1. Le cadre de confiance pour le certificat COVID numérique de l’UE permet l’échange de listes de révocation de certificats via le service passerelle central pour le certificat COVID numérique de l’UE (le «service passerelle») conformément aux spécifications techniques figurant à l’annexe I.
2. Lorsque les États membres révoquent des certificats COVID numériques de l’UE, ils peuvent communiquer des listes de révocation de certificats au service passerelle.
3. Lorsque les États membres communiquent des listes de révocation de certificats, les autorités de délivrance conservent une liste des certificats révoqués.
4. Lorsque des données à caractère personnel sont échangées via le service passerelle, le traitement est limité à la finalité consistant à soutenir l’échange d’informations relatives à la révocation. Ces données à caractère personnel ne sont utilisées qu’aux fins de vérifier le statut de révocation des certificats COVID numériques de l’UE délivrés dans le cadre du règlement (UE) 2021/953.
5. Les informations communiquées au service passerelle comprennent les données suivantes, conformément aux spécifications techniques figurant à l’annexe I:
a) les identifiants uniques pseudonymisés des certificats révoqués;
b) la date d’expiration de la liste de révocation de certificats qui a été communiquée.
6. Lorsqu’une autorité de délivrance révoque des certificats COVID numériques de l’UE qu’elle a délivrés en vertu du règlement (UE) 2021/953 ou du règlement (UE) 2021/954 et qu’elle a l’intention d’échanger les informations à ce sujet via le service passerelle, elle lui transmet les informations visées au paragraphe 5 sous la forme de listes de révocation de certificats, dans un format sécurisé, conformément aux spécifications techniques figurant à l’annexe I.
7. Les autorités de délivrance fournissent, dans la mesure du possible, une solution pour informer les titulaires des certificats révoqués de la révocation de leur certificat et du motif de cette mesure au moment où celle-ci est appliquée.
8. Le service passerelle rassemble les listes de révocation de certificats reçues. Il fournit des outils permettant de diffuser les listes aux États membres. Il supprime automatiquement les listes conformément aux dates d’expiration indiquées pour chaque liste communiquée par l’autorité concernée.
9. Les autorités nationales ou les organismes officiels désigné(e)s des États membres qui traitent des données à caractère personnel dans le service passerelle sont les responsables conjoints du traitement des données. Les responsabilités respectives des responsables conjoints du traitement sont réparties conformément à l’annexe VI.
10. La Commission est le sous-traitant des données à caractère personnel traitées dans le cadre du service passerelle. En sa qualité de sous-traitant pour le compte des États membres, la Commission veille à la sécurité de la transmission et de l’hébergement des données à caractère personnel au sein du service passerelle et respecte les obligations du sous-traitant énoncées à l’annexe VII.
11. L’efficacité des mesures techniques et organisationnelles destinées à assurer la sécurité du traitement des données à caractère personnel au sein du service passerelle est testée, analysée et évaluée régulièrement par la Commission et par les responsables conjoints du traitement.