Regolamento (UE) 2021/953

Certificato COVID digitale dell’UE

Il regolamento istituisce un quadro comune, vincolante e direttamente applicabile per il rilascio, la verifica e l’accettazione dei certificati COVID digitali dell’UE relativi a vaccinazione, test e guarigione. La finalità dichiarata è agevolare l’esercizio del diritto di libera circolazione durante la pandemia di COVID-19 e contribuire alla revoca graduale e coordinata delle restrizioni nazionali, nel rispetto dei principi di proporzionalità e non discriminazione.

Contesto e ratio

Il legislatore richiama, nei considerando, l’impatto della pandemia sulle libertà di circolazione e soggiorno, nonché la necessità di evitare frammentazioni tra Stati membri dovute alla proliferazione di formati nazionali diversi. Il regolamento nasce anche dall’esigenza di creare fiducia reciproca tra le autorità nazionali, contrastare frodi e falsificazioni, e assicurare che i certificati siano interoperabili, verificabili, sicuri e compatibili con la protezione dei dati.

Ambito soggettivo e tipologie di certificato

Il sistema si applica ai cittadini dell’Unione e ai loro familiari, qualunque sia la cittadinanza, e riguarda tre categorie di certificati:

• certificato di vaccinazione;
• certificato di test;
• certificato di guarigione.

Gli Stati membri, o organismi designati per conto degli Stati membri, devono rilasciarli in formato digitale o cartaceo, oppure in entrambi i formati, lasciando al titolare il diritto di scegliere il formato desiderato. I certificati devono essere facilmente utilizzabili, contenere un codice a barre interoperabile e riportare le informazioni anche in forma leggibile dall’uomo, almeno nella lingua o nelle lingue ufficiali dello Stato di rilascio e in inglese.

Certificato di vaccinazione

L’articolo 5 impone agli Stati membri di rilasciare il certificato di vaccinazione, automaticamente o su richiesta, a chi abbia ricevuto un vaccino anti COVID-19. Il certificato deve contenere soltanto i dati necessari: identità del titolare, informazioni sul vaccino e sul numero di dosi, oltre ai metadati del certificato, secondo i campi definiti nell’allegato.

Il certificato va emesso in formato sicuro e interoperabile dopo ciascuna dose e deve indicare chiaramente se il ciclo vaccinale è completo. La Commissione può modificare, mediante atti delegati, i campi dati dell’allegato, ove ciò sia necessario per l’autenticità, la validità, l’integrità o l’interoperabilità con norme internazionali o alla luce dei progressi scientifici.

Quanto all’effetto sulle restrizioni di viaggio, se uno Stato membro accetta la prova di vaccinazione per non applicare restrizioni alla libera circolazione, deve accettare alle stesse condizioni i certificati rilasciati da altri Stati membri per vaccini autorizzati a livello UE ai sensi del regolamento (CE) n. 726/2004. Può inoltre accettare certificati relativi ad altri vaccini autorizzati a livello nazionale, temporaneamente autorizzati o presenti nell’elenco OMS per l’uso di emergenza; se lo fa, deve trattarli in modo non discriminatorio anche quando rilasciati da altri Stati membri.

Certificato di test

L’articolo 6 disciplina il certificato di test, che gli Stati membri devono rilasciare, automaticamente o su richiesta, alle persone sottoposte a test per SARS-CoV-2. Il certificato contiene dati identificativi, informazioni sul test NAAT o sul test antigenico rapido, e metadati del certificato, secondo i campi dell’allegato.

Sono ammissibili, ai fini del certificato, solo i risultati di test NAAT e di test antigenici rapidi inclusi nell’elenco comune aggiornato sviluppato sulla base della raccomandazione del Consiglio del 21 gennaio 2021. La Commissione può modificare i campi di dati tramite atti delegati, e il certificato deve essere emesso in formato sicuro e interoperabile.

Se uno Stato membro richiede un test per derogare alle restrizioni alla libera circolazione, deve accettare, alle stesse condizioni, i certificati negativi rilasciati dagli altri Stati membri.

Certificato di guarigione

L’articolo 7 prevede che gli Stati membri rilascino, su richiesta, il certificato di guarigione. Il rilascio non può avvenire prima di 11 giorni dalla prima positività a un test NAAT. Il certificato comprende i dati identificativi, le informazioni sulla precedente infezione da SARS-CoV-2 e i metadati del certificato, secondo l’allegato.

La Commissione può modificare, con atti delegati, il numero di giorni che deve intercorrere prima del rilascio, sulla base degli orientamenti scientifici del comitato per la sicurezza sanitaria o dell’ECDC. Può anche estendere il certificato di guarigione, previa ulteriore base scientifica, a risultati positivi ottenuti tramite test antigenici rapidi, test anticorpali o altri metodi convalidati scientificamente, con il relativo aggiornamento dei campi dati e dell’allegato.

Anche in questo caso, se uno Stato membro accetta la guarigione come base per non applicare restrizioni, deve riconoscere alle stesse condizioni i certificati di guarigione rilasciati dagli altri Stati membri.

Quadro di fiducia, interoperabilità e prevenzione delle frodi

L’articolo 4 istituisce un quadro di fiducia comune, fondato su infrastruttura a chiave pubblica, che consente il rilascio e la verifica affidabili dei certificati, garantendone autenticità, validità e integrità. Il sistema deve inoltre favorire l’individuazione di frodi e falsificazioni.

Il quadro di fiducia può includere lo scambio bilaterale di elenchi di revoca dei certificati, contenenti solo gli identificativi univoci dei certificati revocati e nessun altro dato personale. La verifica non deve essere notificata all’emittente. Il quadro deve anche perseguire l’interoperabilità con i sistemi tecnologici internazionali.

Specifiche tecniche e codice comune

L’articolo 9 attribuisce alla Commissione il potere di adottare atti di esecuzione sulle specifiche tecniche e sulle norme comuni necessarie al funzionamento del sistema: rilascio e verifica sicuri, sicurezza dei dati personali, compilazione dei certificati, struttura dell’identificativo univoco, codice a barre interoperabile, interoperabilità internazionale, riparto delle responsabilità tra titolari e responsabili del trattamento, e accessibilità per le persone con disabilità.

Protezione dei dati personali

L’articolo 10 chiarisce che il trattamento dei dati rientra nel regolamento (UE) 2016/679. I dati personali contenuti nei certificati possono essere trattati solo per accedere alle informazioni del certificato e verificarle al fine di agevolare la libera circolazione durante la pandemia. Dopo la fine del periodo di applicazione del regolamento non è ammesso alcun ulteriore trattamento.

I dati consultati dallo Stato membro di destinazione o di transito, o dagli operatori di trasporto transfrontalieri tenuti ad attuare misure sanitarie, non possono essere conservati. Anche i dati impiegati per il rilascio non possono essere conservati oltre quanto strettamente necessario e in ogni caso non oltre il periodo di utilizzabilità dei certificati. Le autorità o gli organismi designati per il rilascio sono considerati titolari del trattamento ai sensi del GDPR.

Il regolamento non crea una base giuridica per una banca dati centralizzata dell’Unione contenente dati personali. La base giuridica del trattamento è espressamente ancorata all’articolo 6, paragrafo 1, lettera c), e all’articolo 9, paragrafo 2, lettera g), del GDPR.

Restrizioni alla libera circolazione e obblighi di informazione

L’articolo 11 stabilisce che, qualora uno Stato membro accetti un certificato, deve astenersi dall’imporre ulteriori restrizioni alla libera circolazione, come ulteriori test, quarantena o autoisolamento, salvo che tali misure siano necessarie e proporzionate per la tutela della salute pubblica, anche alla luce dei dati epidemiologici dell’ECDC.

Se invece uno Stato membro introduce nuove restrizioni o condizioni nei confronti dei titolari dei certificati, deve informare Commissione e altri Stati membri, possibilmente 48 ore prima, indicando motivi, portata, categorie soggette o esentate, data e durata. Deve inoltre fornire informazioni chiare, complete e tempestive al pubblico, di regola 24 ore prima dell’entrata in vigore.

Paesi terzi, territori d’oltremare e Isole Fær Øer

L’articolo 8 consente alle autorità degli Stati membri di rilasciare un certificato di vaccinazione quando una persona presenta un certificato rilasciato in un paese terzo relativo a un vaccino corrispondente a quelli contemplati dal regolamento, purché siano state fornite informazioni sufficienti e una prova affidabile della vaccinazione. Gli Stati membri non sono però obbligati a rilasciare il certificato se il vaccino non è autorizzato nel loro territorio.

La Commissione può adottare un atto di esecuzione che dichiari equivalenti i certificati rilasciati da un paese terzo, se questi sono interoperabili con il quadro di fiducia, consentono la verifica di autenticità, validità e integrità e contengono i dati dell’allegato. Prima dell’adozione, la Commissione valuta le condizioni richieste e il paese terzo deve garantire formalmente di accettare i certificati rilasciati dagli Stati membri.

L’articolo si applica anche ai documenti rilasciati nei paesi e territori d’oltremare e nelle Isole Fær Øer, ma non ai documenti rilasciati per conto di uno Stato membro in tali territori.

Regime transitorio, durata e controlli della Commissione

L’articolo 15 prevede un periodo di introduzione graduale: i certificati rilasciati prima del 1° luglio 2021 sono accettati fino al 12 agosto 2021, purché contengano i dati richiesti dall’allegato. Se uno Stato membro non è in grado di rilasciare certificati conformi dal 1° luglio 2021, deve informare Commissione e altri Stati membri; anche i suoi certificati non conformi, ma contenenti i dati richiesti, sono accettati fino al 12 agosto 2021.

L’articolo 16 impone due relazioni della Commissione: una entro il 31 ottobre 2021, con dati sul numero di certificati rilasciati, sugli orientamenti scientifici richiesti e sulle informazioni ricevute sulle restrizioni; l’altra entro il 31 marzo 2022, con una valutazione complessiva dell’impatto del regolamento sulla libera circolazione, sui viaggi e sul turismo, sull’accettazione dei diversi vaccini, sui diritti fondamentali, sulla non discriminazione e sulla protezione dei dati personali. La seconda relazione può essere accompagnata da proposte legislative, anche per prorogare la durata del regolamento.

Entrata in vigore e applicazione

Il regolamento entra in vigore il giorno della pubblicazione nella Gazzetta ufficiale dell’Unione europea e si applica dal 1° luglio 2021 al 30 giugno 2022. Il testo è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.

Allegato: dati obbligatori nei certificati

L’allegato definisce i campi di dati per ciascun tipo di certificato.

Per il certificato di vaccinazione sono previsti, tra gli altri:

• nome e data di nascita;
• malattia o agente in questione: COVID-19 (SARS-CoV-2 o varianti);
• vaccino/profilassi, nome del prodotto, titolare dell’autorizzazione o fabbricante;
• numero di dose nella serie e numero complessivo;
• data dell’ultima dose;
• Stato membro o paese terzo di somministrazione;
• soggetto che ha rilasciato il certificato;
• identificativo univoco.

Per il certificato di test sono previsti:

• nome e data di nascita;
• malattia o agente in questione;
• tipo di test;
• nome e fabbricante del test, se applicabili;
• data e ora del prelievo;
• risultato;
• centro o struttura, se applicabile;
• Stato membro o paese terzo di esecuzione;
• soggetto che ha rilasciato il certificato;
• identificativo univoco.

Per il certificato di guarigione sono previsti:

• nome e data di nascita;
• malattia o agente da cui il titolare è guarito;
• data della prima positività al test NAAT;
• Stato membro o paese terzo di esecuzione;
• soggetto che ha rilasciato il certificato;
• validità dal e validità fino al, con durata massima non oltre 180 giorni dal primo risultato positivo;
• identificativo univoco.

Nel complesso, il regolamento costruisce un sistema armonizzato di riconoscimento sanitario digitale che si fonda su minimizzazione dei dati, standard tecnici comuni, tutela contro abusi e falsificazioni, e cooperazione amministrativa tra Stati membri e Commissione, mantenendo però espressa la natura non discriminatoria del certificato e la sua non equivalenza a un documento di viaggio.