Instrumente de facilitare a călătoriilor în interiorul UE în timpul pandemiei de COVID-19 Inițiative relevante, cu impact variind de la succes la utilizare limitată

Sinteză

I În urma detectării primelor cazuri de COVID-19 în UE, statele membre au început, în martie 2020, să impună interdicții de călătorie și alte restricții privind libera circulație a cetățenilor. Pentru a facilita călătoriile și pentru a contribui la urmărirea cazurilor de COVID-19, Comisia a elaborat patru instrumente:

• serverul european de acces pentru interoperabilitate: un portal menit să asigure interoperabilitatea la nivelul UE între aplicațiile naționale de depistare a contacților;
• formularul electronic al UE de localizare a pasagerilor: un instrument care înlocuiește formularele pe hârtie utilizate în timpul călătoriilor pentru a colecta informații în scopul depistării contacților;
• certificatul digital al UE privind COVID: un certificat care atestă vaccinarea împotriva COVID-19, vindecarea sau un rezultat negativ la un test de depistare;
• platforma pentru schimbul de formulare de localizare a pasagerilor: o soluție pentru schimbul de date de depistare a contacților între autoritățile naționale din diferite state membre.

II Obiectivul auditului Curții a fost de a evalua dacă Comisia a elaborat instrumente eficace pentru a facilita călătoriile în interiorul UE în timpul pandemiei de COVID-19. Prin urmare, scopul Curții a fost de a identifica exemple de bune practici și domenii în care sunt necesare îmbunătățiri în ceea ce privește modul în care Comisia dezvoltă instrumente informatice pentru a facilita libera circulație în timpul unei crize sanitare. Prezentul raport de audit completează Raportul special nr. 13/2022 al Curții, în cadrul căruia s-a examinat dacă Comisia a luat măsuri eficace pentru a proteja dreptul la liberă circulație al persoanelor în timpul pandemiei de COVID-19.

III În ansamblu, Curtea concluzionează că, în pofida competenței limitate a Comisiei în domeniul politicii de sănătate publică, aceasta a acționat rapid, propunând soluții tehnologice adecvate pentru a facilita călătoriile în interiorul UE în timpul pandemiei de COVID-19. Utilizarea acestor instrumente de către statele membre a variat însă în mod semnificativ, astfel încât impactul lor în facilitarea călătoriilor a fost inegal.

IV Comisia a mobilizat rapid 71 de milioane de euro pentru dezvoltarea instrumentelor, combinând mai multe surse de finanțare și utilizând contracte-cadru existente în locul unor proceduri de achiziții publice. Portalul de depistare a contacților a devenit disponibil la scurt timp după începerea pandemiei, iar certificatul digital al UE privind COVID a devenit disponibil când eforturile de vaccinare erau intensificate pe întregul continent. Lucrările tehnice și legislative cu privire la aceste instrumente au fost rapide. Totuși, mai multe state membre elaboraseră deja propriile formulare electronice de localizare a pasagerilor înainte ca soluția UE pentru aceste formulare să devină disponibilă.

V La elaborarea instrumentelor, Comisia a luat în considerare cerințele în materie de protecție a datelor și bunele practici în materie de securitate informatică. Ea nu are însă competența de a verifica dacă țările care utilizează certificatul digital al UE privind COVID respectau cerințele de securitate informatică.

VI Certificatul digital al UE privind COVID a fost eficace în facilitarea călătoriilor și a îmbunătățit schimbul de informații și coordonarea în ceea ce privește restricțiile de călătorie. Statele membre și multe țări din afara UE au utilizat pe scară largă sistemul de certificate digitale ale UE privind COVID, până în martie 2022 fiind emise peste 1,7 miliarde de certificate în statele membre ale UE și în statele din Spațiul Economic European (SEE). În plus, în prima lună după intrarea în vigoare a Regulamentului privind certificatul digital al UE privind COVID, statele membre își armonizaseră considerabil restricțiile de călătorie. Curtea a constatat însă că modalitățile prin care țările se informau reciproc cu privire la incidente care necesitau un răspuns urgent (de exemplu, certificate frauduloase) erau cronofage din cauza dificultăților de identificare a omologilor potriviți în celelalte țări.

VII Celelalte instrumente examinate de Curte nu au avut impactul scontat, deoarece utilizarea lor a fost limitată. Doar patru state membre au utilizat formularul electronic al UE de localizare a pasagerilor, în timp ce alte țări au continuat să se bazeze pe soluții naționale. În general, utilizarea platformei pentru schimbul de formulare și a portalului de depistare a contacților a rămas limitată.

VIII Pe baza acestor concluzii, Curtea recomandă Comisiei:

• să analizeze și să abordeze motivele aflate la baza adoptării reduse a formularelor electronice ale UE de localizare a pasagerilor;
• să eficientizeze comunicarea cu privire la incidentele legate de certificatul digital al UE privind COVID;
• să elaboreze instrumente ale UE relevante pentru eventuale crize viitoare.

Introducere

01 Libera circulație a persoanelor se referă la dreptul cetățenilor UE și al membrilor familiilor acestora la liberă circulație și ședere pe teritoriul statelor membre. Acest drept constituie una dintre cele patru libertăți fundamentale ale UE (alături de libera circulație a mărfurilor, a serviciilor și a capitalurilor) și a reprezentat încă de la început un element central al proiectului european¹. Directiva privind libera circulație² stabilește condițiile și limitările aplicabile.

02 Protejarea sănătății publice este o competență de nivel național³. Prin urmare, Comisia Europeană joacă un rol limitat în politica în domeniul sănătății, concentrându-se în principal pe coordonare⁴. Aceasta poate sprijini și completa acțiunile statelor membre, care dispun de competențe substanțiale pentru a-și stabili propriile politici de sănătate⁵.

03 În urma detectării primelor cazuri de COVID-19, statele membre au început, în martie 2020, să impună controale la frontiere și restricții privind libera circulație a cetățenilor, în încercarea de a limita răspândirea pandemiei. Comisia rămânea însă responsabilă de monitorizarea conformității acestor restricții cu legislația UE privind libera circulație. Pentru a limita impactul măsurilor legate de COVID-19 asupra liberei circulații, Comisia a luat diverse inițiative cu scopul de a sprijini coordonarea între statele membre.

04 De asemenea, Comisia a elaborat următoarele instrumente pentru a facilita călătoriile și pentru a contribui la depistarea cazurilor pozitive de COVID-19 (a se vedea anexa I pentru descrierea detaliată a instrumentelor):

• un portal de depistare a contacților: serverul european de acces pentru interoperabilitate (European Federation Gateway Service – EFGS);
• formularul electronic de localizare a pasagerilor (EU dPLF);
• certificatul digital al UE privind COVID;
• o platformă pentru schimbul de formulare de localizare a pasagerilor (ePLF).

05 Aplicațiile de depistare a contacților, care informează în mod anonim utilizatorii că este posibil să fi fost în contact cu o persoană infectată, au fost unele dintre primele instrumente puse la dispoziție. Comisia a dezvoltat legătura dintre aplicațiile de depistare a contacților din diferite state membre, extinzându-le astfel beneficiile pentru a include facilitarea călătoriilor în interiorul UE.

06 În timpul pandemiei, pentru a facilita depistarea contacților în timpul călătoriilor, pasagerilor li se solicita să furnizeze detalii de contact și de localizare prin intermediul formularelor de localizare a pasagerilor care erau trimise autorităților naționale relevante. În cazul unui test pozitiv, autoritățile utilizau formularele respective pentru a contacta pasagerii care au fost așezați în apropierea persoanei respective și pentru a-i avertiza să efectueze un test COVID-19 și să ia măsuri de precauție. Comisia a elaborat formularul electronic al UE de localizare a pasagerilor pentru a simplifica utilizarea formularelor naționale în timpul crizelor sanitare transfrontaliere precum cea provocată de COVID-19. Cel de al treilea program al UE în domeniul sănătății (2014-2020) a inclus o acțiune comună cunoscută sub denumirea de EU Healthy Gateways, care, înainte de izbucnirea pandemiei de COVID-19, începuse deja să elaboreze formulare pe hârtie pentru transportul maritim și pentru cel terestru, utilizând modele internaționale. Acțiunea comună EU Healthy Gateways a fost ulterior utilizată pentru a sprijini digitalizarea formularelor de localizare a pasagerilor.

07 Comisia a elaborat, de asemenea, certificatul digital al UE privind COVID, care furniza o dovadă verificabilă și acceptată pe bază de reciprocitate că titularul fusese vaccinat împotriva COVID-19, primise recent un rezultat negativ la un test de depistare a COVID-19 sau se vindecase de COVID-19. Statele membre sunt obligate să accepte aceste certificate atunci când decid, în timpul pandemiei de COVID-19, să solicite călătorilor să prezinte o dovadă de vaccinare, dovada obținerii unui rezultat negativ la un test de depistare sau o dovadă de vindecare.

08 Ultimul instrument dezvoltat de Comisie a fost o platformă prin intermediul căreia statele membre să poată face schimb de formulare de localizare a pasagerilor. Platforma permitea echipelor de depistare a contacților să facă schimb de formulare în mod direct, pe cale electronică, reducând astfel timpul necesar pentru informarea călătorilor expuși la risc.

09 Dezvoltarea instrumentelor a implicat mai multe departamente ale Comisiei. Direcția Generală Sănătate și Siguranță Alimentară, împreună cu Direcția Generală Rețele de Comunicare, Conținut și Tehnologie, erau proprietari de sistem ai portalului de depistare a contacților. Aceste două direcții generale au condus, de asemenea, elaborarea certificatelor digitale ale UE împreună cu Direcția Generală Justiție și Consumatori și cu Direcția Generală Migrație și Afaceri Interne. În plus, Direcția Generală Informatică a furnizat infrastructura informatică necesară.

10 Statele membre au fost implicate în dezvoltarea acestor instrumente în principal prin intermediul rețelei de e-sănătate (a se vedea caseta 1). Au contribuit, de asemenea, agenții ale UE, cum ar fi Centrul European de Prevenire și Control al Bolilor sau Agenția Europeană pentru Medicamente. Dezvoltarea instrumentelor de localizare a pasagerilor a fost coordonată de statele membre, ca acțiune comună finanțată în cadrul celui de al treilea program al UE în domeniul sănătății, de Agenția Uniunii Europene pentru Siguranța Aviației și de Direcția Generală Mobilitate și Transporturi.

11 Scopul instrumentelor UE era unic, în sensul că, la data dezvoltării acestora, nu existau alte sisteme adecvate cu care să poată fi comparate. Pentru ca instrumentele UE descrise mai sus să fie cât mai eficace posibil în facilitarea călătoriilor în timpul pandemiei de COVID-19, era important ca toate statele membre să le adopte, astfel încât să existe consecvență în modul în care statele utilizau datele medicale pentru gestionarea călătoriilor în UE și astfel încât restricțiile de călătorie pe care le impuneau să fie coordonate.

12 Pe lângă furnizarea a 71 de milioane de euro pentru a sprijini dezvoltarea de instrumente informatice, Comisia a pus la dispoziția statelor membre 100 de milioane de euro pentru a le ajuta să suporte sarcina financiară pe care o impunea testarea pentru COVID-19. La rândul său, creșterea gradului de testare și de vaccinare a dus la creșterea numărului de certificate digitale privind COVID-19 eliberate. Călătoriile transfrontaliere în interiorul UE pot implica unele sau toate aceste instrumente, astfel cum se descrie în figura 1.

Sfera și abordarea auditului

13 Prezentul audit completează raportul special anterior al Curții⁷, care a evaluat dacă Comisia a luat măsuri eficace pentru a proteja dreptul la liberă circulație al persoanelor în timpul pandemiei de COVID-19. Primul raport a acoperit supravegherea asigurată de Comisie cu privire la controalele la frontierele interne din spațiul Schengen, restricțiile de călătorie aferente și eforturile de coordonare la nivelul UE.

14 Obiectivul acestui al doilea audit a fost de a evalua dacă Comisia a elaborat instrumente eficace pentru a facilita călătoriile în interiorul UE în timpul crizei provocate de pandemia de COVID-19. Prin intermediul acestui audit, Curtea a urmărit să identifice exemple de bune practici și domenii în care sunt necesare îmbunătățiri în ceea ce privește modul în care Comisia dezvoltă instrumente informatice pentru a facilita libera circulație în timpul unor crize sanitare. Pentru a răspunde la întrebarea principală a auditului, Curtea a căutat să obțină răspunsuri la următoarele două întrebări secundare:

• Comisia a dezvoltat în mod corespunzător instrumentele UE menite să faciliteze călătoriile?
• Statele membre au utilizat pe scară largă instrumentele UE și acest lucru a condus la o mai bună coordonare și la un mai bun schimb de informații cu privire la restricțiile de călătorie impuse de acestea?

15 Acest audit acoperă perioada cuprinsă între octombrie 2020 și iunie 2022 și se axează pe cele patru instrumente ale UE enumerate la punctul 04, inclusiv pe finanțarea aferentă din partea UE. Auditul nu acoperă finanțarea din partea UE pentru vaccinarea împotriva COVID-19, pe care Curtea a evaluat-o anterior în raportul său special referitor la achiziționarea de vaccinuri împotriva COVID-19 de către UE⁸.

16 Auditul a fost efectuat prin examinări documentare, chestionare scrise și interviuri cu părțile interesate relevante. Curtea a examinat și a analizat:

• legislația UE aplicabilă, cu scopul de a identifica principalele cerințe de reglementare și responsabilitățile diferiților actori;
• documente interne ale Comisiei referitoare la dezvoltarea tehnică și adoptarea juridică a certificatului digital al UE privind COVID, a serverului european de acces pentru interoperabilitate, a formularului electronic de localizare a pasagerilor (EU dPLF) și a unei platforme pentru schimbul de formulare de localizare a pasagerilor (ePLF);
• publicațiile Comisiei referitoare la călătoriile în contextul pandemiei de COVID-19, cum ar fi orientări, comunicări, propuneri de recomandări sau propuneri de acte legislative;
• specificațiile tehnice ale instrumentelor, evaluările de securitate și de risc, rapoartele privind testele de penetrare și planurile de securitate informatică, pentru a permite experților IT ai Curții să verifice dacă instrumentele îndeplinesc cerințele de securitate.

17 Pentru a obține probe, pentru a confirma situația de fapt și pentru a corobora datele colectate din alte surse, Curtea a realizat interviuri de audit cu:

• Direcția Generală Justiție și Consumatori, Direcția Generală Mobilitate și Transporturi, Direcția Generală Sănătate și Siguranță Alimentară și Direcția Generală Rețele de Comunicare, Conținut și Tehnologie din cadrul Comisiei;
• Centrul European de Prevenire și Control al Bolilor, ale cărui responsabilități includ hărți de risc și orientări legate de COVID-19;
• autoritățile sanitare din state membre ale UE și din țări din afara UE:
• reprezentanți ai companiilor aeriene, ai sectorului călătoriilor și ai asociațiilor de consumatori.

18 De asemenea, Curtea a efectuat un sondaj pentru a colecta feedback cu privire la utilizarea unor astfel de instrumente în fiecare stat membru. Dintre cei 27 de delegați ai statelor membre care alcătuiesc mecanismul integrat al Consiliului pentru un răspuns politic la crize, 13 au răspuns la sondajul Curții. Aceasta reprezintă o rată de răspuns de 48 %. Sondajul a fost utilizat pentru a sprijini analiza Curții și pentru a corobora observațiile sale.

Observații

Comisia a dezvoltat soluții tehnologice adecvate, dar acestea nu au fost întotdeauna adoptate de statele membre

19 Această secțiune examinează dacă Comisia a dezvoltat în mod corespunzător instrumentele de facilitare a călătoriilor în timpul pandemiei de COVID-19 și, în special, dacă:

1. a mobilizat rapid fonduri UE după izbucnirea pandemiei;
2. a pus la dispoziție instrumentele în timp util;
3. a luat în considerare nevoile și disponibilitatea statelor membre de a utiliza instrumentele;
4. a luat în considerare preocupările legate de securitatea informatică și de protecția vieții private în ceea ce privește datele sensibile privind sănătatea.

20 Curtea a examinat dacă alegerea de către Comisie a surselor de finanțare și a furnizorilor de servicii i-a permis acesteia să demareze activitățile de dezvoltare a instrumentelor imediat după începerea pandemiei. Curtea a examinat, de asemenea, procesul de consultare, cu scopul de a evalua dacă instrumentele erau aliniate la prioritățile statelor membre. În sfârșit, Curtea a evaluat dacă instrumentele au urmat cele mai bune practici în ceea ce privește protecția datelor cu caracter personal și securitatea informatică.

Comisia a mobilizat rapid fonduri UE pentru aceste instrumente

21 Comisia a mobilizat fonduri UE din diferite surse, cum ar fi Instrumentul de sprijin de urgență și programul Europa digitală. UE a alocat 71 de milioane de euro pentru dezvoltarea instrumentelor. Figura 2 ilustrează finanțarea acordată de UE pentru aceste instrumente.

22 Finanțarea din partea UE pentru certificatele digitale ale UE s-a ridicat la 50 de milioane de euro (din care 43 de milioane de euro din Instrumentul de sprijin de urgență și 7 milioane euro din programul Europa digitală). Până în martie 2022, 77 % din acest buget fusese alocat pentru dezvoltarea și adaptarea unor soluții naționale și pentru conectarea acestora la portalul de depistare a contacților: 21,9 milioane de euro au fost angajați pentru un contractant privat și 16,7 milioane de euro au fost plătiți sub formă de granturi statelor membre.

23 Finanțarea din partea UE pentru portalul de depistare a contacților s-a ridicat la aproximativ 16,8 milioane de euro (13 milioane de euro provenind din Instrumentul de sprijin de urgență). Comisia a justificat această finanțare pe baza necesității „de a facilita schimbul de date între țări, permițând aplicațiilor naționale să informeze utilizatorii care au fost expuși la un utilizator care utilizează o aplicație națională diferită și care a primit un rezultat pozitiv la un test de depistare a COVID-19”.

24 Platforma pentru schimbul de formulare de localizare a pasagerilor și formularul electronic al UE pentru pasageri au necesitat mult mai puțină finanțare din partea UE: platformei de schimb i-au fost alocați aproximativ 2,9 milioane de euro (în principal din Instrumentul de sprijin de urgență), iar formularelor electronice, 1,3 milioane de euro (cu finanțare din programele UE în domeniul sănătății). Fondurile alocate platformei de schimb au fost utilizate pentru a finanța un proiect-pilot de testare a fezabilității platformei și pentru a o extinde, cu scopul de a acoperi mai multe state membre și moduri de transport. Finanțarea pentru versiunea electronică a formularelor de localizare a pasagerilor a fost utilizată pentru dezvoltare, pentru găzduirea în cloud și pentru transferul instrumentului în mediul informatic al Comisiei Europene.

25 În plus, în urma lansării certificatului digital al UE privind COVID, UE a pus la dispoziție 100 de milioane de euro pentru a sprijini testarea COVID-19 în statele membre⁹. Această finanțare a urmat acordului politic din 20 mai 2021 dintre Parlamentul European și Consiliu referitor la Regulamentul privind certificatul digital al UE privind COVID. Statele membre au utilizat marea majoritate (90 %) a acestei alocări, ceea ce a făcut posibilă eliberarea de certificate suplimentare pe baza testării pentru a facilita călătoriile.

26 Curtea a constatat că Comisia mobilizase rapid această finanțare și adoptase o abordare pragmatică în ceea ce privește dezvoltarea instrumentelor, care reflecta necesitatea de a le furniza rapid. Instrumentele au fost dezvoltate sub presiunea timpului, fără a se solicita oferte de la diferiți contractanți. În loc să utilizeze licitații competitive pentru achiziționarea de licențe și pentru dezvoltarea portalului de depistare a contacților, a certificatului digital al UE privind COVID și a platformei pentru schimbul de formulare de localizare a pasagerilor, Comisia a utilizat contracte-cadru pe care le semnase deja cu un furnizor de servicii informatice la 30 octombrie 2019 și la 24 februarie 2020. Contractele-cadru stabilesc condițiile generale ale unei relații comerciale și oferă o bază pentru semnarea unor contracte specifice pentru livrări individuale. Pentru formularele electronice ale UE de localizare a pasagerilor, prima finanțare a fost mobilizată în iulie 2020, în cadrul acțiunii comune EU Healthy Gateways, prin realocarea de fonduri de la activități care nu mai erau posibile din cauza pandemiei.

27 În cazul certificatului digital al UE privind COVID, Comisia a selectat furnizorul utilizând un contract-cadru atribuit printr-o procedură de negociere lansată în 2019 fără publicarea unui anunț de participare. Potrivit Comisiei, furnizorul selectat avea experiență în ceea ce privește dezvoltarea portalului de depistare a contacților și era singurul care dispunea de expertiza necesară în ceea ce privește software-ul care urma să fie utilizat pentru certificatul digital al UE privind COVID.

Comisia a dezvoltat în timp util portalul de depistare a contacților și sistemul privind certificatul digital al UE privind COVID, dar pentru formularele de localizare a pasagerilor au fost disponibile soluții naționale înaintea celor dezvoltate de UE

28 Atunci când Organizația Mondială a Sănătății a declarat COVID-19 drept pandemie în martie 2020, statele membre au început să impună restricții privind libera circulație¹⁰, iar Comisia a început să emită orientări pentru a facilita coordonarea între acestea¹¹. Portalul de depistare a contacților a început să funcționeze după 7 luni de la declararea pandemiei, iar certificatul digital al UE privind COVID și formularul de localizare a pasagerilor au devenit operaționale după aproximativ 15 luni de la această dată. Figura 3 prezintă cronologia conceperii și a implementării instrumentelor. Având în vedere cerințele juridice și tehnice ale acestor instrumente descrise mai jos, Curtea consideră că portalul de depistare a contacților și certificatul digital al UE privind COVID au fost dezvoltate în timp util, spre deosebire de instrumentele legate de formularele de localizare a pasagerilor.

29 Primul instrument dezvoltat a fost portalul de depistare a contacților, un sistem la nivelul UE menit să asigure interoperabilitatea între aplicațiile naționale de depistare a contacților. La 13 mai 2020, Comisia a emis un set de orientări și recomandări pentru a contribui la eliminarea treptată a restricțiilor de călătorie¹² impuse de statele membre. Orientările încurajau utilizarea tehnologiei în acest scop. Portalul a devenit operațional în octombrie 2020, după cinci luni de la publicarea orientărilor de către Comisie.

30 La sfârșitul lunii aprilie 2020, după doar o lună de la impunerea primelor restricții, acțiunea comună EU Healthy Gateways a prezentat Comisiei o propunere de digitalizare a formularelor de localizare a pasagerilor. Discuțiile dintre Comisie și statele membre au durat însă câteva luni, iar propunerea a fost acceptată în august 2020. În octombrie 2020, Consiliul a recomandat¹³ elaborarea unui formular electronic comun al UE de localizare a pasagerilor. Între timp, mai multe state membre ajunseseră într-un stadiu avansat în ceea ce privește dezvoltarea propriilor soluții naționale (a se vedea tabelul 1).

31 În urma recomandării Consiliului, Comisia a început în noiembrie 2020 lucrările privind platforma pentru schimbul de formulare de localizare a pasagerilor. Decizia de punere în aplicare a Comisiei¹⁴ privind schimbul de formulare a fost adoptată însă abia la 27 mai 2021. Statele membre au putut începe schimbul efectiv de formulare electronice pe platformă abia în iulie 2021.

32 Certificatul digital al UE privind COVID a fost al patrulea instrument dezvoltat de Comisie. Activitatea cu privire la acesta a început mai târziu decât pentru celelalte instrumente, deoarece a fost strâns legată de procesul de vaccinare în UE. Discuțiile privind un certificat de vaccinare împotriva COVID-19 erau în desfășurare între Comisie și statele membre din noiembrie 2020 în cadrul rețelei de e-sănătate¹⁵ (a se vedea caseta 1), forum în cadrul căruia Estonia a prezentat primul proiect-pilot privind un certificat de vaccinare digital verificabil.

33 La 21 decembrie 2020, Agenția Europeană pentru Medicamente a recomandat autorizarea primului vaccin, iar câteva zile mai târziu au început primele vaccinări în UE. O lună mai târziu, la 28 ianuarie 2021, țările din UE au adoptat orientări de bază pentru o dovadă interoperabilă a vaccinării în scopuri medicale¹⁶, un identificator unic al certificatului și principiile unui cadru de încredere.

34 Acordul politic din 20 mai 2021 dintre Parlamentul European și Consiliu referitor la Regulamentul privind certificatul digital al UE privind COVID a stabilit sfârșitul lunii iunie ca termen pentru punerea în aplicare a sistemului. Prin urmare, Comisia a trebuit să lucreze la dezvoltarea tehnică în paralel cu activitatea legislativă privind regulamentul¹⁷. La proiectarea arhitecturii tehnice, Comisia s-a bazat pe experiența anterioară în ceea ce privește portalul de depistare a contacților, fapt care i-a permis să accelereze dezvoltarea instrumentului. La 17 martie 2021, Comisia a finalizat propunerea sa legislativă¹⁸. Șapte țări au început să utilizeze certificatul digital al UE privind COVID la 1 iunie 2021, cu o lună înainte de intrarea în vigoare a regulamentului, permițând cetățenilor și rezidenților UE să beneficieze de eliberarea, verificarea și acceptarea certificatelor în întreaga UE. Până la 1 iulie, toate statele membre ale UE/SEE (cu excepția Irlandei, care a aderat la 14 iulie 2021, după ce a suferit un atac cibernetic asupra serviciului său național de sănătate în mai 2021) erau conectate la portalul UE pentru certificate digitale.

35 Parlamentul European și Consiliul au adoptat regulamentul la 14 iunie 2021, după mai puțin de trei luni de la propunerea inițială¹⁹. Procesul a fost foarte rapid în acest caz, având în vedere că durata medie a procedurii legislative pentru legislația UE adoptată în primă lectură este de aproape 18 luni²⁰. Acest lucru a însemnat că certificatul digital al UE privind COVID a putut fi lansat chiar când a început perioada vacanței de vară și când se intensificau eforturile de vaccinare pe întregul continent: la 10 iulie 2021, UE a primit suficiente vaccinuri pentru vaccinarea a 71 % din populația sa adultă.

La elaborarea unora dintre instrumente, Comisia nu a reușit să convingă anumite state membre să își depășească rezervele

36 Necesitatea de a furniza rapid instrumentele și de a facilita călătoriile în timpul pandemiei de COVID-19 a determinat Comisia să înceapă dezvoltările fără a efectua în prealabil evaluări ale impactului. Astfel de evaluări sunt utilizate pentru a stabili efectele probabile ale unei politici publice și necesitatea unei intervenții din partea UE. Orientările UE privind o mai bună legiferare²¹ impun Comisiei, în condiții normale, să efectueze o evaluare a impactului politicilor înainte de orice nou regulament. Ele recunosc însă și că, în circumstanțe extraordinare, cum ar fi o situație de urgență care necesită un răspuns rapid, s-ar putea să nu fie posibil sau adecvat să se urmeze toate etapele pe care le prevăd.

37 Deși nu a efectuat o evaluare a impactului, Comisia a consultat statele membre cu privire la portalul de depistare a contacților și la certificatul digital prin intermediul unor grupuri de lucru. Încă din decembrie 2020, un subgrup tehnic din cadrul rețelei de e-sănătate a analizat opțiunile de sprijinire a certificatelor digitale de vaccinare și de facilitare a schimbului de informații între statele membre. Comisia nu a efectuat astfel de consultări detaliate înainte de a demara dezvoltarea celorlalte instrumente. Sondajul Curții a confirmat că nu toate statele membre erau interesate să utilizeze toate instrumentele UE examinate de Curte.

38 Din rezultatele la sondajul Curții reiese că aproape jumătate dintre cele 11 state membre care au raportat că nu au utilizat instrumentele privind formularul de localizare a pasagerilor au fost reticente în acest sens din cauza preocupărilor legate de protecția datelor și a altor preocupări de ordin juridic. Trei state membre au subliniat că își elaboraseră deja propriile formulare naționale de localizare a pasagerilor, adaptate la nevoile lor individuale, și că nu vedeau niciun beneficiu pe care l-ar fi putut aduce trecerea la soluțiile UE.

39 În plus, în cadrul consultărilor aferente acțiunii comune Healthy Gateway, care au avut loc în octombrie 2021 și în martie 2022, opiniile statelor membre cu privire la utilitatea instrumentelor privind formularul de localizare a pasagerilor au fost împărțite. Cinci state membre ale UE utilizau cel puțin unul dintre instrumente, iar 10 și-au exprimat interesul, dar 12 au declarat că era puțin probabil să facă acest lucru, inclusiv două (Danemarca și Suedia) care au declarat că nu erau interesate să le utilizeze.

40 În cazul portalului de depistare a contacților, nu toate statele membre s-au alăturat atunci când soluția a devenit disponibilă, în septembrie 2020. Statele membre au aderat treptat, în funcție de dorința lor de a face acest lucru și de gradul de dezvoltare a propriilor aplicații. Până la jumătatea lunii noiembrie 2020, șase state membre își conectaseră aplicațiile. Altele au urmat progresiv până în iulie 2021, dată la care erau conectate 19 state membre.

Comisia a abordat preocupările legate de protecția datelor și a aplicat bune practici în materie de securitate informatică

41 Există două riscuri importante care trebuie abordate atunci când se elaborează instrumente de gestionare a datelor privind sănătatea²².

1. Protecția datelor: datele privind sănătatea sunt extrem de sensibile și sunt recunoscute de Regulamentul general al UE privind protecția datelor ca o categorie specială²³. Prin urmare, instrumentele utilizate pentru gestionarea lor trebuie să includă măsuri de protecție și controale specifice pentru a proteja informațiile stocate și trimise. Curtea a examinat evaluările impactului asupra protecției datelor realizate pentru instrumente, precum și dacă procesele instituite reduceau la minimum prelucrarea datelor cu caracter personal.
2. Securitatea informatică: digitalizarea serviciilor de sănătate și accesul la dosare medicale digitale sporesc riscul de incidente de securitate cibernetică, deoarece oferă noi potențiale puncte de acces pentru infractorii cibernetici. Prin urmare, Curtea a evaluat dacă instrumentele fuseseră dezvoltate și funcționau în conformitate cu bunele practici în materie de securitate²⁴.

42 Din perspectiva protecției datelor, statele membre participante sunt „operatori de date asociați” (în sensul Regulamentului general privind protecția datelor) pentru aplicații la nivelul UE, cum ar fi portalul de depistare a contacților și unele caracteristici specifice ale certificatului digitale al UE privind COVID-19. Statele membre împart cu Comisia responsabilitatea de a decide cum și în ce scopuri sunt prelucrate datele cu caracter personal și de a institui controale adecvate. Fiecare dintre ele trebuie să elaboreze evaluări ale impactului asupra protecției datelor pentru a identifica și a atenua riscurile care decurg din utilizarea unor astfel de aplicații pentru prelucrarea datelor cu caracter personal. Comisia, care acționează în calitate de „persoană împuternicită de către operator” în numele acestora, a sprijinit statele membre în elaborarea evaluărilor impactului asupra protecției datelor pentru instrumentele UE care fac obiectul prezentului raport prin furnizarea de documente justificative și de modele²⁵. Utilizarea acestor modele a fost voluntară, iar Comisia nu era responsabilă de monitorizarea utilizării sau neutilizării lor de către statele membre.

43 Atât certificatul digital al UE privind COVID-19, cât și portalul de depistare a contacților au adoptat o arhitectură tehnică ce a redus la minimum colectarea datelor cu caracter personal prin intermediul portalurilor centrale ale UE. În cazul certificatului digital al UE privind COVID, datele cu caracter personal ale cetățenilor UE rămâneau în sistemele naționale, sub responsabilitatea statelor membre respective. Portalul central primea numai informațiile criptografice (și, ulterior, listele de certificate revocate) necesare pentru ca autoritățile naționale să verifice valabilitatea certificatelor. În cazul portalului de depistare a contacților, acesta prelucra numai date cu caracter personal pseudonimizate, sub formă de identificatori aleatorii, cunoscuți sub denumirea de „chei”, generate de aplicațiile de depistare a contacților. Această abordare a redus considerabil riscurile legate de protecția datelor.

44 Regulamentul privind certificatul digital al UE privind COVID nu a prevăzut un proces standard pentru revocarea unui certificat dacă, de exemplu, se constata că acesta era fraudulos. Țările participante aveau libertatea de a implementa soluția tehnică pe care doreau să o aleagă. Comisia nu era responsabilă de evaluarea solidității acestor soluții din perspectiva protecției datelor.

45 Pentru a se asigura că un certificat revocat putea fi identificat în alte țări, statele membre ar fi trebuit să facă schimb bilateral de informații sub forma unor liste de certificate revocate. Una dintre preocupările exprimate în cursul auditului Curții a fost că un astfel de schimb bilateral, implicând diferiți actori și diferite soluții de revocare, era ineficient, în special pe fondul creșterii numărului de certificate noi.

46 Pentru a răspunde acestor preocupări, la 30 martie 2022, după opt luni de la introducerea certificatului digital al UE privind COVID, Comisia a publicat specificații și norme tehnice pentru a institui un mecanism mai eficient pentru ca schimbul de liste de certificate revocate să fie realizat prin intermediul portalului central. Specificațiile recomandau, de asemenea, trei tehnologii pentru distribuirea listelor de certificate revocate din bazele de date naționale către aplicațiile utilizate pentru verificarea certificatelor. Dacă sunt corect aplicate, se poate considera că aceste soluții propuse protejează viața privată, deși una dintre ele (filtrele Bloom) lua în considerare preocupările legate de confidențialitate mult mai bine decât celelalte două²⁶. Utilizarea acestor soluții rămânea însă voluntară, iar Comisia nu avea competența de a monitoriza dacă statele membre le aplicau.

47 Riscurile de securitate informatică pot fi abordate și atenuate printr-un cadru structurat de securitate informatică²⁷. Acesta cuprinde, de obicei, mai multe elemente, cum ar fi mecanisme de guvernanță, precum și politici, cerințe și standarde de securitate. Un astfel de cadru include, de asemenea, bune practici, cum ar fi căutarea activă a punctelor slabe („analizarea vulnerabilității”) și testarea activă a mijloacelor de apărare („teste de penetrare”).

48 Comisia dispune de propriul cadru de securitate informatică²⁸, aplicabil tuturor sistemelor de informații găzduite în centrele sale de date, inclusiv portalului de depistare a contacților și celui pentru certificatul digital al UE privind COVID. Acest cadru respectă standardele internaționale²⁹. El prevede obligația Comisiei de a efectua o evaluare a riscurilor pentru fiecare sistem informatic, de a aborda riscurile relevante printr-un plan de securitate informatică și de a aplica un set de politici și standarde formale de securitate.

49 Comisia a luat măsuri rezonabile pentru a asigura securitatea informatică în ceea ce privește portalul de depistare a contacților. Atunci când sistemul a devenit operațional (octombrie 2020), o societate specializată a efectuat o evaluare din punctul de vedere al securității ce a avut ca obiect concepția portalului și codul sursă și nu a identificat nicio deficiență relevantă. Au fost efectuate trei exerciții de piraterie informatică etică pentru a obține asigurări suplimentare cu privire la securitatea portalului.

50 Comisia a definit, de asemenea, cerințe minime de securitate pentru aplicațiile naționale de depistare a contacților conectate la platforma de schimb a portalului respectiv. Analiza Curții cu privire la această arhitectură de securitate și răspunsurile statelor membre la sondaj au evidențiat faptul că procesul tehnic de conectare a sistemelor naționale la portalul UE („integrarea”) a fost structurat și a abordat aspecte legate de securitatea informatică.

51 În ceea ce privește certificatul digital al UE privind COVID, Direcția Generală Informatică a realizat evaluări ale vulnerabilității portalului, iar un contractant independent a efectuat teste suplimentare de penetrare. Testele au confirmat că portalul central a fost conceput astfel încât să garanteze un nivel ridicat de securitate. Majoritatea problemelor constatate se refereau mai degrabă la infrastructură decât la codul sursă. Vulnerabilitățile identificate au fost monitorizate. Consultanții care au efectuat testele de penetrare pe portal au recomandat un audit complet cu privire la mai multe componente, inclusiv cele care pot fi utilizate la nivel național, cum ar fi serviciul de eliberare a certificatelor sau aplicațiile mobile. Acest audit suplimentar s-a încheiat în aprilie 2022 și nu a pus sub semnul întrebării arhitectura de securitate a instrumentului.

52 Statele membre și țările din afara UE care participă la cadrul referitor la certificatul digital al UE privind COVID generau certificatele în sistemele lor naționale. În cazul în care sistemele naționale ar fi fost compromise și părți neautorizate ar fi obținut acces, utilizatori răuvoitori ar fi putut emite certificate valabile, dar frauduloase. Circulația pe scară largă a acestor certificate ar fi putut afecta libertatea de circulație prin subminarea încrederii în certificatul digital al UE privind COVID, sporind astfel riscul ca statele membre să reintroducă restricții suplimentare. Prin urmare, era important să se asigure faptul că sistemele naționale includeau controale de securitate adecvate.

53 În ceea ce privește controalele de securitate din sistemele țărilor participante, Comisia s-a bazat și pe chestionare de autoevaluare completate de acestea, dar nu avea autoritatea să verifice conformitatea lor efectivă (de exemplu, prin examinarea rapoartelor privind analizele vulnerabilității, a rapoartelor de audit, a planurilor de acțiune sau a certificărilor internaționale). Acest lucru a limitat asigurarea cu privire la poziția de securitate a sistemelor naționale.

54 Interviurile desfășurate de Curte au confirmat că a avut loc un incident de securitate informatică într-o țară din afara UE. Soluția națională utilizată de aceasta prezenta o vulnerabilitate ce permitea utilizatorilor neautorizați să acceseze aplicația și să genereze certificate ilegale la nivel național, până când incidentul a fost detectat și soluționat. Potrivit raportului țării respective referitor la incident, acest lucru a afectat doar câteva certificate.

55 Nu există soluții tehnice capabile să atenueze toate riscurile și, de exemplu, nici măcar cele mai sofisticate controale de securitate nu îi pot împiedica pe membrii autorizați ai personalului cu acces legitim la sistemele naționale să abuzeze de prerogativele lor pentru a genera certificate frauduloase.

56 Prin urmare, raportarea și combaterea incidentelor precum cele legate de certificatele frauduloase necesită un schimb rapid de informații între autoritățile competente. Statele membre și țările din afara UE consultate de Curte au afirmat că raportarea unor astfel de probleme necesita timp din cauza dificultăților de identificare a omologilor potriviți din alte țări.

57 În ceea ce privește formularele electronice ale UE de localizare a pasagerilor și platforma de schimb, au fost aplicate următoarele practici recomandate în materie de securitate informatică³⁰: autentificare cu doi factori, protocoale de comunicare securizate, sisteme firewall pentru aplicațiile web și controale de securitate a accesului fizic. Contractantul a efectuat, de asemenea, o evaluare a riscurilor informatice și a stabilit o procedură structurată pentru integrarea țărilor în sistem.

58 Cu toate acestea, primul test de penetrare a acestui sistem a avut loc abia în martie 2022, după un an de la conectarea primei țări. În urma testului, prestatorul de servicii extern a elaborat un plan de punere în aplicare pentru a da curs constatărilor. Aceasta înseamnă că sistemul a funcționat timp de un an cu vulnerabilități nedetectate.

Impactul instrumentelor UE asupra facilitării călătoriilor în timpul pandemiei de COVID-19 a fost inegal

59 Această secțiune examinează dacă instrumentele UE au facilitat călătoriile în UE în primii ani ai pandemiei de COVID-19. În special, Curtea a analizat dacă instrumentele:

1. au fost utilizate pe scară largă de către statele membre, deoarece acest lucru este necesar pentru ca instrumentele să fie eficace;
2. au îmbunătățit coordonarea și schimbul de informații între statele membre în ceea ce privește impunerea de restricții de călătorie, abordând astfel două probleme despre care se constatase anterior că subminau călătoriile în interiorul UE³¹.

60 Curtea a compilat și a analizat datele privind utilizarea instrumentelor de către statele membre. Ea a comparat, de asemenea, restricțiile de călătorie impuse de statele membre înainte și după introducerea certificatului digital al UE privind COVID.

Instrumentele UE privind formularul de localizare a pasagerilor și portalul de depistare a contacților nu au avut impactul preconizat din cauza utilizării lor limitate în statele membre

61 Instrumentele UE trebuiau să fie utilizate pe scară largă pentru a se obține impactul scontat. Tabelul 2 prezintă pe scurt utilizarea instrumentelor de către fiecare stat membru. Acesta arată că certificatul digital al UE privind COVID a fost singurul instrument utilizat în toate statele membre.

62 Formularele electronice ale UE de localizare a pasagerilor și platforma de schimb nu au fost utilizate în mod suficient de către statele membre pentru a avea un impact semnificativ în ceea ce privește limitarea răspândirii COVID-19 și facilitarea călătoriilor în condiții de siguranță.

63 Doar 4 state membre au utilizat formularul electronic al UE de localizare a pasagerilor³², în timp ce 17 state membre au continuat să se bazeze pe soluții naționale. Din cele aproape 27 de milioane de formulare emise până în februarie 2022, 91,6 % (24,7 milioane) erau italiene.

64 În mod similar, utilizarea platformei de schimb a fost foarte limitată. Deși, teoretic, instrumentul putea fi utilizat pentru a face schimb de informații de la orice platformă națională, el a fost adoptat în principal de țările care utilizau și formularele UE. În general, utilizarea platformei a rămas nesemnificativă, cu doar 3 formulare transmise în 2021 și 253 de formulare în primele două luni ale anului 2022. Toate cele 256 de formulare, cu excepția unuia, proveneau din Spania.

65 Adoptarea aplicațiilor de depistare a contacților a variat semnificativ de la un stat membru la altul. Unele state membre nu au adoptat nicio aplicație de depistare a contacților. În cazul celor care au făcut acest lucru, gradul efectiv de adoptare de către populație a fost limitat. Numărul total de descărcări ale unei astfel de aplicații de către cetățeni ai UE a fost de 74 de milioane (situația în octombrie 2021). Nu există însă statistici la nivelul UE cu privire la numărul de persoane care le utilizau efectiv.

66 Numărul total de cazuri confirmate de COVID-19 a fost de peste 522 de milioane³³ până la 22 mai 2022, dată până la care fuseseră încărcate 55 de milioane de chei. Datele din portalul de depistare a contacților indică o utilizare inegală a instrumentelor de depistare a contacților în statele membre, 83 % dintre chei fiind încărcate numai de utilizatorii din Germania (a se vedea anexa II).

67 În general, instrumentele examinate au fost dezvoltate pentru a răspunde unor nevoi emergente, ceea ce a îngreunat crearea de sinergii între acestea în mod consecvent. De exemplu, deși sunt legate în mod intrinsec, formularul electronic al UE de localizare a pasagerilor și platforma pentru schimbul de astfel de formulare au fost dezvoltate separat (de acțiunea comună EU Healthy Gateways și, respectiv, de Agenția Uniunii Europene pentru Siguranța Aviației). În mod similar, orientările privind utilizarea combinată a certificatului digital al UE privind COVID și a formularelor de localizare a pasagerilor au fost puse la dispoziție la nivelul UE după lansarea fiecăruia dintre aceste instrumente și nu au fost încă puse în aplicare.

68 Întrucât instrumentele au fost concepute pentru a funcționa pe termen scurt, nu există proceduri flexibile pentru a le utiliza pe termen mai lung sau pentru a le reactiva rapid în cazul în care vor fi necesare în viitor. De exemplu, actualul temei juridic pentru certificatul digital al UE privind COVID va expira în iunie 2023 și ar trebui să fie reînnoit, eventual, de către Parlamentul European și Consiliu, pe baza unei propuneri din partea Comisiei. În cursul auditului Curții, Comisia a subliniat că ar fi extrem de dificil, atât din punct de vedere juridic, cât și tehnic, să se restabilească într-un termen scurt sistemul de certificate.

Statele membre au utilizat pe scară largă certificatul digital al UE privind COVID, ceea ce a facilitat călătoriile

69 Portalul UE pentru certificatul digital al UE privind COVID a devenit operațional la 1 iunie 2021, cu șapte state membre conectate. În termen de o lună și jumătate, toate cele 27 de state membre ale UE au fost conectate. Soluția propusă de Comisie a atras, de asemenea, un mare interes în afara UE. Conform situației din iulie 2022, 45 de țări și teritorii din afara UE adoptaseră cadrul UE pentru certificatul digital al UE privind COVID.

70 Până la 13 octombrie 2021, statele membre eliberaseră 585 de milioane de certificate. Cinci luni mai târziu, s-a ajuns la 1,7 miliarde de certificate, majoritatea (1,1 miliarde) bazate pe vaccinare. Acest număr este mai mare decât populația UE deoarece o persoană putea deține mai multe certificate (de exemplu, o persoană putea obține două certificate de testare înainte de a fi vaccinată). După fiecare doză de vaccin, vindecare sau testare, era creat un certificat digital al UE privind COVID. Pe lângă facilitarea călătoriilor, certificatul a fost utilizat în statele membre pentru a controla accesul la spațiile publice, cum ar fi restaurantele sau teatrele. O defalcare pe state membre a acestor 1,7 miliarde de certificate digitale privind COVID este prezentată în figura 4.

71 Instrumentele care fac obiectul prezentului raport au vizat facilitarea călătoriilor în condiții de siguranță. Pandemia a determinat multe state membre să introducă o varietate de restricții de călătorie. În raportul său special privind libera circulație în UE în timpul pandemiei de COVID-19³⁴, Curtea a concluzionat că, în iunie 2021, la nivelul statelor membre existau încă multe restricții de călătorie necoordonate, inclusiv obligația de a prezenta un test PCR negativ, obligații de carantină și interdicții de intrare.

72 Astfel, până la intrarea în vigoare a certificatului digital al UE privind COVID, restricțiile de intrare pentru călători s-au bazat pe riscul pentru sănătate existent în zona geografică din care aceștia călătoreau. Această situație s-a schimbat în iulie 2021, odată cu introducerea Regulamentului UE privind certificatul digital al UE privind COVID, după care restricțiile au început rapid să se aplice mai degrabă persoanelor fizice decât zonelor geografice și s-au bazat în principal pe deținerea unui certificat valabil.

73 Pe lângă această schimbare a naturii restricțiilor de călătorie, Regulamentul privind certificatul digital al UE privind COVID a introdus, de asemenea, un nou mecanism formal de îmbunătățire a schimbului de informații cu privire la astfel de restricții. De la intrarea în vigoare a regulamentului, statele membre trebuie să informeze Comisia și celelalte state membre dacă intenționează să introducă noi restricții. Aceste notificări trebuie să includă motivele, întinderea și durata restricțiilor suplimentare. Până în martie 2022, 13 state membre transmiseseră informații în temeiul acestei dispoziții.

74 În iulie 2021, consultarea Comisiei privind restricțiile de călătorie a arătat că toate statele membre (cu excepția Greciei, a Ungariei și a Italiei, care au răspuns abia mai târziu) își ridicaseră restricțiile pentru titularii de certificate digitale ale UE privind COVID. Figura 5 prezintă diferențele în ceea ce privește restricțiile de călătorie înainte și imediat după introducerea sistemului de certificare (iunie și iulie 2021). Dintre cei 13 respondenți la sondajul Curții, 12 au fost de acord că certificatul digital al UE privind COVID a contribuit la coordonarea restricțiilor de călătorie între statele membre.

Concluzii și recomandări

75 Curtea concluzionează că, în pofida competenței limitate a Comisiei în materie de politici de sănătate publică, aceasta a acționat rapid, propunând soluții tehnologice adecvate pentru a facilita călătoriile în interiorul UE în timpul pandemiei de COVID-19. Impactul unora dintre aceste instrumente depinde însă de disponibilitatea statelor membre de a le utiliza. În timp ce certificatul digital al UE privind COVID a obținut un sprijin puternic și a fost eficace în facilitarea călătoriilor, celelalte instrumente au avut un impact modest din cauza utilizării lor limitate.

76 Comisia a mobilizat rapid 71 de milioane de euro pentru dezvoltarea instrumentelor, combinând mai multe surse de finanțare și utilizând contracte-cadru existente în locul unor proceduri de achiziții publice. Scopul instrumentelor a fost unic, în sensul că în prezent nu există alte sisteme adecvate pentru comparație (punctele 21-27).

77 Comisia a pus la dispoziție în timp util portalul de depistare a contacților și certificatul digital al UE privind COVID. Portalul de depistare a contacților, conceput pentru a asigura interoperabilitatea între aplicațiile de depistare a contacților, a fost lansat în octombrie 2020, la șapte luni după ce Organizația Mondială a Sănătății declarase COVID-19 drept pandemie. Dezvoltarea tehnică a certificatului digital al UE privind COVID a beneficiat de experiența dobândită anterior în urma dezvoltării portalului de depistare a contacților și a fost finalizată înainte ca statele membre să finalizeze punerea în aplicare a planurilor lor de vaccinare. Procesul legislativ de adoptare a certificatului digital al UE privind COVID a fost, de asemenea, mult mai rapid decât de obicei (punctele 28-35).

78 Comisia nu a reușit să convingă anumite state membre să își depășească rezervele cu privire la utilizarea soluțiilor propuse de UE pentru formularele de localizare a pasagerilor, care au fost puse la dispoziție după ce mai multe state membre își elaboraseră deja propriile instrumente. Acest lucru a condus la utilizarea soluțiilor UE de către doar cinci state membre (punctele 36-40).

Recomandarea 1 – Abordarea motivelor aflate la baza adoptării reduse a formularelor electronice ale UE de localizare a pasagerilor

Comisia ar trebui să abordeze motivele aflate la baza gradului redus de utilizare a formularului electronic al UE de localizare a pasagerilor și a platformei de schimb aferente și să promoveze adoptarea pe scară mai largă a acestor instrumente de către statele membre în etapele viitoare ale pandemiei de COVID-19.

Data-țintă pentru punerea în aplicare a recomandării: decembrie 2023.

79 În general, la elaborarea instrumentelor, Comisia a luat în considerare cerințele în materie de protecție a datelor și bunele practici în materie de securitate informatică. Instrumentele UE reduc la minimum utilizarea datelor cu caracter personal (punctele 42-43). Evaluări ale riscurilor de securitate și teste de penetrare au fost în general efectuate în mod sistematic – singura excepție au fost unele teste de securitate întârziate pentru formularul electronic al UE de localizare a pasagerilor, ceea ce a însemnat că instrumentul a funcționat timp de un an cu vulnerabilități nedetectate (punctele 47-51 și 57-58).

80 În ceea ce privește certificatul digital al UE, țările participante au trebuit să efectueze schimburi bilaterale de liste de certificate frauduloase, utilizând diferite canale de comunicare. Această abordare face ca blocarea certificatelor frauduloase să fie mai puțin eficientă. Până în martie 2022, Comisia propusese soluții viabile pentru a soluționa această problemă, dar ele sunt voluntare (punctele 44-46). În plus, modalitățile prin care țările se informează reciproc cu privire la incidente care necesită un răspuns urgent (de exemplu, certificate frauduloase) sunt cronofage (punctele 55-56).

Recomandarea 2 – Eficientizarea comunicării cu privire la incidentele legate de certificatul digital al UE privind COVID

Comisia ar trebui să faciliteze comunicarea directă între persoanele de contact oficiale pentru fiecare țară participantă la sistemul de certificate digitale ale UE privind COVID, cu scopul de a eficientiza comunicarea în cazul unor situații de urgență legate de certificate.

Data-țintă pentru punerea în aplicare a recomandării: iunie 2023.

81 Întrucât codurile utilizate în certificatele digitale ale UE privind COVID erau generate de sistemele naționale ale țărilor participante, era important ca aceste sisteme să includă controale de securitate adecvate. Comisia s-a bazat pe autoevaluări ale securității informatice efectuate de țările participante, deoarece nu are prerogativa de a verifica respectarea efectivă de către acestea a cerințelor de securitate. Acest lucru limitează asigurarea cu privire la poziția de securitate a sistemelor naționale (punctele 52-54).

82 Formularele UE de localizare a pasagerilor și portalul de depistare a contacților nu au avut impactul scontat, deoarece utilizarea lor a fost limitată. Doar patru state membre au utilizat formularul electronic al UE de localizare a pasagerilor, în timp ce alte țări au continuat să se bazeze pe soluții naționale. În general, utilizarea platformei pentru schimbul de formulare de localizare a pasagerilor a rămas nesemnificativă, cu doar 3 formulare transmise în 2021 și 253 în primele două luni ale anului 2022. Utilizarea portalului de depistare a contacților a fost limitată de adoptarea redusă de către statele membre a aplicațiilor de depistare a contacților și marea majoritate a traficului a fost generat de o singură țară (punctele 61-67).

83 Instrumentele examinate de Curte au fost dezvoltate pentru a răspunde unor nevoi emergente și funcționează independent unele de altele. Acest lucru, combinat cu varietatea soluțiilor naționale privind formularele de localizare a pasagerilor, a îngreunat asigurarea unei adoptări uniforme a instrumentelor UE. De asemenea, aceste instrumente au fost concepute pentru a funcționa pe termen scurt, ca răspuns la criza sanitară. Nu există proceduri specifice instituite pentru utilizarea acestora pe termen mai lung sau pentru a le reactiva rapid în cazul în care vor fi necesare în viitor. Actualul temei juridic pentru certificatul digital al UE privind COVID va expira în iunie 2023 și eventuala sa reînnoire ar urma să facă obiectul procedurii legislative obișnuite a UE (punctul 68).

84 Curtea a constatat că certificatul digital al UE privind COVID a fost eficace în facilitarea călătoriilor în timpul pandemiei de COVID-19. Statele membre și mai multe țări din afara UE l-au utilizat pe scară largă, până în martie 2022 fiind emise în statele din UE/SEE peste 1,7 miliarde de certificate. În plus, Curtea a constatat că în prima lună după intrarea în vigoare a Regulamentului privind certificatul digital al UE privind COVID, statele membre își armonizaseră considerabil restricțiile de călătorie. Mai concret, toate statele membre eliminaseră restricțiile de călătorie pentru cetățenii UE care dețineau un astfel de certificat ca urmare a faptului că aveau o schemă de vaccinare completă sau primiseră recent un rezultat negativ la un test de depistare a COVID-19 sau se vindecaseră de COVID-19.

85 În plus, utilizarea certificatului digital al UE privind COVID a îmbunătățit schimbul de informații și coordonarea în ceea ce privește restricțiile de călătorie, întrucât regulamentul aplicabil impune statelor membre să raporteze și să justifice introducerea de restricții de călătorie (punctele 69-74).

Recomandarea 3 – Elaborarea de instrumente ale UE relevante pentru eventuale crize viitoare

Comisia ar trebui:

1. să identifice instrumentele UE create în timpul pandemiei de COVID-19 care au fost cele mai utile pentru cetățeni și pentru statele membre și să elaboreze proceduri pentru reactivarea rapidă a acestora în cazul unor eventuale situații de urgență viitoare;
2. să faciliteze, prin sinergii sau simplificări, accesul cetățenilor UE la instrumentele UE utilizate pentru a înlesni depistarea contacților la nivel transfrontalier în timpul crizelor;
3. să analizeze, împreună cu statele membre, necesitatea unor instrumente suplimentare pentru a face față unor eventuale crize viitoare.

Data-țintă pentru punerea în aplicare a recomandării: pentru recomandările de la literele (a) și (c), septembrie 2023, iar pentru recomandarea de la litera (b), septembrie 2024.

Prezentul raport a fost adoptat de Camera III, condusă de doamna Bettina Jakobsen, membră a Curții de Conturi, la Luxemburg, în data de 22 noiembrie 2022.

Anexe

Anexa I – Descrierea instrumentelor UE care au facilitat călătoriile în siguranță în timpul pandemiei de COVID-19

Serverul european de acces pentru interoperabilitate

Serverul european de acces pentru interoperabilitate este un sistem care permite asigurarea interoperabilității între aplicațiile naționale de depistare a contacților. Aceste aplicații au fost dezvoltate pentru a-i informa pe cetățeni cu privire la contacții care prezentau un risc potențial și pentru a contribui la ruperea lanțurilor de transmitere a COVID-19.

O aplicație de depistare a contacților înregistrează în continuu contactele cu utilizatorii din apropiere ai unei astfel de aplicații. Pentru a proteja viața privată a utilizatorului, aplicația generează o cheie (un identificator) pentru acesta la fiecare 15 minute. Aplicația utilizează tehnologia Bluetooth pentru a detecta alte telefoane inteligente aflate în proximitate și pentru a face schimb de chei. Fiecare întâlnire cu un alt utilizator generează un schimb de chei între utilizatori. Aceste chei sunt stocate pe telefoanele ambilor utilizatori.

Atunci când un utilizator este testat pozitiv la COVID-19, el/ea declară acest lucru în aplicație, care trimite toate cheile înregistrate pe telefonul utilizatorului în ultimele 14 zile către serverul back-end național din țara sa. Serverul trimite cheile utilizatorului infectat către aplicațiile tuturor celorlalți utilizatori, unde acestea sunt comparate cu cheile stocate pe telefon. În cazul în care există o concordanță, înseamnă că utilizatorul s-a aflat în proximitatea persoanei infectate și este, prin urmare, avertizat.

Majoritatea statelor membre au adoptat această abordare descentralizată, în care combinațiile de chei stocate pe telefoanele persoanelor infectate sunt trimise către aplicațiile utilizatorilor, iar comparația se face pe telefonul fiecărui utilizator. Câteva state membre au ales o abordare mai centralizată, în care compararea cheilor și verificarea concordanței cu aparatele utilizatorilor se realizează pe serverele naționale centrale.

Platformele naționale de depistare a contacților care adoptă abordarea descentralizată și ale căror componente tehnologice sunt compatibile pot schimba între ele cheile anonimizate ale persoanelor infectate, prin intermediul portalului UE de depistare a contacților. Prin urmare, acest portal permite unui călător să își utilizeze aplicația națională de depistare a contacților în timpul călătoriilor în alte țări conectate la portalul UE.

Formularul electronic de localizare a pasagerilor

Autoritățile din domeniul sănătății publice utilizează formulare de localizare a pasagerilor pentru a facilita depistarea contacților atunci când călătorii sunt expuși la o boală infecțioasă în timpul călătoriei lor cu avionul, cu trenul, cu vaporul sau cu autobuzul. Organizația Mondială a Sănătății și Organizația Aviației Civile Internaționale începuseră deja să elaboreze aceste formulare în timpul epidemiilor anterioare (în special cea de Ebola).

În mod tradițional, țările care solicitau completarea unor formulare de localizare a pasagerilor utilizau adesea formulare pe hârtie. Acestea prezintă însă limitări importante – ele pot fi dificil de citit, iar datele pe care le conțin trebuie introduse manual în sistemele informatice pentru o prelucrare automată. Aceste limitări au determinat multe țări să dezvolte versiuni electronice. Formularul electronic al UE de localizare a pasagerilor este o aplicație web care a fost dezvoltată pentru a simplifica utilizarea formularelor de localizare a pasagerilor în timpul amenințărilor transfrontaliere la adresa sănătății, cum ar fi cea reprezentată de COVID-19.

Călătorul completează formularul online cu detaliile călătoriei sale și primește un cod unic de răspuns rapid (Quick Response – QR). Acest cod poate fi scanat de autoritățile competente din țările de destinație pentru a verifica dacă pasagerii au furnizat informațiile solicitate. Formatul său digital urmărește să faciliteze și să accelereze colectarea și schimbul de date între părțile interesate, cu scopul de a face depistarea contacților mai eficientă și mai eficace.

Schimbul de formulare de localizare a pasagerilor

Atunci când un călător primește un rezultat pozitiv la un test de depistare a COVID-19, este posibil ca datele colectate de o țară prin intermediul unui formular de localizare a pasagerilor să trebuiască să fie furnizate în condiții de siguranță altor țări afectate, exclusiv în scopul urmăririi contacților în contextul pandemiei de COVID-19. Din cauza limitării sistemului european existent de schimb de informații în materie de sănătate (sistemul de alertă precoce și răspuns rapid), Comisia a decis să dezvolte o platformă specifică pentru schimbul de date colectate prin intermediul formularelor de localizare a pasagerilor între diferitele sisteme naționale.

Platforma de schimb de formulare de localizare a pasagerilor permite transmiterea securizată de date criptate între autoritățile naționale competente și nu stochează niciun fel de date. Autoritățile statelor membre se pot conecta prin intermediul sistemului UE sau al sistemelor naționale de formulare electronice de localizare a pasagerilor.

Certificatul digital al UE privind COVID

Certificatul digital al UE privind COVID atestă faptul că persoana care îl deține a fost vaccinată împotriva COVID-19, a primit recent un rezultat negativ la un test de depistare a COVID-19 sau s-a vindecat de COVID-19. Certificatele respective sunt eliberate de autoritățile naționale competente.

Certificatele pot fi eliberate atât pe hârtie, cât și în format electronic. În ambele cazuri, acestea conțin un cod QR, care le protejează împotriva falsificării. Securitatea soluției se bazează pe utilizarea de chei criptografice publice și private. Există două chei: una privată, care permite semnarea digitală a codului QR, și una publică, ce permite verificarea semnăturii digitale.

Fiecare autoritate emitentă are propria sa cheie privată și cheia publică corespunzătoare. Cheile private sunt stocate în siguranță, iar cheile publice sunt partajate în baza de date centrală națională. Autoritatea își pune sistemul de emitere la dispoziția actorilor relevanți din domeniul sănătății (de exemplu, spitale și centre de testare) după autorizare, permițându-le să semneze digital certificatele.

Aplicațiile utilizate pentru a verifica autenticitatea certificatelor digitale ale UE privind COVID obțin cheile publice din bazele de date naționale. Aceste baze de date fac schimb de chei publice între ele prin intermediul portalului pentru certificatele digitale ale UE privind COVID-19. Prin urmare, portalul permite verificarea reciprocă a certificatelor între diferite țări.

Anexa II – Adoptarea aplicațiilor de depistare a contacților în UE

Adoptarea aplicațiilor de depistare a contacților nu a fost uniformă la nivelul UE. În doar două state membre, numărul de descărcări ale acestor aplicații a depășit 50 % din populație. Figura de mai jos prezintă situațiile diferite din statele membre care utilizau aplicații descentralizate de depistare a contacților.

Descărcarea aplicației nu înseamnă neapărat că depistarea contacților este efectiv utilizată, deoarece aceasta presupune ca aplicațiile să fie active, iar cetățenii să își declare în mod voluntar rezultatele pozitive primite la testele de detectare a COVID-19. Ori de câte ori utilizatorii se autodeclară pozitivi, cheile relevante sunt încărcate pe portalul de depistare a contacților. Datele extrase din portal arată că utilizarea urmăririi contacților a variat de la un stat membru la altul. Numărul de chei încărcate pe portal arată că acestea proveneau într-o majoritate covârșitoare dintr-o singură țară.

Glosar

Analizarea vulnerabilității: proces de inspectare a dispozitivelor de rețea, a sistemelor și a aplicațiilor informatice pentru a identifica eventuale probleme și puncte slabe.

Control la frontiere: verificări și supraveghere efectuate la o frontieră asupra persoanelor care trec frontiera respectivă sau care intenționează să o treacă.

Operator de date: în sensul Regulamentului general al UE privind protecția datelor, persoană sau organizație care stabilește modalitățile și scopurile în care trebuie să fie prelucrate datele cu caracter personal.

Spațiul Schengen: grup de 26 de țări europene care au eliminat controlul pașapoartelor și al imigrației la frontierele lor comune.

Test de penetrare: metodă de evaluare a securității unui sistem informatic constând în încercări de a penetra dispozitivele sale de securitate cu ajutorul unor instrumente și tehnici utilizate în mod obișnuit de infractorii cibernetici.

Răspunsurile Comisiei Europene

https://www.eca.europa.eu/ro/Pages/DocItem.aspx?did=62947.

Calendar

https://www.eca.europa.eu/ro/Pages/DocItem.aspx?did=62947.

Echipa de audit

Rapoartele speciale ale Curții de Conturi Europene prezintă rezultatele auditurilor sale cu privire la politicile și programele UE sau la diverse aspecte legate de gestiune aferente unor domenii bugetare specifice. Curtea de Conturi Europeană selectează și concepe aceste sarcini de audit astfel încât impactul lor să fie maxim, luând în considerare riscurile la adresa performanței sau a conformității, nivelul de venituri sau de cheltuieli implicat, evoluțiile viitoare și interesul politic și public.

Acest audit al performanței a fost efectuat de Camera de audit III – Acțiuni externe, securitate și justiție, condusă de doamna Bettina Jakobsen, membră a Curții de Conturi Europene. Auditul a fost condus de domnul Baudilio Tomé Muguruza, membru al Curții, sprijinit de: Daniel Costa de Magalhães, șef de cabinet, și Ignacio García de Parada Miranda, atașat în cadrul cabinetului; Alejandro Ballester Gallardo, manager principal; Piotr Senator, coordonator; João Coelho, Mirko Iaconisi, Ioanna Topa și Andrej Minarovic, auditori. Michael Pyper a asigurat sprijin lingvistic.

De la stânga la dreapta: Daniel Costa De Magalhães, Andrej Minarovic, Ignacio García de Parada Miranda, João Coelho, Ioanna Topa, Piotr Senator, Baudilio Tomé Muguruza, Mirko Iaconisi și Michael Pyper.

Note

¹ Articolul 20 alineatul (2) litera (a) și articolul 21 alineatul (1) din Tratatul privind funcționarea Uniunii Europene (TFUE).

² Directiva 2004/38/CE.

³ Articolul 168 alineatul (7) TFUE.

⁴ Articolul 17 din Tratatul privind Uniunea Europeană (TUE).

⁵ Articolul 4 alineatul (2) litera (k), articolul 6 litera (a) și articolul 168 TFUE.

⁶ Directiva 2011/24/UE privind aplicarea drepturilor pacienților în cadrul asistenței medicale transfrontaliere.

⁷ Raportul special nr. 13/2022.

⁸ Raportul special nr. 19/2022.

⁹ Declarația Comisiei din 15 iunie 2021.

¹⁰ Figura 4 din Raportul special nr. 13/2022.

¹¹ Orientări privind măsurile de gestionare a frontierelor în vederea protejării sănătății și a asigurării disponibilității mărfurilor și serviciilor esențiale, C(2020) 1753 final, JO C 86I, 16.3.2020.

¹² Comunicările Comisiei C(2020) 3250, C(2020) 3251 și C(2020) 3139.

¹³ Recomandarea (UE) 2020/1475 a Consiliului.

¹⁴ Decizia de punere în aplicare (UE) 2021/858 a Comisiei.

¹⁵ e-sănătate și COVID-19, site-ul Comisiei Europene.

¹⁶ Rețeaua de e-sănătate, Guidelines on verifiable vaccination certificates – basic interoperability elements, 12.3.2021.

¹⁷ Regulamentul (UE) 2021/953.

¹⁸ Propunere de regulament COM(2021) 130.

¹⁹ Procedura 2021/0068/COD.

²⁰ Raportul de activitate intitulat Development and Trends of the Ordinary legislative Procedure, Parlamentul European.

²¹ Better Regulations Guidelines, SWD(2017) 350, 7 iulie 2017.

²² ENISA, Taking Care of Health Data.

²³ Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului.

²⁴ ISACA, Certified Information System Auditor review manual, 2019; Organizația Internațională de Standardizare/Comisia Electrotehnică Internațională, standardul 27001.

²⁵ Draft Data Protection Risk Assessment (DPRA-DRAFT).

²⁶ Rețeaua de e-sănătate, EU DCC Revocation – B2A Communication between the Backend and the Applications, secțiunea 4.6.3.

²⁷ ISACA, Certified Information System Auditor review manual, 2019.

²⁸ Decizia (UE, Euratom) 2017/46 a Comisiei privind securitatea sistemelor informatice și de comunicații în cadrul Comisiei Europene și normele de punere în aplicare C(2017) 8841 final.

²⁹ Standardele27001, 27002, 27005 și 27035 ale Organizației Internaționale de Standardizare/Comisiei Electrotehnice Internaționale.

³⁰ Organizația Internațională de Standardizare/Comisia Electrotehnică Internațională, standardul 27001.

³¹ Punctele 69-75 din Raportul special nr. 13/2022.

³² Formularul electronic al UE de localizare a pasagerilor.

³³ Weekly epidemiological update on COVID-19 – 25 May 2022, Organizația Mondială a Sănătății.

³⁴ Raportul special nr. 13/2022.

Contact

CURTEA DE CONTURI EUROPEANĂ
12, rue Alcide De Gasperi
1615 Luxembourg
LUXEMBOURG

Tel. +352 4398-1
Întrebări: eca.europa.eu/ro/Pages/ContactForm.aspx
Website: eca.europa.eu
Twitter: @EUAuditors

Numeroase alte informații despre Uniunea Europeană sunt disponibile pe internet pe serverul Europa (https://europa.eu).

Luxemburg: Oficiul pentru Publicații al Uniunii Europene, 2023

PDF	ISBN 978-92-847-9243-6	ISSN 1977-5806	doi:10.2865/397977	QJ-AB-22-027-RO-N
HTML	ISBN 978-92-847-9212-2	ISSN 1977-5806	doi:10.2865/898781	QJ-AB-22-027-RO-Q

DREPTURI DE AUTOR

© Uniunea Europeană, 2023

Politica Curții de Conturi Europene referitoare la reutilizare este definită în Decizia nr. 6-2019 a Curții de Conturi Europene privind politica în materie de date deschise și reutilizarea documentelor.

Cu excepția cazului în care se precizează altceva (de exemplu, într-o mențiune separată indicând drepturile de autor), conținutul elaborat de Curtea de Conturi Europeană pentru care UE deține drepturile de autor face obiectul licenței Creative Commons Atribuire 4.0 Internațional (CC BY 4.0). Prin urmare, ca regulă generală, reutilizarea este autorizată cu condiția menționării adecvate a autorilor și a indicării eventualelor modificări. Reutilizatorul conținutului elaborat de Curtea de Conturi Europeană nu poate altera sensul sau mesajul inițial. Curtea de Conturi Europeană nu răspunde pentru eventualele consecințe ale reutilizării.

Este necesar să obțineți o permisiune suplimentară în cazul în care un anumit conținut prezintă persoane fizice ce pot fi identificate, de exemplu în cazul fotografiilor în care apar membri ai personalului Curții de Conturi Europene sau în cazul în care conținutul include lucrări ale unor terți.

Dacă se obține o astfel de permisiune, ea anulează și înlocuiește permisiunea de natură generală menționată mai sus și va indica în mod clar eventualele restricții de utilizare.

Pentru a utiliza sau a reproduce un conținut pentru care UE nu deține drepturile de autor, poate fi necesar să obțineți o permisiune în acest sens direct de la titularii drepturilor de autor.

Programele informatice sau documentele care fac obiectul unor drepturi de proprietate industrială, cum ar fi brevetele, mărcile, desenele și modelele înregistrate, logourile și denumirile, sunt excluse din politica Curții de Conturi Europene referitoare la reutilizare.

Familia site-urilor instituționale ale Uniunii Europene care sunt incluse în domeniul europa.eu oferă linkuri către site-uri terțe. Deoarece Curtea de Conturi Europeană nu are control asupra acestor site-uri, sunteți încurajați să verificați politica aplicată de ele în ceea ce privește respectarea vieții private și drepturile de autor.

Utilizarea logoului Curții de Conturi Europene

Logoul Curții de Conturi Europene nu poate fi utilizat fără acordul prealabil al Curții de Conturi Europene.

CONTACTAȚI UE

În persoană
În întreaga Uniune Europeană există sute de centre Europe Direct. Puteți găsi adresa centrului cel mai apropiat de dumneavoastră online (european-union.europa.eu/contact-eu/meet-us_ro).

La telefon sau în scris
Europe Direct este un serviciu care vă răspunde la întrebările privind Uniunea Europeană. Puteți accesa acest serviciu:

• apelând numărul gratuit: 00 800 6 7 8 9 10 11 (unii operatori pot taxa aceste apeluri);
• apelând numărul standard: +32 22999696;
• folosind formularul: european-union.europa.eu/contact-eu/write-us_ro.

GĂSIȚI INFORMAȚII DESPRE UE

Online
Informații despre Uniunea Europeană în toate limbile oficiale ale UE sunt disponibile pe site-ul Europa (european-union.europa.eu).

Publicații ale UE
Puteți vizualiza sau comanda publicații ale UE la op.europa.eu/ro/publications. Mai multe exemplare ale publicațiilor gratuite pot fi obținute contactând Europe Direct sau centrul dumneavoastră local de documentare (european-union.europa.eu/contact-eu/meet-us_ro).

Dreptul UE și documente conexe
Pentru accesul la informații juridice din UE, inclusiv la ansamblul legislației UE începând din 1951 în toate versiunile lingvistice oficiale, accesați site-ul EUR-Lex (eur-lex.europa.eu).

Date deschise ale UE
Portalul data.europa.eu oferă acces la seturile de date deschise ale instituțiilor, organismelor și agențiilor UE. Aceste date pot fi descărcate și reutilizate gratuit, atât în scopuri comerciale, cât și necomerciale. Portalul oferă, de asemenea, acces la o multitudine de seturi de date din țările europene.