odnos između obveza koje proizlaze iz mehanizma za nedovoljno iskorištavanje kvota i posebnih odredbi o upravljanju carinskim kvotama koje bi članica uvoznica mogla imati u skladu sa svojim rasporedu koncesija. Članice su općenito potvrdile da koncesije i obveze iz rasporeda imaju prvenstvo te da je uloga Odluke i njezina mehanizma za nedovoljno iskorištavanje kvota promicati učinkovitu provedbu obveza iz rasporeda, a ne njihova izmjena. Članice su se pritom posebno vodile točkom 5. mehanizma za nedovoljno iskorištavanje kvota, kojom se izričito uspostavlja hijerarhija između obveza na temelju obuhvaćenih sporazuma (koji u skladu s člankom II:7. GATT-a iz 1994. uključuju rasporede članica za robu) i odredaba mehanizma za nedovoljno iskorištavanje kvota te navodi da u slučaju bilo kakvog sukoba prevladavaju odredbe obuhvaćenih sporazuma.1.10.Na temelju tih rasprava predloženi nacrt odluke o budućoj primjeni točke 4. mehanizma za nedovoljno iskorištavanje kvota (kako je navedeno u Prilogu ovom izvješću) sadržava sljedeće elemente:i.sadašnja točka 4. mehanizma za nedovoljno iskorištavanje kvota dijeli se na dvije podtočke kako bi se pojasnio zahtjev u pogledu standarda u predloženoj u podtočki 4.a. te poseban i različit tretman u podtočki 4.b.;ii.sadržaj elementa koji se odnosi na poseban i različit tretman u sadašnjoj točki 4. prenosi se bez izmjena u predloženu podtočku 4.b.;iii.kako bi se riješila izvanredna situacija kad članica uvoznica koja je zemlja u razvoju nakon dvije godine ne ispunjava potreban standard stope iskorištenosti, a pritom zadržava postojeću metodu upravljanja carinskim kvotama ili primjenjuje alternativnu metodu, u nacrtu odluke predlaže se dodavanje dodatne mogućnosti u posljednji dio podtočke 4.b. kako bi se postiglo zatvaranje tog pitanja. To bi zahtijevalo da ta članica uvoznica koja je zemlja u razvoju provede zahtjev u vezi sa standardom iz prvog dijela sadašnje točke 4.;iv.predlaže se nova bilješka 6. kako bi se riješili mogući problemi na koje je nekoliko članica ukazalo u vezi s odnosom između obveza koje proizlaze iz mehanizma za nedovoljno iskorištavanje kvota i obveza sadržanih u rasporedima koncesija članica uvoznica. U točki 5. mehanizma za nedovoljno iskorištavanje kvota već se pojašnjava odnos između obveza koje proizlaze iz mehanizma za nedovoljno iskorištavanje kvota te prava i obveza članica u okviru obuhvaćenih sporazuma;v.budući da bi dogovor o budućem funkcioniranju točke 4. mehanizma za nedovoljno iskorištavanje kvota doveo i do dovršetka preispitivanja funkcioniranja Odluke s Balija o upravljanju carinskim kvotama na temelju točaka od 13. do 15. Odluke, u nacrtu odluke predlaže se da se te tri točke, zajedno s Prilogom B Odluci, prestanu primjenjivati.1.11.U točki 14. Odluke zahtijeva se da se u preporukama Glavnog vijeća u vezi s točkom 4. mehanizma za nedovoljno iskorištavanje kvota odredi poseban i različit tretman. U tom pogledu nacrt odluke sadržava preporuke za buduće funkcioniranje točke 4. i u njemu se zadržava postojeća odredbu o posebnom i različitom tretmanu u okviru predložene podtočke 4.b. jer se navodi da članica uvoznica koja je zemlja u razvoju u završnoj fazi mehanizma za nedovoljno iskorištavanje kvota može zadržati postojeću metodu upravljanja carinskim kvotama ili primijeniti alternativnu metodu upravljanja te riješiti to pitanje tako što će pokazati potrebno povećanje stope iskorištenosti. Ta mogućnost, kao i u sadašnjoj točki 4. Odluke, ostaje nepromijenjena. Ako u sljedeće dvije godine članica uvoznica koja je zemlja u razvoju ne postigne potrebno povećanje stope iskorištenosti u tim okolnostima, predloženom odlukom može se od članice zahtijevati da provede zahtjev u pogledu standarda iz prvog dijela sadašnje točke 4. (tj. načelo prvi po redoslijedu na carini ili sustav automatskog izdavanja dozvola). Valja istaknuti da obveza primjene te odredbe nije automatska čak ni nakon isteka te dvije godine. Umjesto toga, predložena obveza primjenjivala bi se samo na zahtjev konkretne članice izvoznice. Ako se takav zahtjev ne podnese, unatoč tome što članica uvoznica koja je zemlja u razvoju ne ispunjava potreban standard stope iskorištenosti, pitanje nedovoljnog iskorištavanja kvota označilo bi se kao zatvoreno.1.12.Odbor za poljoprivredu ponovno se sastao 9. studenoga 2021. na svojem 99. redovitom sastanku kako bi raspravio suspendiranu točku dnevnog reda 2 D(i), koja se odnosila na provedbu Odluke s Balija o upravljanju carinskim kvotama. Na tom sastanku Odbor je dogovorio da će nacrt odlukeNeke su članice navele da će im trebati dodatno vrijeme za savjetovanje sa svojim vladama. iz Priloga ovom izvješću podnijeti na razmatranje Glavnom vijeću i da će ga nakon toga podnijeti dvanaestoj Ministarskoj konferenciji (MC-12) kako bi ministri donijeli odluku.
               9.2   Model povjerenja
               
               Sve se veze uspostavljaju na temelju certifikata NBTLS i NBUP standardnog modela povjerenja DCCG-a (vidjeti upravljanje certifikatima). Radi zaštite cjelovitosti sve se informacije pakiraju i šalju CMS porukama.
               9.3   Sastavljanje skupa
               
               9.3.1   Skup
               
               Svaki popis opozvanih potvrda sastoji se od najmanje jednog unosa i mora biti zapakiran u skupovima koji sadržavaju hasheve i njihove metapodatke. Skup je nepromjenjiv i s definiranim datumom isteka, koji označava kad se skup može izbrisati. Svi elementi skupa moraju imati isti datum isteka, što znači da se skupovi mogu grupirati po datumu isteka i po DSC-u. Najveći dopušteni broj unosa u skupu je 1 000. Ako popis opozvanih potvrda ima više od 1 000 unosa, izrađuje se više skupova. Nijedan unos ne može biti u više od jednog skupa. Skup se pakira u CMS strukturu i potpisuje certifikatom NBup države koja ga šalje.
               9.3.2   Indeks skupova
               
               Pristupnik skupu dodjeljuje jedinstven identifikator u trenutku sastavljanja, koji se automatski dodaje u indeks. Indeks skupova poredan je po datumu izmjene, počevši od najstarijeg.
               9.3.3   Ponašanje pristupnika
               
               Pristupnik obrađuje skupove opozvanih potvrda bez ikakvih promjena: pristupnik ne može ažurirati, uklanjati niti dodavati informacije u skupovima. Skupovi se prosljeđuju svim odobrenim zemljama (vidjeti poglavlje 9.6.).
               Pristupnik aktivno prati datume isteka skupova i uklanja istekle skupove. Nakon što se neki skup izbriše, pristupnik na URL izbrisanog skupa odgovara s „HTTP 410 Gone”. U indeksu skupova taj skup je označen kao izbrisan.
               9.4   Vrste hasheva
               
               Popis opozvanih potvrda sadržava hasheve koji mogu označavati različite vrste/atribute opozvanih potvrda. Te vrste i atributi navode se zajedno s popisom opozvanih potvrda. Trenutačne su vrste:
               
                           
                              Vrsta
                           
                        
                        
                           
                              Atribut
                           
                        
                        
                           
                              Izračun hasha
                           
                        
                     
                           SIGNATURE
                        
                        
                           potpis DCC-a
                        
                        
                           SHA256 potpisa DCC-a
                        
                     
                           UCI
                        
                        
                           UCI (jedinstveni identifikator potvrde)
                        
                        
                           SHA256 UCI-ja
                        
                     
                           COUNTRYCODEUCI
                        
                        
                           kod zemlje izdavateljice + UCI
                        
                        
                           SHA256 koda zemlje izdavateljice + USI-ja
                        
                     
                  U skupove se unosi samo prvih 128 bitova hasheva kodiranih u base64 nizove koji služe za identifikaciju opozvanog DCC-a (1).
               9.4.1   Vrsta hasha: SHA256 (potpis DCC-a)
               
               Hash se izračunava za COSE_SIGN1 potpis iz CWT-a. Za RSA potpise ulazna vrijednost je cijeli potpis. Formula za certifikate potpisane EC-DSA-om je uzimanje r kao ulazne vrijednosti:
               SHA256(r)
               [obvezno u svim novim implementacijama]
               9.4.2   Vrsta hasha: SHA256 (UCI)
               
               Hash se izračunava za niz UCI-ja kodiran u UTF-8 pa se konvertira u polje bajtova.
               [zastarjelo (2), ali podržano zbog kompatibilnosti sa starijim elementima sustava]
               9.4.3   Vrsta hasha: SHA256 (kod zemlje izdavateljice + USI)
               
               U ovom je slučaju kod zemlje niz (string) kodiran u UTF-8 kojem je dodan UCI koji je niz (string) kodiran u UTF-8. Taj se niz konvertira u polje bajtova koje je ulazna vrijednost funkcije za generiranje hasha.
               [zastarjelo2, ali podržano zbog kompatibilnosti sa starijim elementima sustava]
               9.5   Struktura API-ja
               
               9.5.1   API za unošenje opozvanih potvrda
               
               9.5.1.1   Svrha
               
               API organizira unose s popisa opozvanih potvrda u skupovima i sastavlja indeks skupova.
               9.5.1.2   Krajnje točke
               
               9.5.1.2.1   Krajnja točka za preuzimanje popisa skupova
               Krajnje su točke dizajnirane jednostavno, a njihov je izlaz popis skupova u malom omotaču koji sadržava metapodatke. Skupovi su poredani po datumu od najstarijeg:
               /revocation-list
               Verb: GET
               Content-Type: application/json
               Response: JSON Array
               
                            
                        
                        
                           {
                           
                                        
                                    
                                    
                                       ‚more’:true|false,
                                    
                                 
                                        
                                    
                                    
                                       ‚batches’:
                                       
                                                    
                                                
                                                
                                                   [{
                                                   
                                                                
                                                            
                                                            
                                                               ‚batchId’: ‚{uuid}’,
                                                            
                                                         
                                                                
                                                            
                                                            
                                                               ‚country’: ‚XY’,
                                                            
                                                         
                                                                
                                                            
                                                            
                                                               ‚date’: ‚2021-11-01T00:00:00Z’
                                                            
                                                         
                                                                
                                                            
                                                            
                                                               ‚deleted’: true | false
                                                            
                                                         
                                             
                                                    
                                                
                                                
                                                   }, ..
                                                
                                             
                                                    
                                                
                                                
                                                   ]
                                                
                                             
                                 
                     
                            
                        
                        
                           }
                        
                     
                  Napomena: Najveća veličina je 1 000. Ako je parametar „more” postavljen na istinito (true), to znači da postoji još skupova za preuzimanje. Da bi se preuzeli dodatni skupovi, klijent mora postaviti vrijednost zaglavlja If-Modified-Since na datum koji nije prije datuma posljednjeg primljenog skupa.
               Odgovor je JSON polje sljedeće strukture:
               
                           
                              Polje
                           
                        
                        
                           
                              Definicija
                           
                        
                     
                           more
                        
                        
                           ako je vrijednost ovog parametra istinito (True), to znači da postoji još skupova
                        
                     
                           batches
                        
                        
                           polje s postojećim skupovima
                        
                     
                           batchId
                        
                        
                           https://en.wikipedia.org/wiki/Universally_unique_identifier
                        
                     
                           country
                        
                        
                           kod zemlje u skladu s normom ISO 3166
                        
                     
                           date
                        
                        
                           UTC datum u skladu s normom ISO 8601 datum dodavanja ili brisanja skupa
                        
                     
                           deleted
                        
                        
                           moguće vrijednosti su istinito/neistinito; vrijednost istinito (True) označava da je skup izbrisan; unos se može ukloniti iz rezultata upita sedam dana nakon što se ova vrijednost postavi na istinito
                        
                     9.5.1.2.1.1   Kodovi odgovora
               
                           
                              Kôd
                           
                        
                        
                           
                              Opis
                           
                        
                     
                           200
                        
                        
                           sve je u redu
                        
                     
                           204
                        
                        
                           nema sadržaja ako nema rezultata za zaglavlje „If-Modified-Since”
                        
                     
                  Zaglavlje zahtjeva
               
               
                           
                              Zaglavlje
                           
                        
                        
                           
                              Obvezno
                           
                        
                        
                           
                              Opis
                           
                        
                     
                           If-Modified-Since
                        
                        
                           da
                        
                        
                           Ova vrijednost zaglavlja sadržava datum zadnjeg preuzimanja da bi se dobili samo najnoviji rezultati. Vrijednost se postavlja na ‚2021-06-01T00:00:00Z’ prilikom prvog pozivanja.
                        
                     9.5.1.2.2   Krajnja točka za preuzimanje skupova
               Skupovi sadržavaju popis identifikatora certifikata:
               /revocation-list/{batchId}
               Verb: GET
               Accepts: application/cms
               Response:CMS with Content
               
                            
                        
                        
                           {
                           
                                        
                                    
                                    
                                       ‚country’: ‚XY’,
                                    
                                 
                                        
                                    
                                    
                                       ‚expires’: ‚2022-11-01T00:00:00Z’,
                                    
                                 
                                        
                                    
                                    
                                       ‚kid’:’23S+33f=’,
                                    
                                 
                                        
                                    
                                    
                                       
                                          ‘hashType’:’SIGNATURE’,
                                       
                                    
                                 
                                        
                                    
                                    
                                       ‚entries’:[{
                                       
                                                    
                                                
                                                
                                                   ‚hash’:’e2e2e2e2e2e2e2e2’
                                                
                                             
                                                    
                                                
                                                
                                                   }, ..]
                                                
                                             
                                 
                     
                            
                        
                        
                           }
                        
                     Odgovor sadržava CMS s potpisom koji mora odgovarati certifikatu NBUP zemlje. Struktura svake stavke u JSON polju je sljedeća:
               
                           
                              Polje
                           
                        
                        
                           
                              Obvezno
                           
                        
                        
                           
                              Vrsta
                           
                        
                        
                           
                              Definicija
                           
                        
                     
                           expires
                        
                        
                           da
                        
                        
                           niz (string)
                        
                        
                           datum kad se stavka može ukloniti
                           UTC datum/vrijeme u skladu s normom ISO 8601
                        
                     
                           country
                        
                        
                           da
                        
                        
                           niz (string)
                        
                        
                           kod zemlje u skladu s normom ISO 3166
                        
                     
                           hashType
                        
                        
                           da
                        
                        
                           niz (string)
                        
                        
                           vrsta hasha unosa (vidjeti Vrste hasheva)
                        
                     
                           entries
                        
                        
                           da
                        
                        
                           blok JSON objekta
                        
                        
                           vidjeti tablicu s unosima
                        
                     
                           kid
                        
                        
                           da
                        
                        
                           niz (string)
                        
                        
                           KID kodiran u base64 DSC-a kojim je potpisan DCC;
                           Ako KID nije poznat, može se unijeti niz „UNKNOWN_KID” (bez navodnika).
                        
                     
                           Napomene:
                        
                     
                           —
                        
                        
                           Skupine se grupiraju po datumu isteka i po DSC-u – svi elementi istječu u istom trenutku i moraju biti potpisani istim ključem.
                        
                     
                           —
                        
                        
                           Rok isteka je UTC datum/vrijeme jer je EUDCC svjetski sistem u kojem vrijeme mora uvijek biti jednoznačno.
                        
                     
                           —
                        
                        
                           Datum isteka trajno opozvanog DCC-a postavlja se na datum isteka odgovarajućeg DSC-a kojim je DCC potpisan ili na Istek opozvanog DCC-a (u kom slučaju se vremena NumericDate/epoch obrađuju kao da su u vremenskoj zoni UTC).
                        
                     
                           —
                        
                        
                           Nacionalni backend (NB) uklanja elemente sa svojih popisa opozvanih potvrda na datum isteka.
                        
                     
                           —
                        
                        
                           NB može ukloniti elemente sa svojih popisa opozvanih potvrda ako je povučen kid kojim je DCC potpisan.
                        
                     9.5.1.2.2.1   Unosi
               
                           
                              Polje
                           
                        
                        
                           
                              Obvezno
                           
                        
                        
                           
                              Vrsta
                           
                        
                        
                           
                              Definicija
                           
                        
                     
                           hash
                        
                        
                           da
                        
                        
                           niz (string)
                        
                        
                           prvih 128 bitova hasheva dobivenih algoritmom SHA256 koji su kodirani u base64
                        
                     Napomena: Objekt s elementima trenutačno sadržava samo hash, ali se zbog kompatibilnosti s budućim promjenama koristi objekt umjesto JSON polja.
               9.5.1.2.2.2   Kodovi odgovora
               
                           
                              Kôd
                           
                        
                        
                           
                              Opis
                           
                        
                     
                           200
                        
                        
                           sve je u redu
                        
                     
                           410
                        
                        
                           skupa nema; skup se može izbrisati u nacionalnom backendu
                           
                        
                     9.5.1.2.2.3   Zaglavlje odgovora
               
                           
                              Zaglavlje
                           
                        
                        
                           
                              Opis
                           
                        
                     
                           ETag
                        
                        
                           identifikator skupa
                        
                     9.5.1.2.3   Krajnja točka za slanje skupova
               Skupovi se šalju preko iste krajnje točke metodom POST Verb:
               /revocation-list
               Verb: POST
               Accepts: application/cms
               Request: CMS with Content
               ContentType: application/cms
               Content:
               
                            
                        
                        
                           {
                           
                                        
                                    
                                    
                                       ‚country’: ‚XY’,
                                    
                                 
                                        
                                    
                                    
                                       ‚expires’: ‚2022-11-01T00:00:00Z’,
                                    
                                 
                                        
                                    
                                    
                                       ‚kid’:’23S+33f=’,
                                    
                                 
                                        
                                    
                                    
                                       ‚hashType’:’SIGNATURE’,
                                    
                                 
                                        
                                    
                                    
                                       ‚entries’:[{
                                       
                                                    
                                                
                                                
                                                   ‚hash’:’e2e2e2e2e2e2e2e2’
                                                
                                             
                                                    
                                                
                                                
                                                   }, ..]
                                                
                                             
                                 
                     
                            
                        
                        
                           }
                        
                     Skup se potpisuje certifikatom NBUP. Pristupnik provjerava da je skup potpisan certifikatom NBUP odgovarajuće zemlje (country). Slanje skupa neće biti dopušteno ako ta provjera ne potvrdi potpis.
               
                  NAPOMENA: Nijedan se skup ne može mijenjati nakon slanja. Međutim, skupove je moguće obrisati. Identifikator svakog izbrisanog skupa se čuva te se ne dopušta slanje novog skupa s istim identifikatorom.
               9.5.1.2.4   Krajnja točka za brisanje skupova
               Skupovi se mogu izbrisati preko iste krajnje točke metodom DELETE Verb:
               /revocation-list
               Verb: DELETE
               Accepts: application/cms
               ContentType: application/cms
               Request: CMS with Content
               Content:
               
                            
                        
                        
                           {
                           
                                        
                                    
                                    
                                       ‚batchId’: ‚...’
                                    
                                 
                     
                            
                        
                        
                           }
                        
                     ili se zbog kompatibilnosti mogu izbrisati i preko ove krajnje točke metodom POST Verb:
               /revocation-list/delete
               Verb: POST
               Accepts: application/cms
               ContentType: application/cms
               Request: CMS with Content
               Content:
               
                            
                        
                        
                           {
                           
                                        
                                    
                                    
                                       ‚batchId’: ‚...’
                                    
                                 
                     
                            
                        
                        
                           }
                        
                     9.6   Zaštita API-ja/GDPR
               
               U ovom su odjeljku utvrđene mjere koje se u implementacijama koriste radi ispunjavanja odredbi Uredbe 2021/953 s obzirom na obradu osobnih podataka.
               9.6.1   Postojeća autentifikacija
               
               Pristupnik trenutačno koristi certifikat NBTLS da bi autentificirao zemlje koje mu pristupaju. Ta autentifikacija može poslužiti za utvrđivanje identiteta zemlje povezane s pristupnikom. Ta autentifikacija može onda poslužiti za kontrolu pristupa.
               9.6.2   Kontrola pristupa
               
               Da bi se osobni podaci mogli zakonito obrađivati, u pristupniku mora postojati mehanizam za kontrolu pristupa.
               Pristupnik ima popis za kontrolu pristupa koji funkcionira zajedno sa sigurnošću na temelju uloga. To znači da se u pristupniku vode dvije tablice, jedna u kojoj je definirano koje uloge mogu izvesti koje radnje na kojim resursima i druga u kojoj je navedeno koje su uloge dodijeljene kojim korisnicima.
               Za kontrole propisane ovim dokumentom potrebne su tri uloge:
               
                            
                        
                        
                           RevocationListReader
                        
                     
                            
                        
                        
                           RevocationUploader
                        
                     
                            
                        
                        
                           RevocationDeleter
                        
                     Za provjeru ima li korisnik ulogu RevocationListReader služe sljedeće krajnje točke. Ako pristup bude potvrđen na tim krajnjim točkama, pristup će biti odobren, a u suprotnom će odgovor biti poruka HTTP 403 Forbidden:
               GET/revocation-list/
               GET/revocation-list/{batchId}
               Za provjeru ima li korisnik ulogu RevocationUploader služe sljedeće krajnje točke. Ako pristup bude potvrđen na tim krajnjim točkama, pristup će biti odobren, a u suprotnom će odgovor biti poruka HTTP 403 Forbidden:
               POST/revocation-list
               Za provjeru ima li korisnik ulogu RevocationDeleter služe sljedeće krajnje točke. Ako pristup bude potvrđen na tim krajnjim točkama, pristup će biti odobren, a u suprotnom će odgovor biti poruka HTTP 403 Forbidden:
               DELETE/revocation-list
               POST/revocation-list/delete
               Pristupnik mora administratorima omogućivati pouzdano upravljanje ulogama povezanima s korisnicima tako da se smanji mogućnost ljudske pogreške, ali ne i poveća opterećenje administratora funkcija.”
            
            
               (1)  Pogledati točku 9.5.1.2. za detaljniji opis API-ja.
            
               (2)  Zastarjelo znači da to nije rješenje za nove primjene, ali da ga se u precizno zadanom razdoblju mora podržavati zbog postojećih implementacija.
         
      
      
         
            PRILOG II.
            Odjeljak 3. u Prilogu V. Provedbenoj odluci 2021/1073 zamjenjuje se sljedećim:
            
               „3.   
                     Zajedničke strukture i opći zahtjevi
                  
               
               EU digitalna COVID potvrda ne smije se izdati ako se zbog podataka koji nedostaju sva podatkovna polja ne mogu popuniti ispravno u skladu sa specifikacijama. To ne utječe na obvezu država članica da izdaju EU digitalne COVID potvrde.
               
               Podaci u svim poljima mogu biti uneseni s punim skupom znakova u skladu s normom UNICODE 13.0 kodirani u UTF-8, osim ako nisu izričito ograničeni na skup vrijednosti ili ograničeniji skup znakova.
               Zajednička struktura je:
               
                  „JSON”:{
               
               
                  „ver”:<version information>,
               
               
                  „nam”:{
               
               
                  <person name information>
               
               
                  },
               
               
                  „dob”:<date of birth>,
               
               
                  „v” or „t” or „r”:[
               
               
                  {<vaccination dose or test or recovery information, one entry>}
               
               ]
               
                  }
               
               U sljedećem odjeljku nalaze se detaljne informacije o pojedinačnim skupinama i poljima.
               Ako bi prema pravilu polje trebalo preskočiti, to znači da je njegov sadržaj prazan i da u sadržaju ne smiju biti ni ime ni vrijednost polja.
               3.1.   
                     Verzija
                  
               
               Mora se navesti verzija. Označavanje verzija mora biti u skladu sa semantičkim označavanjem verzija (semver: https://semver.org). U radnom sustavu verzija je jedna od službeno objavljenih verzija (trenutačna verzija ili neka od prethodnih službeno objavljenih verzija). Za dodatne informacije vidjeti odjeljak Mjesto JSON sheme.
               
                           
                              Identifikator polja
                           
                        
                        
                           
                              Ime polja
                           
                        
                        
                           
                              Upute
                           
                        
                     
                           
                              ver
                           
                        
                        
                           Verzija sheme
                        
                        
                           Ova vrijednost mora biti jednaka identifikatoru verzije sheme na temelju koje je EUDCC izrađen.
                           Primjer:
                           „ver”:„1.3.0”
                        
                     3.2.   
                     Ime osobe i datum rođenja
                  
               
               Ime osobe je službeno puno ime osobe, kako je napisano u putnim ispravama. Identifikator strukture je nam. Mora postojati točno jedno (1) ime osobe.
               
                           
                              Identifikator polja
                           
                        
                        
                           
                              Ime polja
                           
                        
                        
                           
                              Upute
                           
                        
                     
                           
                              nam/fn
                           
                        
                        
                           Prezime (prezimena)
                        
                        
                           Prezimena nositelja.
                           Ako nositelj nema prezimena, ali ima ime, ovo se polje može preskočiti.
                           U svim ostalim slučajevima mora postojati točno jedno (1) polje koje nije prazno i koje sadržava sva prezimena. Ako osoba ima više od jednog prezimena, prezimena moraju biti razdvojena razmakom (bjelinom). Kombinacije imena sa spojnicama ili sličnim znakovima ne smiju se mijenjati.
                           Primjeri:
                           „fn”:”Musterfrau-Gößinger”
                           „fn”:”Musterfrau-Gößinger Müller”
                        
                     
                           
                              nam/fnt
                           
                        
                        
                           Standardizirano prezime (standardizirana prezimena)
                        
                        
                           Prezimena nositelja transliterirana u skladu s pravilima koja su primijenjena za nositeljeve strojno čitljive putne isprave (npr. pravila iz dijela 3. dokumenta ICAO-a br. 9303).
                           Ako nositelj nema prezimena, ali ima ime, ovo se polje može preskočiti.
                           U svim ostalim slučajevima mora postojati točno jedno (1) polje koje nije prazno i koje sadržava samo znakove A-Z i <. Najveća duljina: 80 znakova (u skladu sa specifikacijom iz dokumenta ICAO-a br. 9303).
                           Primjeri:
                           „fnt”:”MUSTERFRAU<GOESSINGER”
                           „fnt”:”MUSTERFRAU<GOESSINGER<MUELLER”
                        
                     
                           
                              nam/gn
                           
                        
                        
                           Ime (imena)
                        
                        
                           Imena nositelja.
                           Ako nositelj nema imena, ali ima prezime, ovo se polje može preskočiti.
                           U svim ostalim slučajevima mora postojati točno jedno (1) polje koje nije prazno i koje sadržava sva imena. Ako osoba ima više od jednog imena, imena moraju biti razdvojena razmakom (bjelinom).
                           Primjer:
                           „gn”:”Isolde Erika”
                        
                     
                           
                              nam/gnt
                           
                        
                        
                           Standardizirano ime (standardizirana imena)
                        
                        
                           Imena nositelja transliterirana u skladu s pravilima koja su primijenjena za nositeljeve strojno čitljive putne isprave (npr. pravila iz dijela 3. dokumenta ICAO-a br. 9303).
                           Ako nositelj nema imena, ali ima prezime, ovo se polje može preskočiti.
                           U svim ostalim slučajevima mora postojati točno jedno (1) polje koje nije prazno i koje sadržava samo znakove A-Z i <. Najveća duljina: 80 znakova.
                           Primjer:
                           „gnt”:”ISOLDE<ERIKA”
                        
                     
                           
                              dob
                           
                        
                        
                           Datum rođenja
                        
                        
                           Datum rođenja imatelja DCC-a.
                           Cijeli ili djelomični datum, bez vremena, ograničen na raspon od 1900-01-01 do 2099-12-31.
                           Mora postojati točno jedno (1) polje koje nije prazno ako je poznat cijeli ili djelomični datum rođenja. Ako datum rođenja nije poznat ni djelomično, polje je prazan niz, „”. Sadržaj polja trebao bi biti jednak podacima na putnim ispravama.
                           Ako je datum rođenja dostupan, koristi se jedan od sljedećih formata iz norme ISO 8601. Nisu dopuštene druge opcije.
                           GGGG-MM-DD
                           GGGG-MM
                           GGGG
                           (Aplikacija vršitelj provjere može prikazati dijelove datuma rođenja koji nedostaju koristeći konvenciju XX, koja se koristi u strojno čitljivim putnim ispravama, npr. 1990-XX-XX.)
                           Primjeri:
                           „dob”:”1979-04-14”
                           „dob”:”1901-08”
                           „dob”:”1939”
                           „dob”:”"
                        
                     3.3.   
                     Skupine za podatke specifične za vrstu potvrde
                  
               
               JSON shema podržava tri skupine unosa koji obuhvaćaju podatke specifične za vrstu potvrde. Svaki EUDCC sadržava točno jednu (1) skupinu. Nisu dopuštene prazne skupine.
               
                           
                              Identifikacijska oznaka skupine
                           
                        
                        
                           
                              Ime skupine
                           
                        
                        
                           
                              Unosi
                           
                        
                     
                           v
                        
                        
                           Skupina „cijepljenje”
                        
                        
                           Ako postoji, sadržava točno jedan (1) unos koji opisuje točno jednu (1) dozu cjepiva.
                        
                     
                           
                              t
                           
                        
                        
                           Skupina „test”
                        
                        
                           Ako postoji, sadržava točno jedan (1) unos koji opisuje točno jedan (1) rezultat testa.
                        
                     
                           
                              r
                           
                        
                        
                           Skupina „preboljenje”
                        
                        
                           Ako postoji, sadržava točno jedan (1) unos koji opisuje točno jednu (1) izjavu o preboljenju.”
                        
                     
         
      
      
         
            PRILOG III.
            
               
                  
                     „PRILOG VI.
                     ODGOVORNOSTI DRŽAVA ČLANICA KAO ZAJEDNIČKIH VODITELJA OBRADE ZA PRISTUPNIK ZA EU DIGITALNU COVID POTVRDU U POGLEDU RAZMJENE POPISA OPOZVANIH EU DIGITALNIH COVID POTVRDA
                     ODJELJAK 1.
                     
                        Pododjeljak 1.
                     
                     
                        
                           Podjela odgovornosti
                        
                     
                     
                              
                                 (1)
                              
                              
                                 Zajednički voditelji obrade obrađuju osobne podatke putem pristupnika unutar okvira povjerenja u skladu s tehničkim specifikacijama iz Priloga I.
                              
                           
                              
                                 (2)
                              
                              
                                 Izdavatelji država članica ostaju jedini voditelj obrade za prikupljanje, upotrebu, otkrivanje i svaku drugu obradu informacija o opozivu izvan pristupnika, uključujući postupak za opoziv potvrde.
                              
                           
                              
                                 (3)
                              
                              
                                 Svaki voditelj obrade odgovoran je za obradu osobnih podataka u pristupniku unutar okvira povjerenja u skladu s člancima 5., 24. i 26. Opće uredbe o zaštiti podataka.
                              
                           
                              
                                 (4)
                              
                              
                                 Svaki voditelj obrade uspostavlja kontaktnu točku sa zajedničkom e-adresom za komunikaciju među zajedničkim voditeljima obrade te između zajedničkih voditelja obrade i izvršitelja obrade.
                              
                           
                              
                                 (5)
                              
                              
                                 Radna skupina koju osnuje odbor iz članka 14. Uredbe (EU) 2021/953 ovlaštena je za odlučivanje o svim pitanjima koja proizlaze iz razmjene popisa opozvanih potvrda i iz zajedničkog vođenja povezane obrade osobnih podataka te za olakšavanje davanja koordiniranih uputa Komisiji kao izvršitelju obrade. Ta radna skupina upravlja postupkom donošenja odluka zajedničkih voditelja obrade i uređuje ga poslovnikom koji donese. Osnovno je pravilo da se smatra da svaki zajednički voditelj obrade koji pisano najavi najmanje sedam (7) dana unaprijed da ne namjerava sudjelovati na nekom sastanku radne skupine prešutno pristaje na ishode tog sastanka na kojem ne sudjeluje. Svaki zajednički voditelj obrade može sazvati sastanak radne skupine.
                              
                           
                              
                                 (6)
                              
                              
                                 Izvršitelju obrade upute šalje bilo koja kontaktna točka zajedničkih voditelja obrade u dogovoru s drugim zajedničkim voditeljima obrade u skladu s postupkom iz točke (5) kojim radna skupina donosi odluke. Zajednički voditelj obrade koji daje upute trebao bi ih napismeno dati izvršitelju obrade i o tome obavijestiti sve druge zajedničke voditelje obrade. Ako je tema dovoljno hitna da nije moguće sazvati sastanak radne skupine u skladu s točkom (5), svejedno se mogu dati upute, ali te upute radna skupina može povući. Te se upute daju u pisanom obliku, o čemu se u trenutku davanja uputa obavješćuju svi drugi zajednički voditelji obrade.
                              
                           
                              
                                 (7)
                              
                              
                                 Radna skupina uspostavljena u skladu s točkom (5) ne oslobađa nijednog zajedničkog voditelja obrade od pojedinačne odgovornosti da izvješćuje svoje nadležno nadzorno tijelo u skladu s člancima 33. i 24. Opće uredbe o zaštiti podataka. Za takvo izvješćivanje nije potrebna suglasnost nijednog drugog zajedničkog voditelja obrade.
                              
                           
                              
                                 (8)
                              
                              
                                 U području primjene pristupnika unutar okvira povjerenja razmijenjenim osobnim podacima smiju pristupati samo osobe koje su za to ovlastila imenovana nacionalna tijela ili službena tijela.
                              
                           
                              
                                 (9)
                              
                              
                                 Svaki izdavatelj vodi evidenciju aktivnosti obrade za koje je odgovoran. Zajedničko vođenje može se navesti u evidenciji.
                              
                           
                        Pododjeljak 2.
                     
                     
                        
                           Odgovornosti i uloge za obradu zahtjeva i obavješćivanje ispitanikâ
                        
                     
                     
                              
                                 (1)
                              
                              
                                 U skladu s člankom 14. Opće uredbe o zaštiti podataka svaki voditelj obrade u okviru svoje uloge izdavatelja daje fizičkim osobama čije je potvrde opozvao („ispitanici”) informacije o tom opozivu i obradi njihovih osobnih podataka u pristupniku za EU digitalnu COVID potvrde za potrebe razmjene popisa opozvanih potvrda osim ako se to pokaže nemogućim ili bi za to bio potreban nerazmjeran trud.
                              
                           
                              
                                 (2)
                              
                              
                                 Svaki je voditelj obrade kontaktna točka za fizičke osobe čiju je potvrdu opozvao i obrađuje zahtjeve koje su podnijeli ispitanici ili njihovi predstavnici u okviru ostvarivanja svojih prava u skladu s Općom uredbom o zaštiti podataka. Zajednički voditelj obrade koji primi ispitanikov zahtjev koji se odnosi na potvrdu koju je izdao drugi zajednički voditelj obrade obavješćuje ispitanika o identitetu i podacima za kontakt tog odgovornog zajedničkog voditelja obrade. Ako to zatraži drugi zajednički voditelj obrade, zajednički voditelji obrade međusobno si pomažu u obradi zahtjeva ispitanika i jedni drugima odgovaraju bez nepotrebne odgode, a najkasnije u roku od mjesec dana od primitka zahtjeva za pomoć. Ako se zahtjev odnosi na podatke koje je dostavila treća zemlja, voditelj obrade koji primi taj zahtjev obrađuje ga i obavješćuje ispitanika o identitetu i podacima za kontakt izdavatelja iz te treće zemlje.
                              
                           
                              
                                 (3)
                              
                              
                                 Svaki voditelj obrade ispitanicima stavlja na raspolaganje sadržaj ovog Priloga, uključujući postupke utvrđene u točkama 1. i 2.
                              
                           ODJELJAK 2.
                     
                        Upravljanje sigurnosnim incidentima, uključujući povrede osobnih podataka
                     
                     
                              
                                 (1)
                              
                              
                                 Zajednički voditelji obrade međusobno si pomažu u utvrđivanju i rješavanju sigurnosnih incidenata, uključujući povrede osobnih podataka, povezanih s obradom u pristupniku za EU digitalnu COVID potvrdu.
                              
                           
                              
                                 (2)
                              
                              
                                 Zajednički voditelji obrade međusobno se obavješćuju o:
                                 
                                             (a)
                                          
                                          
                                             svim potencijalnim ili stvarnim rizicima za dostupnost, povjerljivost i/ili cjelovitost osobnih podataka koji se obrađuju u pristupniku unutar okvira povjerenja;
                                          
                                       
                                             (b)
                                          
                                          
                                             svakoj povredi osobnih podataka, vjerojatnim posljedicama povrede osobnih podataka i procjeni rizika za prava i slobode pojedinaca te svim mjerama poduzetima za rješavanje povrede osobnih podataka i ublažavanje rizika za prava i slobode pojedinaca;
                                          
                                       
                                             (c)
                                          
                                          
                                             svakom kršenju tehničkih i/ili organizacijskih zaštitnih mjera postupka obrade u pristupniku unutar okvira povjerenja.
                                          
                                       
                           
                              
                                 (3)
                              
                              
                                 Zajednički voditelji obrade o svim povredama osobnih podataka povezanima s postupkom obrade u pristupniku unutar okvira povjerenja obavješćuju Komisiju, nadležna nadzorna tijela i, prema potrebi, ispitanike u skladu s člancima 33. i 34. Opće uredbe o zaštiti podataka ili nakon obavijesti Komisije.
                              
                           
                              
                                 (4)
                              
                              
                                 Svaki izdavatelj provodi odgovarajuće tehničke i organizacijske mjere namijenjene:
                                 
                                             a)
                                          
                                          
                                             osiguravanju i zaštiti dostupnosti, cjelovitosti i povjerljivosti osobnih podataka koji se zajednički obrađuju;
                                          
                                       
                                             b)
                                          
                                          
                                             zaštiti od neovlaštene ili nezakonite obrade, gubitka, upotrebe, otkrivanja ili pribavljanja bilo kojeg osobnog podatka koji je u njegovu posjedu, ili pristupa tim podacima;
                                          
                                       
                                             c)
                                          
                                          
                                             osiguravanju da se pristup osobnim podacima ne otkriva niti dopušta ikome osim primateljima ili izvršiteljima obrade.
                                          
                                       
                           ODJELJAK 3.
                     
                        
                           Procjena učinka na zaštitu podataka
                        
                     
                     
                              
                                 (1)
                              
                              
                                 Ako su voditelju obrade potrebne informacije od drugog voditelja obrade da bi ispunio svoje obveze iz članaka 35. i 36. Uredbe (EU) 2016/679, on šalje poseban zahtjev na zajedničku e-adresu iz točke 4. pododjeljka 1. odjeljka 1. Potonji je dužan poduzeti sve što može kako bi pružio takve informacije
                              
                           
               ”
         
      
      
         
            PRILOG IV.
            
               
                  
                     „PRILOG VII.
                     ODGOVORNOSTI KOMISIJE KAO IZVRŠITELJA OBRADE ZA PRISTUPNIK ZA EU DIGITALNU COVID POTVRDU ZA POTPORU RAZMJENI POPISA OPOZVANIH EU DIGITALNIH COVID POTVRDA
                     Komisija:
                     
                                 (1)
                              
                              
                                 uspostavlja i pruža sigurnu i pouzdanu komunikacijsku infrastrukturu u ime država članica koja omogućuje razmjenu popisa opozvanih potvrda poslanih u pristupnik za digitalnu COVID potvrdu;
                              
                           
                                 (2)
                              
                              
                                 može angažirati treće strane kao podizvršitelje obrade kako bi ispunila svoje obveze izvršitelja obrade podataka u pristupniku unutar okvira povjerenja za države članice. Zajedničke voditelje obrade obavješćuje o svim planiranim promjenama koje se odnose na dodavanje ili zamjenu drugih podizvršitelja obrade, čime voditeljima obrade daje mogućnost zajedničkog prigovora na takve izmjene. Osigurava da se na te podizvršitelje obrade primjenjuju iste obveze zaštite podataka koje su utvrđene u ovoj Odluci;
                              
                           
                                 (3)
                              
                              
                                 obrađuje osobne podatke samo prema dokumentiranim uputama voditelja obrade, osim ako se to od nje zahtijeva pravom Unije ili pravom države članice. U tom slučaju Komisija obavješćuje zajedničke voditelje obrade o tom pravnom zahtjevu prije obrade, osim ako se tim pravom davanje takvih informacija zabranjuje zbog važnih razloga od javnog interesa;
                                 Obrada koju provodi Komisija podrazumijeva sljedeće:
                                 
                                             (a)
                                          
                                          
                                             autentifikaciju nacionalnih backend poslužitelja na temelju nacionalnih certifikata backend poslužitelja;
                                          
                                       
                                             (b)
                                          
                                          
                                             primanje podataka iz članka 5.a stavka 3. Odluke koje šalju nacionalni backend poslužitelji pružanjem aplikacijskog programskog sučelja koje nacionalnim backend poslužiteljima omogućuje slanje relevantnih podataka;
                                          
                                       
                                             (c)
                                          
                                          
                                             pohranu podataka u pristupniku za EU digitalnu COVID potvrdu;
                                          
                                       
                                             (d)
                                          
                                          
                                             stavljanje podataka na raspolaganje za preuzimanje putem nacionalnih backend poslužitelja;
                                          
                                       
                                             (e)
                                          
                                          
                                             brisanje podataka na datum isteka ili prema uputama voditelja obrade koji ih je dostavio;
                                          
                                       
                                             (f)
                                          
                                          
                                             nakon prestanka pružanja usluge, brisanje svih preostalih podataka osim ako postoji obveza pohrane osobnih podataka na temelju prava Unije ili države članice.
                                          
                                       
                           
                                 (4)
                              
                              
                                 poduzima sve najsuvremenije organizacijske, fizičke i logičke sigurnosne mjere za održavanje pristupnika za EU digitalnu COVID potvrdu. U tu svrhu Komisija:
                                 
                                             (a)
                                          
                                          
                                             imenuje subjekt odgovoran za upravljanje sigurnošću na razini pristupnika za EU digitalnu COVID potvrdu, voditeljima obrade dostavlja njegove podatke za kontakt i osigurava njegovu spremnost za reagiranje na sigurnosne prijetnje;
                                          
                                       
                                             (b)
                                          
                                          
                                             preuzima odgovornost za sigurnost pristupnika za EU digitalnu COVID potvrdu, što uključuje redovito testiranje, evaluiranje i ocjenjivanje sigurnosnih mjera;
                                          
                                       
                                             (c)
                                          
                                          
                                             osigurava da sve osobe kojima je odobren pristup pristupniku za EU digitalnu COVID potvrdu podliježu ugovornoj, profesionalnoj ili zakonskoj obvezi povjerljivosti;
                                          
                                       
                           
                                 (5)
                              
                              
                                 poduzima sve potrebne sigurnosne mjere kako bi se izbjeglo ugrožavanje neometanog funkcioniranja nacionalnih backend poslužitelja. U tu svrhu Komisija uvodi posebne postupke povezivanja backend poslužitelja s pristupnikom za EU digitalnu COVID potvrdu. To obuhvaća:
                                 
                                             (a)
                                          
                                          
                                             postupak procjene rizika za utvrđivanje i procjenu mogućih prijetnji sustavu;
                                          
                                       
                                             (b)
                                          
                                          
                                             postupak revizije i preispitivanja radi:
                                             
                                                         i.
                                                      
                                                      
                                                         provjere usklađenosti uvedenih sigurnosnih mjera i primjenjive sigurnosne politike;
                                                      
                                                   
                                                         ii.
                                                      
                                                      
                                                         redovite kontrole cjelovitosti sistemskih datoteka, sigurnosnih parametara i dodijeljenih odobrenja;
                                                      
                                                   
                                                         iii.
                                                      
                                                      
                                                         praćenja radi otkrivanja povreda sigurnosti i neovlaštenog pristupa;
                                                      
                                                   
                                                         iv.
                                                      
                                                      
                                                         uvođenja promjena radi ublažavanja postojećih sigurnosnih nedostataka;
                                                      
                                                   
                                                         v.
                                                      
                                                      
                                                         definiranja kriterija kad se odobrava, među ostalim i na zahtjev voditeljâ obrade, provođenje neovisnih revizija, uključujući inspekcije i preispitivanja sigurnosnih mjera, podložno uvjetima u skladu s Protokolom (br. 7) UFEU-a o povlasticama i imunitetima Europske unije, te sudjeluje u tim revizijama;
                                                      
                                                   
                                       
                                             (c)
                                          
                                          
                                             mijenjanje postupka nadzora radi dokumentiranja i mjerenja učinka promjene prije njezina uvođenja te obavješćivanja voditelja obrade o svim promjenama koje mogu utjecati na komunikaciju s njihovim infrastrukturama i/ili na sigurnost tih infrastruktura;
                                          
                                       
                                             (d)
                                          
                                          
                                             utvrđivanje postupka održavanja i popravka radi određivanja pravila i uvjeta kojih se treba pridržavati pri održavanju i/ili popravku opreme;
                                          
                                       
                                             (e)
                                          
                                          
                                             utvrđivanje postupka za slučaj sigurnosnih incidenata radi definiranja plana izvješćivanja i poduzimanja daljnih mjera, obavješćivanja bez odgode voditeljâ obrade kako bi oni obavijestili nacionalna nadzorna tijela za zaštitu podataka o svakoj povredi osobnih podataka te određivanja disciplinskog postupka u svrhu rješavanja takvih povreda;
                                          
                                       
                           
                                 (6)
                              
                              
                                 primjenjuje najsuvremenije fizičke i/ili logičke sigurnosne mjere za objekte u kojima je smještena oprema pristupnika za EU digitalnu COVID potvrdu te za kontrolu logičkih podataka i sigurnosnog pristupa. U tu svrhu Komisija:
                                 
                                             (a)
                                          
                                          
                                             primjenjuje mjere za fizičku sigurnost kako bi se uspostavila specifična sigurnosna područja i omogućilo otkrivanje prodora u ta područja;
                                          
                                       
                                             (b)
                                          
                                          
                                             nadzire pristup objektima i vodi evidenciju posjetitelja u svrhu praćenja;
                                          
                                       
                                             (c)
                                          
                                          
                                             osigurava da ovlašteno osoblje bude pratnja vanjskom osoblju kojem je omogućen pristup objektima;
                                          
                                       
                                             (d)
                                          
                                          
                                             osigurava da se oprema ne može dodati, zamijeniti ili ukloniti bez prethodnog odobrenja imenovanih odgovornih tijela;
                                          
                                       
                                             (e)
                                          
                                          
                                             kontrolira pristup nacionalnih backend poslužitelja pristupniku unutar okvira povjerenja i obrnuto;
                                          
                                       
                                             (f)
                                          
                                          
                                             osigurava da pojedinci koji pristupaju pristupniku za EU digitalnu COVID potvrdu budu identificirani i autentificirani;
                                          
                                       
                                             (g)
                                          
                                          
                                             preispituje ovlaštenja povezana s pristupom pristupniku za EU digitalnu COVID potvrdu u slučaju povrede sigurnosti koja utječe na tu infrastrukturu;
                                          
                                       
                                             (h)
                                          
                                          
                                             štiti cjelovitost informacija koje se prenose putem pristupnika za EU digitalnu COVID potvrdu;
                                          
                                       
                                             (i)
                                          
                                          
                                             provodi tehničke i organizacijske sigurnosne mjere protiv neovlaštenog pristupa osobnim podacima;
                                          
                                       
                                             (j)
                                          
                                          
                                             provodi, prema potrebi, mjere za blokiranje neovlaštenog pristupa pristupniku za EU digitalnu COVID potvrdu iz domene izdavatelja (tj. blokiranje lokacije/IP adrese);
                                          
                                       
                           
                                 (7)
                              
                              
                                 poduzima mjere za zaštitu svoje domene, uključujući prekidanje veza, u slučaju znatnog odstupanja od načela i koncepata kvalitete ili sigurnosti;
                              
                           
                                 (8)
                              
                              
                                 održava plan upravljanja rizicima povezan s njezinim područjem odgovornosti;
                              
                           
                                 (9)
                              
                              
                                 u stvarnom vremenu prati funkcioniranje svih komponenti usluga svojeg pristupnika unutar okvira povjerenja, redovito izrađuje statističke podatke i vodi evidenciju;
                              
                           
                                 (10)
                              
                              
                                 pruža cjelodnevnu podršku za sve usluge pristupnika unutar okvira povjerenja na engleskom jeziku putem telefona, e-pošte ili internetskog portala te prihvaća pozive ovlaštenih pozivatelja: koordinatorâ pristupnika za EU digitalnu COVID potvrdu i njihovih službi za podršku, službenika za projekte i imenovanih osoba iz Komisije;
                              
                           
                                 (11)
                              
                              
                                 odgovarajućim tehničkim i organizacijskim mjerama pomaže zajedničkim voditeljima obrade, u mjeri u kojoj je to moguće u skladu s člankom 12. Uredbe (EU) 2018/1725, da ispune obvezu voditelja obrade u pogledu odgovaranja na zahtjeve za ostvarivanje prava ispitanika koja su utvrđena u poglavlju III. Opće uredbe o zaštiti podataka;
                              
                           
                                 (12)
                              
                              
                                 davanjem informacija o pristupniku za EU digitalnu COVID potvrdu pomaže zajedničkim voditeljima obrade u ispunjavanju obveza na temelju članaka 32., 33., 34., 35. i 36. Opće uredbe o zaštiti podataka;
                              
                           
                                 (13)
                              
                              
                                 osigurava da su podaci koji se obrađuju unutar pristupnika za EU digitalnu COVID potvrdu nerazumljivi svakoj osobi koja im nije ovlaštena pristupiti;
                              
                           
                                 (14)
                              
                              
                                 poduzima sve odgovarajuće mjere kako bi spriječila da operateri pristupnika za EU digitalnu COVID potvrdu pristupe neovlašteno podacima koji se prenose;
                              
                           
                                 (15)
                              
                              
                                 poduzima mjere za olakšavanje interoperabilnosti i komunikacije među imenovanim voditeljima obrade pristupnika za EU digitalnu COVID potvrdu;
                              
                           
                                 (16)
                              
                              
                                 vodi evidenciju aktivnosti obrade provedenih u ime zajedničkih voditeljâ obrade u skladu s člankom 31. stavkom 2. Uredbe (EU) 2018/1725.
                              
                           
               ”