Art. 10 Verordening (EU) 2021/953, Bescherming van persoonsgegevens
1. Verordening (EU) 2016/679 is van toepassing op de verwerking van persoonsgegevens uit hoofde van deze verordening.
2. Voor de toepassing van deze verordening worden de persoonsgegevens in de op grond van deze verordening afgegeven certificaten uitsluitend verwerkt met het oog op de toegang tot en de verificatie van de in het certificaat opgenomen informatie, teneinde de uitoefening van het recht van vrij verkeer binnen de Unie tijdens de COVID-19-pandemie te faciliteren. Na het einde van de toepassingsduur van deze verordening worden de gegevens niet langer verwerkt.
3. De persoonsgegevens in de in artikel 3, lid 1, bedoelde certificaten worden door de bevoegde autoriteiten van de lidstaat van bestemming of doorreis, of door de exploitanten van grensoverschrijdende personenvervoersdiensten die krachtens het nationale recht verplicht zijn om tijdens de COVID-19-pandemie bepaalde volksgezondheidsmaatregelen toe te passen, alleen verwerkt om de vaccinatie, het testresultaat of het herstel van de houder te verifiëren en te bevestigen. Daartoe worden de persoonsgegevens beperkt tot hetgeen strikt noodzakelijk is. De persoonsgegevens waartoe op grond van dit lid toegang is verkregen, worden niet bewaard.
4. De persoonsgegevens die met het oog op de afgifte van de in artikel 3, lid 1, bedoelde certificaten, met inbegrip van de afgifte van een nieuw certificaat, worden verwerkt, worden door de afgever niet langer bewaard dan strikt noodzakelijk is voor het doel ervan en in geen geval langer dan de periode waarin de certificaten mogen worden gebruikt om het recht van vrij verkeer uit te oefenen.
5. Als de lidstaten op grond van artikel 4, lid 2, lijsten van ingetrokken certificaten uitwisselen, worden die lijsten niet langer bewaard na het einde van de toepassingsduur van deze verordening.
6. De autoriteiten of andere aangewezen instanties die verantwoordelijk zijn voor de afgifte van de in artikel 3, lid 1, bedoelde certificaten, worden beschouwd als verwerkingsverantwoordelijken, zoals gedefinieerd in artikel 4, punt 7), van Verordening (EU) 2016/679.
7. De natuurlijke of rechtspersoon, de overheidsinstantie, het agentschap of de andere instantie die een COVID-19-vaccin heeft toegediend of de test heeft uitgevoerd waarvoor een certificaat moet worden afgegeven, doet de persoonsgegevens die nodig zijn om de in de bijlage genoemde gegevensvelden in te vullen, toekomen aan de autoriteiten of andere aangewezen instanties die verantwoordelijk zijn voor de afgifte van de certificaten.
8. Wanneer een in lid 6 bedoelde verwerkingsverantwoordelijke een beroep doet op een verwerker voor de doeleinden bedoeld in artikel 28, lid 3, van Verordening (EU) 2016/679, mogen door de verwerker geen persoonsgegevens worden doorgegeven aan een derde land.