Recitale
(1) Comunicarea Comisiei din 19 februarie 2020 intitulată „Conturarea viitorului digital al Europei” anunță o revizuire a Regulamentului (UE) nr. 910/2014 al Parlamentului European și al Consiliului (4) pentru a-i îmbunătăți eficacitatea, a extinde beneficiile acestuia la sectorul privat și a promova identitățile digitale de încredere pentru toți europenii.
(2) În concluziile sale din 1-2 octombrie 2020, Consiliul European a invitat Comisia să propună elaborarea unui cadru la nivelul întregii Uniuni referitor la identificarea electronică publică securizată, inclusiv semnăturile digitale interoperabile, cu scopul de a le oferi persoanelor controlul asupra identității și datelor lor online, precum și de a le permite accesul la servicii digitale publice, private și transfrontaliere.
(3) Programul de politică pentru 2030 privind deceniul digital, instituit prin Decizia (UE) 2022/2481 a Parlamentului European și a Consiliului (5), stabilește obiectivele și țintele digitale ale unui cadru al Uniunii care, până în 2030, sunt menite să conducă la implementarea pe scară largă a unei identități digitale de încredere, voluntare și controlate de utilizator, care să fie recunoscută în întreaga Uniune și care să permită fiecărui utilizator să aibă controlul asupra propriilor date în cadrul interacțiunilor în mediul online.
(4) „Declarația europeană privind drepturile și principiile digitale pentru deceniul digital” proclamată de Parlamentul European, Consiliu și Comisie (6) (denumită în continuare „declarația”) subliniază dreptul fiecărei persoane de a avea acces la tehnologii, produse și servicii digitale care, din momentul conceperii, sunt sigure și securizate și protejează viața privată. Aceasta include asigurarea faptului că tuturor persoanelor care trăiesc în Uniune li se oferă o identitate digitală accesibilă, securizată și de încredere care să permită accesul la o gamă largă de servicii online și offline, protejată împotriva riscurilor de securitate cibernetică și a criminalității informatice, inclusiv împotriva încălcării securității datelor și a furtului de identitate sau a manipulării identității. Declarația prevede, de asemenea, că fiecare persoană are dreptul la protecția datelor sale cu caracter personal. Acest drept include controlul asupra modului în care sunt utilizate datele și asupra celor cu care sunt partajate datele.
(5) Toți cetățenii Uniunii și rezidenții din Uniune ar trebui să aibă dreptul la o identitate digitală care să se afle sub controlul lor exclusiv și care să le permită să își exercite drepturile în mediul digital și să participe la economia digitală. Pentru atingerea acestui obiectiv, ar trebui să fie instituit un cadru european pentru identitatea digitală care să le permită cetățenilor Uniunii și rezidenților din Uniune să aibă acces la servicii publice și private online și offline în întreaga Uniune.
(6) Un cadru armonizat privind identitatea digitală ar trebui să contribuie la crearea unei Uniuni mai integrate din punct de vedere digital, prin reducerea barierelor digitale dintre statele membre și prin capacitarea cetățenilor Uniunii și a rezidenților din Uniune să se bucure de avantajele digitalizării, sporind în același timp transparența și protecția drepturilor lor.
(7) O abordare mai armonizată a identificării electronice ar trebui să reducă riscurile și costurile fragmentării actuale cauzate de utilizarea unor soluții naționale divergente sau, în unele state membre, de lipsa unor astfel de soluții de identificare electronică. O astfel de abordare ar trebui să consolideze piața internă, permițând cetățenilor Uniunii, rezidenților din Uniune, astfel cum sunt definiți în dreptul intern, și întreprinderilor să se identifice și să furnizeze autentificarea identității lor online și offline într-un mod sigur, demn de încredere, ușor de utilizat, convenabil, accesibil și armonizat în întreaga Uniune. Portofelul european pentru identitatea digitală ar trebui să ofere persoanelor fizice și juridice din întreaga Uniune un mijloc armonizat de identificare electronică care să permită autentificarea și partajarea datelor legate de identitatea lor. Orice persoană ar trebui să poată avea acces în condiții de siguranță la serviciile publice și private cu ajutorul unui ecosistem îmbunătățit de servicii de încredere și al unor dovezi ale identității și atestate electronice ale atributelor verificate, cum sunt de exemplu calificările academice, inclusiv diplomele universitare sau alte calificări educaționale sau profesionale. Cadrul european pentru identitatea digitală este menit să realizeze o tranziție de la utilizarea în mod exclusiv a soluțiilor naționale de identitate digitală la furnizarea de atestate electronice ale atributelor, valabile și recunoscute legal în întreaga Uniune. Furnizorii de atestate electronice ale atributelor ar trebui să beneficieze de un set de norme clar și uniform, în timp ce administrațiile publice ar trebui să se poată baza pe documente electronice într-un format determinat.
(8) O serie de state membre au implementat și utilizează mijloace de identificare electronică ce sunt acceptate de prestatorii de servicii din Uniune. În plus, s-au realizat investiții în soluții naționale și transfrontaliere pe baza Regulamentului (UE) nr. 910/2014, inclusiv în ceea ce privește interoperabilitatea sistemelor de identificare electronică notificate în temeiul regulamentului respectiv. Pentru a asigura complementaritatea și adoptarea rapidă a portofelelor europene pentru identitatea digitală de către utilizatorii actuali ai mijloacelor de identificare electronică notificate, precum și pentru a reduce la minim impactul asupra prestatorilor de servicii existenți, se consideră că portofelele europene pentru identitatea digitală ar trebui să fructifice experiența dobândită cu mijloacele de identificare electronică existente și să profite de infrastructura sistemelor de identificare electronică notificate implementate la nivelul Uniunii și la nivel național.
(9) Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului (7) și, după caz, Directiva 2002/58/CE a Parlamentului European și a Consiliului (8) se aplică tuturor activităților de prelucrare a datelor cu caracter personal în temeiul Regulamentului (UE) nr. 910/2014. Soluțiile în temeiul cadrului de interoperabilitate prevăzut în prezentul regulament respectă, de asemenea, normele respective. Dreptul Uniunii în materie de protecție a datelor prevede principii de protecție a datelor, cum ar fi principiul și obligațiile privind reducerea la minimum a datelor și limitarea scopului, cum ar fi protecția datelor începând cu momentul conceperii și în mod implicit.
(10) Pentru a sprijini competitivitatea întreprinderilor Uniunii, prestatorii de servicii atât online cât și offline ar trebui să se poată baza pe soluții de identitate digitală recunoscute în întreaga Uniune, indiferent de statul membru în care soluțiile respective sunt puse la dispoziție, și să beneficieze astfel de o abordare europeană armonizată în materie de încredere, securitate și interoperabilitate. Atât utilizatorii, cât și prestatorii de servicii ar trebui să poată beneficia de atestate electronice ale atributelor care să aibă aceeași valoare juridică în întreaga Uniune. Un cadru armonizat privind identitatea digitală este menit să creeze valoare economică prin facilitarea accesului la bunuri și servicii și prin reducerea semnificativă a costurilor operaționale legate de procedurile de identificare și de autentificare electronică, de exemplu în timpul integrării noilor clienți, prin reducerea potențialului de criminalitate informatică, cum ar fi furtul de identitate, furtul de date și frauda online, promovând astfel creșterea eficienței și transformarea digitală sigură a microîntreprinderilor și a întreprinderilor mici și mijlocii (IMM-uri) din Uniune.
(11) Portofelele europene pentru identitatea digitală ar trebui să faciliteze aplicarea principiului „doar o singură dată”, reducând astfel sarcina administrativă și sprijinind mobilitatea transfrontalieră a cetățenilor Uniunii și rezidenților din Uniune și a întreprinderilor din întreaga Uniune și promovând dezvoltarea unor servicii interoperabile de e-guvernare în întreaga Uniune.
(12) Regulamentul (UE) 2016/679, Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului (9) și Directiva 2002/58/CE se aplică prelucrării datelor cu caracter personal în contextul punerii în aplicare a prezentului regulament. Prin urmare, prezentul regulament ar trebui să prevadă garanții specifice pentru a împiedica furnizorii de mijloace de identificare electronică și de atestare electronică a atributelor să combine datele cu caracter personal obținute atunci când prestează alte servicii cu datele cu caracter personal prelucrate pentru a presta serviciile care intră în domeniul de aplicare al prezentului regulament. Datele cu caracter personal legate de furnizarea de portofele europene pentru identitatea digitală ar trebui păstrate separate logic de orice alte date deținute de furnizorul portofelului european pentru identitatea digitală. Prezentul regulament nu ar trebui să îi împiedice pe furnizorii de portofele europene pentru identitatea digitală să aplice măsuri tehnice suplimentare care să contribuie la protecția datelor cu caracter personal, cum ar fi separarea fizică a datelor cu caracter personal legate de furnizarea portofelelor europene pentru identitatea digitală de orice alte date deținute de furnizor. Fără a aduce atingere Regulamentului (UE) 2016/679, prezentul regulament precizează mai detaliat aplicarea principiilor limitării scopului, reducerii la minimum a datelor și protecției datelor începând cu momentul conceperii și în mod implicit.
(13) Portofelele europene pentru identitatea digitală ar trebui să aibă încorporată prin concepție funcția de tablou de bord comun, pentru a asigura un grad mai mare de transparență, de protejare a vieții private și de control al utilizatorilor asupra datelor cu caracter personal proprii. Funcția respectivă ar trebui să ofere o interfață simplă și ușor de utilizat care să ofere o imagine de ansamblu a tuturor beneficiarilor cu care utilizatorul partajează date, inclusiv atribute, precum și tipul de date partajate cu fiecare beneficiar. Aceasta ar trebui să le permită utilizatorilor să urmărească toate tranzacțiile executate prin intermediul portofelului european pentru identitatea digitală cu cel puțin următoarele date: ora și data tranzacției, identificarea contrapărții, datele cu caracter personal solicitate și datele partajate. Informațiile respective ar trebui să fie stocate chiar dacă tranzacția nu a fost încheiată. Nu ar trebui să fie posibilă negarea autenticității informațiilor conținute în istoricul tranzacțiilor. O astfel de funcție ar trebui să fie activă în mod implicit. Aceasta ar trebui să le permită utilizatorilor să solicite cu ușurință ștergerea imediată de către un beneficiar a datele cu caracter personal în temeiul articolului 17 din Regulamentul (UE) 2016/679 și să raporteze cu ușurință beneficiarul autorității naționale competente pentru protecția datelor în cazul în care se primește o cerere presupus ilegală sau suspectă de date cu caracter personal, direct de la portofelul european pentru identitatea digitală.
(14) Statele membre ar trebui să integreze diferite tehnologii de protejare a vieții private, cum ar fi dovada de zero cunoștințe („zero knowledge proof”), în portofelul european pentru identitatea digitală. Aceste metode criptografice ar trebui să permită unui beneficiar să valideze dacă o anumită declarație bazată pe datele de identificare ale persoanei și pe atestarea atributelor este adevărată, fără a dezvălui datele pe care se bazează declarația respectivă, protejând astfel viața privată a utilizatorului.
(15) Prezentul regulament stabilește condiții armonizate pentru instituirea unui cadru corespunzător pentru portofelele europene pentru identitatea digitală care urmează să fie furnizate de statele membre. Toți cetățenii Uniunii, precum și rezidenții din Uniune, astfel cum sunt definiți în dreptul intern, ar trebui să fie abilitați să solicite, să selecteze, să combine, să stocheze, să șteargă, să partajeze și să prezinte în condiții de siguranță date privind identitatea lor și să solicite ștergerea datelor lor cu caracter personal într-un mod ușor de utilizat și practic, exclusiv sub controlul utilizatorului, permițând în același timp divulgarea selectivă a datelor cu caracter personal. Prezentul regulament reflectă valorile europene comune și respectă drepturile fundamentale, garanțiile juridice și răspunderea, protejând astfel societățile democratice, cetățenii Uniunii și rezidenții din Uniune. Tehnologiile utilizate pentru atingerea acestor obiective ar trebui să fie dezvoltate cu scopul de a se atinge cel mai înalt nivel de securitate, de confidențialitate, de confort pentru utilizatori, de accesibilitate, de utilizare pe scară largă și de interoperabilitate neîntreruptă. Statele membre ar trebui să asigure accesul egal la identificarea electronică pentru toți cetățenii și rezidenții lor. Statele membre nu ar trebui să limiteze, în mod direct sau indirect, accesul la serviciile publice sau private pentru persoanele fizice sau juridice care nu optează pentru utilizarea portofelelor europene pentru identitatea digitală și ar trebui să pună la dispoziție soluții alternative adecvate.
(16) Statele membre ar trebui să se bazeze pe posibilitățile oferite de prezentul regulament pentru a furniza, sub responsabilitatea lor, portofele europene pentru identitatea digitală în vederea utilizării de către persoanele fizice și juridice care își au reședința pe teritoriul lor. Pentru a oferi statelor membre flexibilitate și a valorifica tehnologia de ultimă generație, prezentul regulament ar trebui să permită furnizarea portofelelor europene pentru identitatea digitală direct de către un stat membru, în temeiul unui mandat din partea unui stat membru sau independent de un stat membru, dar recunoscute de statul membru respectiv.
(17) În scopul înregistrării, beneficiarii ar trebui să furnizeze informațiile necesare pentru a permite identificarea și autentificarea lor electronică către portofelele europene pentru identitatea digitală. Atunci când declară utilizarea preconizată a portofelului european pentru identitatea digitală, beneficiarii ar trebui să furnizeze informații cu privire la datele pe care le vor solicita, dacă este cazul, pentru a-și furniza serviciile și la motivul cererii. Înregistrarea beneficiarului facilitează verificarea de către statele membre a legalității activităților beneficiarilor în conformitate cu dreptul Uniunii. Obligația de înregistrare prevăzută în prezentul regulament nu ar trebui să aducă atingere obligațiilor prevăzute în alte dispoziții de drept al Uniunii sau de drept intern, cum ar fi informațiile care trebuie să fie furnizate persoanelor vizate în temeiul Regulamentului (UE) 2016/679. Beneficiarii ar trebui să asigure garanțiile oferite de articolele 35 și 36 din regulamentul respectiv, în special prin realizarea unor evaluări ale impactului asupra protecției datelor și prin consultarea autorităților competente pentru protecția datelor înainte de prelucrarea datelor în cazul în care evaluările impactului asupra protecției datelor indică faptul că prelucrarea ar conduce la un risc ridicat. Astfel de garanții ar trebui să sprijine prelucrarea legală a datelor cu caracter personal de către beneficiari, în special în ceea ce privește categoriile speciale de date, cum ar fi datele privind sănătatea. Înregistrarea beneficiarilor este menită să sporească transparența și încrederea în utilizarea portofelelor europene pentru identitatea digitală. Înregistrarea ar trebui să fie eficientă din punctul de vedere al costurilor și proporțională cu riscurile aferente, pentru a asigura adoptarea de către prestatorii de servicii. În acest context, înregistrarea ar trebui să prevadă utilizarea unor proceduri automatizate, inclusiv recurgerea la registrele existente și utilizarea acestora de către statele membre, și nu ar trebui să implice un proces de preautorizare. Procesul de înregistrare ar trebui să permită o varietate de cazuri de utilizare care pot fi diferite în ceea ce privește modul de operare, fie online, fie offline, sau în ceea ce privește cerința de autentificare a dispozitivelor în scopul interfeței cu portofelul european pentru identitatea digitală. Înregistrarea ar trebui să se aplice exclusiv beneficiarilor care furnizează servicii prin intermediul interacțiunii digitale.
(18) Protejarea cetățenilor Uniunii și a rezidenților din Uniune împotriva utilizării neautorizate sau frauduloase a portofelelor europene pentru identitatea digitală este extrem de importantă pentru asigurarea încrederii în portofelele europene pentru identitatea digitală și pentru adoptarea pe scară largă a acestora. Utilizatorii ar trebui să beneficieze de o protecție eficace împotriva unei astfel de utilizări abuzive. În special, atunci când faptele care stau la baza utilizării frauduloase sau ilegale în alt mod a unui portofel european pentru identitatea digitală sunt constatate de o autoritate judiciară națională în contextul unei alte proceduri, organismele de supraveghere care sunt responsabile de emitenții portofelului european pentru identitatea digitală ar trebui, după notificare, să ia măsurile necesare pentru a se asigura că înregistrarea beneficiarului și includerea beneficiarilor în mecanismul de autentificare sunt retrase sau suspendate până când autoritatea de notificare confirmă că neregulile identificate au fost remediate.
(19) Toate portofelele europene pentru identitatea digitală ar trebui să le permită utilizatorilor identificarea și autentificarea electronică online și offline, la nivel transfrontalier, în vederea accesării unei game largi de servicii publice și private. Fără a aduce atingere prerogativelor statelor membre în ceea ce privește identificarea cetățenilor și rezidenților lor, portofelele europene pentru identitatea digitală pot răspunde și nevoilor instituționale ale administrațiilor publice, ale organizațiilor internaționale și ale instituțiilor, organelor, oficiilor și agențiilor Uniunii. Autentificarea offline ar fi importantă în numeroase sectoare, inclusiv în sectorul sănătății, unde serviciile sunt adesea furnizate prin interacțiune directă și unde verificarea autenticității prescripțiilor electronice ar trebui să se poată face cu ajutorul codurilor QR sau al unor tehnologii similare. Bazate fiind pe nivelul de asigurare ridicat în ceea ce privește sistemele de identificare electronică, portofelele europene pentru identitatea digitală ar trebui să profite de potențialul oferit de soluțiile inviolabile, cum ar fi elementele de securitate, pentru a respecta cerințele în materie de securitate prevăzute în prezentul regulament. De asemenea, portofelele europene pentru identitatea digitală ar trebui să le permită utilizatorilor să creeze și să utilizeze semnături și sigilii electronice calificate care sunt acceptate în întreaga Uniune. Odată ce s-au integrat în sistemul reprezentat de portofelul european pentru identitatea digitală, persoanele fizice ar trebui să îl poată utiliza pentru a semna cu semnături electronice calificate, în mod implicit și gratuit, fără a fi nevoite să parcurgă proceduri administrative suplimentare. Utilizatorii ar trebui să poată să semneze sau să sigileze afirmațiile sau atributele autorevendicate. Pentru a obține beneficii în materie de simplificare și de reducere a costurilor pentru persoanele și întreprinderile din întreaga Uniune, inclusiv prin validarea competențelor de reprezentare și a mandatelor electronice, statele membre ar trebui să furnizeze portofele europene pentru identitatea digitală care să se bazeze pe standarde și specificații tehnice comune pentru a asigura interoperabilitatea neîntreruptă și a spori în mod adecvat nivelul de securitate informatică, pentru a consolida robustețea împotriva atacurilor cibernetice și a reduce, astfel, în mod semnificativ riscurile potențiale ale digitalizării în curs pentru cetățenii Uniunii, rezidenții din Uniune și întreprinderi. Numai autoritățile competente ale statelor membre pot oferi un nivel ridicat de încredere în stabilirea identității unei persoane și astfel pot oferi garanția că persoana care pretinde sau declară o anumită identitate este într-adevăr persoana care pretinde că este. Prin urmare, furnizarea portofelelor europene pentru identitatea digitală este necesar să se bazeze pe recurgerea la identitatea juridică a cetățenilor Uniunii, a rezidenților din Uniune sau a persoanelor juridice. Recurgerea la identitatea juridică nu ar trebui să împiedice utilizatorii portofelului european pentru identitatea digitală să acceseze servicii sub un pseudonim, în cazul în care nu există nicio cerință legală privind identitatea juridică pentru autentificare. Încrederea în portofelele europene pentru identitatea digitală ar fi consolidată prin faptul că părților emitente și celor care le gestionează li se solicită să pună în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura cel mai ridicat nivel de securitate care să fie proporțional cu riscurile la adresa drepturilor și libertăților persoanelor fizice, în conformitate cu Regulamentul (UE) 2016/679.
(20) Utilizarea unei semnături electronice calificate ar trebui să fie gratuită pentru toate persoanele fizice în scopuri neprofesionale. Statele membre ar trebui să aibă posibilitatea să prevadă măsuri de prevenire a utilizării gratuite a semnăturilor electronice calificate în scopuri profesionale de către persoanele fizice, asigurându-se, în același timp, că orice astfel de măsuri sunt proporționale cu riscurile identificate și sunt justificate.
(21) Este benefic să se faciliteze adoptarea pe scară largă și utilizarea portofelelor europene pentru identitatea digitală prin integrarea fără sincope a acestora în ecosistemul serviciilor digitale publice și private deja implementate la nivel național, local sau regional. Pentru a atinge acest obiectiv, ar trebui să fie posibil pentru statele membre să prevadă măsuri juridice și organizatorice pentru a spori flexibilitatea pentru furnizorii de portofele europene pentru identitatea digitală și pentru a permite funcționalități suplimentare ale portofelelor europene pentru identitatea digitală față de cele prevăzute în prezentul regulament, inclusiv printr-o interoperabilitate sporită cu mijloacele naționale de identificare electronică existente. Aceste funcționalități suplimentare nu ar trebui în niciun caz să fie în detrimentul asigurării funcțiilor de bază ale portofelelor europene pentru identitatea digitală prevăzute în prezentul regulament sau să promoveze soluțiile naționale existente în detrimentul portofelelor europene pentru identitatea digitală. Întrucât depășesc cadrul prezentului regulament, aceste funcționalități suplimentare nu intră sub incidența dispozițiilor privind utilizarea transfrontalieră a portofelelor europene pentru identitatea digitală prevăzute în prezentul regulament.
(22) Portofelele europene pentru identitatea digitală ar trebui să includă o funcționalitate care să genereze pseudonime alese și gestionate de utilizator, în vederea autentificării atunci când se accesează servicii online.
(23) Pentru a atinge un nivel ridicat de securitate și fiabilitate, prezentul regulament stabilește cerințele în ceea ce privește portofelele europene pentru identitate digitală. Conformitatea portofelelor europene pentru identitatea digitală cu cerințele respective ar trebui să fie certificată de organisme acreditate de evaluare a conformității desemnate de statele membre.
(24) Pentru a evita abordările divergente și a armoniza punerea în aplicare a cerințelor prevăzute în prezentul regulament, în vederea certificării portofelelor europene pentru identitatea digitală, Comisia ar trebui să adopte acte de punere în aplicare prin care să stabilească o listă de standarde de referință și, dacă este necesar, specificații și proceduri privind exprimarea specificațiilor tehnice detaliate ale cerințelor respective. În măsura în care certificarea conformității portofelelor europene pentru identitatea digitală cu cerințele relevante în materie de securitate cibernetică nu intră sub incidența sistemelor existente de certificare a securității cibernetice menționate în prezentul regulament și în ceea ce privește cerințele care nu sunt de securitate cibernetică relevante pentru portofelele europene pentru identitatea digitală, statele membre ar trebui să instituie sisteme naționale de certificare în temeiul cerințelor armonizate prevăzute și adoptate în temeiul prezentului regulament. Statele membre ar trebui să transmită Grupului european de cooperare privind identitatea digitală proiectele lor de sisteme de certificare naționale, iar grupul de cooperare ar trebui să poată emite avize și recomandări.
(25) Certificarea conformității cu cerințele de securitate cibernetică stabilite în prezentul regulament ar trebui, dacă este disponibilă, să se bazeze pe sistemele europene de certificare a securității cibernetice relevante instituite în temeiul Regulamentului (UE) 2019/881 al Parlamentului European și al Consiliului (10), care instituie un cadru european voluntar de certificare a securității cibernetice pentru produsele, procesele și serviciile TIC.
(26) Pentru a evalua și a atenua în permanență riscurile legate de securitate, portofelele europene pentru identitatea digitală certificate ar trebui să facă obiectul unor evaluări periodice ale vulnerabilității menite să detecteze orice vulnerabilitate a componentelor legate de produse certificate, procese certificate și serviciile certificate ale portofelului european pentru identitatea digitală.
(27) Prin protejarea utilizatorilor și a întreprinderilor de riscurile de securitate cibernetică, cerințele esențiale de securitate cibernetică prevăzute în prezentul regulament contribuie, de asemenea, la îmbunătățirea protecției datelor cu caracter personal și a vieții private a persoanelor. Ar trebui avute în vedere sinergii atât în ceea ce privește standardizarea, cât și certificarea cu privire la aspectele legate de securitatea cibernetică prin cooperarea dintre Comisie, organizațiile europene de standardizare, Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA), Comitetul european pentru protecția datelor instituit prin Regulamentul (UE) 2016/679 și autoritățile naționale de supraveghere a protecției datelor.
(28) Integrarea cetățenilor Uniunii și a rezidenților din Uniune în sistemul reprezentat de portofelul european pentru identitatea digitală ar trebui să fie facilitată prin utilizarea mijloacelor de identificare electronică emise cu un nivel de asigurare ridicat. Mijloacele de identificare electronică emise cu un nivel de asigurare substanțial ar trebui să fie utilizate numai în cazul în care specificații tehnice și proceduri armonizate care utilizează mijloace de identificare electronică emise cu un nivel de asigurare substanțial în combinație cu alte mijloace suplimentare de verificare a identității vor permite îndeplinirea cerințelor prevăzute în prezentul regulament în ceea ce privește nivelul de asigurare ridicat. Astfel de mijloace suplimentare ar trebui să fie fiabile și ușor de utilizat și s-ar putea baza pe posibilitatea de a utiliza proceduri de integrare de la distanță, certificate calificate susținute de semnături electronice calificate, atestate electronice calificate ale atributelor sau o combinație a acestora. Pentru a asigura adoptarea pe scară suficient de largă a portofelelor europene pentru identitatea digitală, ar trebui stabilite, prin acte de punere în aplicare, specificații tehnice și proceduri armonizate pentru integrarea utilizatorilor prin utilizarea mijloacelor de identificare electronică, inclusiv a celor emise cu un nivel de asigurare substanțial.
(29) Obiectivul prezentului regulament este de a oferi utilizatorului un portofel european pentru identitatea digitală integral mobil, sigur și ușor de utilizat. Ca măsură tranzitorie până la apariția unor soluții certificate inviolabile, cum ar fi elementele de securitate încorporate în dispozitivele utilizatorilor, portofelele europene pentru identitatea digitală ar trebui să se poată baza pe elemente de securitate certificate externe pentru protecția materialului criptografic și a altor date cu caracter sensibil sau pe mijloace de identificare electronică notificate cu un nivel de asigurare ridicat pentru a demonstra conformitatea cu cerințele relevante ale prezentului regulament în ceea ce privește nivelul de asigurare al portofelului european pentru identitatea digitală. Prezentul regulament nu ar trebui să aducă atingere condițiilor naționale privind emiterea și utilizarea elementelor de securitate certificate externe în cazul în care măsura tranzitorie se bazează pe astfel de elemente.
(30) Portofelele europene pentru identitatea digitală ar trebui să asigure cel mai înalt nivel de protecție și de securitate a datelor în scopul identificării și autentificării electronice pentru a facilita accesul la serviciile publice și private, indiferent dacă aceste date sunt stocate la nivel local sau prin soluții de tip cloud, luând în considerare în mod corespunzător diferitele niveluri de risc.
(31) Portofelele europene pentru identitatea digitală ar trebui să fie securizate de la stadiul conceperii și ar trebui să pună în aplicare elemente de securitate avansate pentru a proteja împotriva furtului de identitate și de alte date, a refuzării serviciului și a oricărei alte amenințări cibernetice. O astfel de securitate ar trebui să includă metode de criptare și stocare de ultimă generație care să fie accesibile numai utilizatorului, care să poată fi decriptate numai de către utilizator și care să se bazeze pe comunicații criptate de la un capăt la altul cu alte portofele europene pentru identitatea digitală și cu beneficiarii. În plus, portofelele europene pentru identitatea digitală ar trebui să necesite o confirmare sigură, explicită și activă din partea utilizatorului pentru operațiunile efectuate prin intermediul portofelelor europene pentru identitatea digitală.
(32) Utilizarea gratuită a portofelelor europene pentru identitatea digitală nu ar trebui să conducă la o prelucrare a datelor mai mult decât este necesar pentru furnizarea de servicii specifice portofelelor europene pentru identitatea digitală. Prezentul regulament nu ar trebui să permită prelucrarea datelor cu caracter personal, stocate în portofelul european pentru identitatea digitală sau care rezultă din utilizarea acestuia, de către furnizorul portofelului european pentru identitatea digitală în alte scopuri decât furnizarea de servicii specifice portofelelor europene pentru identitatea digitală. Pentru a asigura protejarea vieții private, furnizorii de portofele europene pentru identitatea digitală ar trebui să asigure neobservabilitatea prin faptul că nu colectează date și nu cunosc tranzacțiile utilizatorilor portofelului european pentru identitatea digitală. Această neobservabilitate înseamnă că furnizorii nu pot vedea detaliile tranzacțiilor efectuate de utilizator. Cu toate acestea, în cazuri specifice, pe baza consimțământului prealabil explicit al utilizatorului în fiecare dintre aceste cazuri specifice și în deplină conformitate cu Regulamentul (UE) 2016/679, furnizorilor de portofele europene pentru identitatea digitală li s-ar putea acorda acces la informațiile necesare pentru furnizarea unui anumit serviciu legat de portofelele europene pentru identitatea digitală.
(33) Transparența portofelelor europene pentru identitatea digitală și responsabilitatea furnizorilor acestora reprezintă elemente esențiale pentru a crea încredere socială și a declanșa acceptarea cadrului. Prin urmare, funcționarea portofelelor europene pentru identitatea digitală ar trebui să fie transparentă și, în special, să permită prelucrarea verificabilă a datelor cu caracter personal. Pentru a realiza acest lucru, statele membre ar trebui să divulge codul sursă al componentelor de software ale aplicației pentru utilizatori a portofelelor europene pentru identitatea digitală, inclusiv cele care au legătură cu prelucrarea datelor cu caracter personal și a datelor persoanelor juridice. Publicarea acestui cod sursă sub o licență cu sursă deschisă ar trebui să permită societății, inclusiv utilizatorilor și dezvoltatorilor, să înțeleagă funcționarea, să auditeze și să revizuiască codul. Acest lucru ar spori încrederea utilizatorilor în ecosistem și ar contribui la securitatea portofelelor europene pentru identitatea digitală, dând posibilitatea oricărei persoane să raporteze vulnerabilități și erori identificate în cod. În general, acest lucru ar trebui să ofere furnizorilor un stimulent pentru a furniza și a menține un produs foarte sigur. Cu toate acestea, în anumite cazuri, divulgarea codului sursă pentru bibliotecile utilizate, canalul de comunicare sau alte elemente care nu sunt găzduite pe dispozitivul utilizatorului ar putea fi limitată de statele membre, din motive justificate în mod corespunzător, în special în scopul siguranței publice.
(34) Utilizarea portofelelor europene pentru identitatea digitală, precum și întreruperea utilizării acestora ar trebui să fie dreptul exclusiv și alegerea utilizatorilor. Statele membre ar trebui să elaboreze proceduri simple și sigure pentru ca utilizatorii să solicite revocarea imediată a valabilității portofelelor europene pentru identitatea digitală, inclusiv în caz de pierdere sau de furt. În cazul decesului utilizatorului sau al încetării activității unei persoane juridice, ar trebui să fie stabilit un mecanism care să permită autorității responsabile cu stabilirea succesiunii persoanei fizice sau a activelor persoanei juridice să solicite revocarea imediată a portofelelor europene pentru identitatea digitală.
(35) Pentru a promova adoptarea portofelelor europene pentru identitatea digitală și utilizarea pe scară mai largă a identităților digitale, statele membre ar trebui nu numai să promoveze beneficiile serviciilor relevante, ci și, în cooperare cu sectorul privat, cu cercetătorii și cu mediul academic, să dezvolte programe de instruire menite să întărească competențele digitale ale cetățenilor și rezidenților lor, în special pentru grupurile vulnerabile, cum ar fi persoanele cu dizabilități și persoanele în vârstă. Statele membre ar trebui de asemenea să informeze publicul despre beneficiile și riscurile portofelelor europene pentru identitatea digitală prin intermediul campaniilor de comunicare.
(36) Pentru a se asigura faptul că, în ceea ce privește cadrul european pentru identitatea digitală, acesta este deschis inovării, dezvoltării tehnologice și este adaptat exigențelor viitorului, statele membre sunt încurajate să creeze, împreună, spații de testare comune pentru a testa soluții inovatoare într-un mediu controlat și sigur, în special pentru a îmbunătăți funcționalitatea, protecția datelor cu caracter personal, securitatea și interoperabilitatea soluțiilor, precum și pentru a fundamenta viitoarele actualizări în materie de referințe tehnice și cerințe legale. Mediul respectiv ar trebui să încurajeze includerea IMM-urilor, a întreprinderilor nou-înființate și a inovatorilor și cercetătorilor individuali, precum și a părților interesate relevante din industrie. Astfel de inițiative ar trebui să contribuie la respectarea reglementărilor și la robustețea tehnică a portofelelor europene pentru identitatea digitală, și să le consolideze, portofele care urmează să fie furnizate cetățenilor Uniunii și rezidenților din Uniune, prevenind astfel dezvoltarea de soluții care nu respectă dreptul Uniunii privind protecția datelor sau care sunt deschise vulnerabilităților în materie de securitate.
(37) Regulamentul (UE) 2019/1157 al Parlamentului European și al Consiliului (11) prevede întărirea securității cărților de identitate cu elemente de securitate mărită până în august 2021. Statele membre ar trebui să ia în considerare posibilitatea notificării acestora în cadrul sistemelor de identificare electronică, în scopul extinderii disponibilității transfrontaliere a mijloacelor de identificare electronică.
(38) Procesul de notificare a sistemelor de identificare electronică ar trebui să fie simplificat și să fie accelerat pentru a promova accesul la soluții de autentificare și identificare practice, fiabile, sigure și inovatoare și, după caz, pentru a încuraja furnizorii privați de mijloace de identificare să pună la dispoziția autorităților statelor membre sisteme de identificare electronică pentru notificare ca sisteme naționale de identificare electronică în temeiul Regulamentului (UE) nr. 910/2014.
(39) Simplificarea procedurilor actuale de notificare și de evaluare inter pares va preveni abordările eterogene ale evaluării diferitelor sisteme de identificare electronică notificate și va facilita consolidarea încrederii între statele membre. Mecanismele noi, simplificate, sunt menite să încurajeze cooperarea dintre statele membre în ceea ce privește securitatea și interoperabilitatea sistemelor de identificare electronică notificate ale acestora.
(40) Statele membre ar trebui să beneficieze de instrumente noi și flexibile pentru a asigura conformitatea cu cerințele prezentului regulament și ale actelor de punere în aplicare relevante adoptate în temeiul acestuia. Prezentul regulament ar trebui să permită statelor membre să utilizeze rapoartele și evaluările efectuate de organismele acreditate de evaluare a conformității, astfel cum se prevede în contextul sistemelor de certificare ce urmează a fi instituite la nivelul Uniunii în temeiul Regulamentului (UE) 2019/881, pentru a-și fundamenta afirmațiile privind alinierea sistemelor sau a unor părți ale acestora la Regulamentul (UE) nr. 910/2014.
(41) Prestatorii de servicii publice utilizează datele de identificare personală disponibile prin mijloacele de identificare electronică în temeiul Regulamentului (UE) nr. 910/2014 pentru a corela identitatea electronică a utilizatorilor din alte state membre cu datele de identificare personală furnizate utilizatorilor respectivi în statul membru care efectuează procesul de corelare transfrontalieră a identităților. Cu toate acestea, în multe cazuri, în pofida utilizării setului minim de date furnizate în cadrul sistemelor de identificare electronică notificate, asigurarea unei corespondențe exacte a identității atunci când statele membre acționează în calitate de beneficiari necesită informații suplimentare cu privire la utilizator și proceduri specifice de identificare unică complementară care trebuie efectuate la nivel național. Pentru a sprijini în continuare posibilitățile de utilizare a mijloacelor de identificare electronică, pentru a oferi servicii publice online mai bune și pentru a spori securitatea juridică în ceea ce privește identitatea electronică a utilizatorilor, Regulamentul (UE) nr. 910/2014 ar trebui să solicite statelor membre să ia măsuri online specifice pentru a asigura corelarea fără echivoc a identității atunci când utilizatorii intenționează să acceseze servicii publice transfrontaliere online.
(42) La elaborarea portofelelor europene pentru identitatea digitală, este esențial să fie luate în considerare nevoile utilizatorilor. Ar trebui să fie disponibile cazuri de utilizare și servicii online importante care să se bazeze pe portofelele europene pentru identitatea digitală. Pentru confortul utilizatorilor și pentru a asigura disponibilitatea transfrontalieră a unor astfel de servicii, este important să fie întreprinse acțiuni pentru a facilita o abordare similară în ceea ce privește proiectarea, dezvoltarea și implementarea serviciilor online în toate statele membre. Orientările fără caracter obligatoriu privind modul de proiectare, elaborare și implementare a serviciilor online care se bazează pe portofelele europene pentru identitatea digitală ar putea deveni un instrument util pentru atingerea acestui obiectiv. Astfel de orientări ar trebui să fie elaborate ținând seama de cadrul de interoperabilitate al Uniunii. Statele membre ar trebui să aibă un rol principal în adoptarea acestor orientări.
(43) În conformitate cu Directiva (UE) 2019/882 a Parlamentului European și a Consiliului (12), persoanele cu dizabilități ar trebui să poată utiliza portofelele europene pentru identitatea digitală, serviciile de încredere și produsele destinate utilizatorului final utilizate la prestarea serviciilor respective, în aceleași condiții ca și ceilalți utilizatori.
(44) Pentru a asigura aplicarea eficace a prezentului regulament, ar trebui să se stabilească un nivel minim al amenzilor administrative maxime atât pentru prestatorii de servicii de încredere calificați, cât și pentru cei necalificați. Statele membre ar trebui să prevadă sancțiuni efective, proporționale și cu efect de descurajare. La stabilirea sancțiunilor, ar trebui să se țină seama în mod corespunzător de dimensiunea entităților afectate, de modelele lor de afaceri și de gravitatea încălcărilor.
(45) Statele membre ar trebui să stabilească norme privind sancțiunile care se aplică în cazul unor încălcări cum sunt practicile directe sau indirecte care creează confuzie între serviciile de încredere necalificate și cele calificate sau care conduc la utilizarea abuzivă a mărcii de încredere a UE de către prestatori de servicii de încredere necalificate. Marca de încredere a UE nu ar trebui să fie utilizată în condiții care, în mod direct sau indirect, dau impresia că orice servicii de încredere necalificate oferite de astfel de prestatori ar fi calificate.
(46) Prezentul regulament nu ar trebui să reglementeze aspectele privind încheierea și valabilitatea contractelor sau a altor obligații juridice, în cazul în care există cerințe cu privire la formă prevăzute de dreptul Uniunii sau dreptul intern. Mai mult, prezentul regulament nu ar trebui să afecteze cerințele naționale cu privire la formă aferente registrelor publice, în special registrelor comerțului și cadastrelor.
(47) Prestarea și utilizarea serviciilor de încredere și beneficiile aduse în ceea ce privește confortul și securitatea juridică în contextul tranzacțiilor transfrontaliere, în special atunci când sunt utilizate servicii de încredere calificate, capătă o importanță sporită pentru comerțul și cooperarea la nivel internațional. Partenerii internaționali ai Uniunii instituie cadre de încredere inspirate din Regulamentul (UE) nr. 910/2014. Pentru a facilita recunoașterea serviciilor de încredere calificate și a prestatorilor acestora, Comisia poate adopta acte de punere în aplicare pentru a stabili condițiile în care cadrele de încredere ale țărilor terțe ar putea fi considerate echivalente cu cadrul de încredere pentru serviciile de încredere calificate și prestatorii de servicii de încredere calificați care fac obiectul prezentului regulament. O astfel de abordare ar trebui să completeze posibilitatea de recunoaștere reciprocă a serviciilor de încredere și a prestatorilor acestora stabiliți în Uniune și în țări terțe în conformitate cu articolul 218 din Tratatul privind funcționarea Uniunii Europene (TFUE). Atunci când sunt stabilite condițiile în care cadrele de încredere ale țărilor terțe ar putea fi considerate echivalente cu cadrul de încredere pentru serviciile de încredere calificate și prestatorii de servicii de încredere calificați în temeiul Regulamentului (UE) nr. 910/2014, ar trebui să se asigure respectarea dispozițiilor relevante din Directiva (UE) 2022/2555 a Parlamentului European și a Consiliului (13) și din Regulamentul (UE) 2016/679, precum și utilizarea listelor sigure ca elemente esențiale pentru consolidarea încrederii.
(48) Prezentul regulament ar trebui să încurajeze alegerea și posibilitatea de a trece de la un portofel european pentru identitatea digitală la altul în cazul în care un stat membru a aprobat mai multe soluții pentru portofele europene pentru identitatea digitală pe teritoriul său. Pentru a evita efectele de blocare în astfel de situații, atunci când acest lucru este fezabil din punct de vedere tehnic, furnizorii de portofele europene pentru identitatea digitală ar trebui să asigure, la cererea utilizatorilor portofelului european pentru identitatea digitală, portabilitatea efectivă a datelor și nu ar trebui să li se permită acestor furnizori să utilizeze bariere contractuale, economice sau tehnice pentru a împiedica sau a descuraja trecerea efectivă de la un portofel european pentru identitatea digitală la altul.
(49) Pentru a asigura buna funcționare a portofelelor europene pentru identitatea digitală, furnizorii de portofele europene pentru identitatea digitală au nevoie de interoperabilitate efectivă și de condiții echitabile, rezonabile și nediscriminatorii pentru ca portofelele europene pentru identitatea digitală să acceseze componente de hardware și de software specifice ale dispozitivelor mobile. Componentele respective ar putea include în special antene de comunicare în câmp apropiat și elemente de securitate, inclusiv carduri cu circuit integrat universal, elemente de securitate încorporate, carduri microSD și Bluetooth cu consum redus de energie. Accesul la componentele respective ar putea fi sub controlul operatorilor de rețele mobile și al producătorilor de echipamente. Prin urmare, în cazul în care este necesar pentru a presta serviciile specifice portofelelor europene pentru identitatea digitală, producătorii de echipamente originale de dispozitive mobile sau furnizorii de servicii de comunicații electronice nu ar trebui să refuze accesul la astfel de componente. În plus, întreprinderilor desemnate drept controlori de acces pentru serviciile de platformă esențiale, astfel cum sunt indicate de Comisie în temeiul Regulamentului (UE) 2022/1925 al Parlamentului European și al Consiliului (14), ar trebui să li se aplice în continuare dispozițiile specifice ale regulamentului menționat, pe baza articolului 6 alineatul (7) din regulamentul respectiv.
(50) Pentru a raționaliza obligațiile în materie de securitate cibernetică impuse prestatorilor de servicii de încredere, precum și pentru a permite acestor prestatori și autorităților lor competente să beneficieze de cadrul juridic instituit prin Directiva (UE) 2022/2555, se impune serviciilor de încredere să ia măsuri tehnice și organizatorice adecvate în temeiul directivei menționate, cum ar fi măsuri ce vizează defecțiuni ale sistemelor, erori umane, acțiuni răuvoitoare sau fenomene naturale, pentru a gestiona riscurile la adresa securității rețelelor și a sistemelor informatice pe care prestatorii respectivi le utilizează pentru a furniza servicii, precum și pentru a notifica incidente și amenințări cibernetice semnificative în conformitate cu directiva respectivă. În ceea ce privește raportarea incidentelor, prestatorii de servicii de încredere ar trebui să notifice orice incident care are un impact semnificativ asupra prestării serviciilor lor, inclusiv cele cauzate de furtul sau pierderea de dispozitive, de deteriorarea cablurilor de rețea sau de incidentele care survin în contextul identificării persoanelor. Cerințele de gestionare a riscurilor în materie de securitate cibernetică și obligațiile de raportare în temeiul Directivei (UE) 2022/2555 ar trebui să fie considerate complementare cerințelor impuse prestatorilor de servicii de încredere în temeiul prezentului regulament. După caz, autoritățile competente desemnate în temeiul Directivei (UE) 2022/2555 ar trebui să aplice în continuare practicile sau orientările naționale existente în legătură cu punerea în aplicare a cerințelor în materie de securitate și raportare și cu supravegherea conformității cu aceste cerințe în temeiul Regulamentului (UE) nr. 910/2014. Prezentul regulament nu aduce atingere obligației de notificare a încălcărilor securității datelor cu caracter personal în temeiul Regulamentului (UE) 2016/679.
(51) Ar trebui să se acorde o atenție deosebită asigurării unei cooperări eficace între organismele de supraveghere desemnate în temeiul articolului 46b din Regulamentul (UE) nr. 910/2014 și autoritățile competente desemnate sau înființate în temeiul articolului 8 alineatul (1) din Directiva (UE) 2022/2555. În cazul în care un astfel de organism de supraveghere este altul decât o astfel de autoritate competentă, organismul de supraveghere și autoritatea competentă ar trebui să coopereze îndeaproape, în timp util, prin efectuarea unui schimb de informații relevante, pentru a asigura supravegherea eficace și respectarea de către prestatorii de servicii de încredere a cerințelor prevăzute în Regulamentul (UE) nr. 910/2014 și în Directiva (UE) 2022/2555. În special, organismele de supraveghere desemnate în temeiul Regulamentului (UE) nr. 910/2014 ar trebui să aibă dreptul de a solicita autorităților competente desemnate sau înființate în temeiul Directivei (UE) 2022/2555 să furnizeze informațiile relevante necesare pentru a acorda statutul de calificat și pentru a desfășura acțiuni de supraveghere în scopul de a verifica respectarea de către prestatorii de servicii de încredere a cerințelor relevante în temeiul Directivei (UE) 2022/2555 sau de a le solicita să remedieze situațiile de nerespectare.
(52) Este esențial să se prevadă un cadru juridic pentru a facilita recunoașterea transfrontalieră între sistemele juridice naționale existente în ceea ce privește serviciile de distribuție electronică înregistrată. Acest cadru ar putea genera, de asemenea, noi oportunități de piață pentru ca prestatorii de servicii de încredere ai Uniunii să ofere noi servicii de distribuție electronică înregistrată în întreaga Uniune. Pentru a se asigura că datele care utilizează un serviciu de distribuție electronică înregistrată calificat sunt furnizate destinatarului corect, serviciile de distribuție electronică înregistrată calificate ar trebui să asigure cu deplină certitudine identificarea destinatarului, în timp ce un nivel ridicat de încredere ar fi suficient în ceea ce privește identificarea expeditorului. Prestatorii de servicii de distribuție electronică înregistrată calificate ar trebui să fie încurajați de statele membre să facă în așa fel încât serviciile lor să fie interoperabile cu serviciile de distribuție electronică înregistrată calificate furnizate de alți prestatori de servicii de încredere calificați, pentru a transfera cu ușurință datele înregistrate în format electronic între doi sau mai mulți prestatori de servicii de încredere calificați și pentru a promova practici echitabile pe piața internă.
(53) În majoritatea cazurilor, cetățenii Uniunii și rezidenții din Uniune nu pot face, la nivel transfrontalier, schimb digital de informații referitoare la identitatea lor, cum ar fi adresa lor, vârstă, calificări profesionale, permis de conducere și alte date privind plăți și permise, în condiții de siguranță și cu un nivel ridicat de protecție a datelor.
(54) Ar trebui să fie posibil să se elibereze și gestioneze atribute electronice de încredere și să se contribuie la reducerea sarcinii administrative, oferindu-se cetățenilor Uniunii și rezidenților din Uniune posibilitatea de a le utiliza în tranzacțiile lor private și publice. Cetățenii Uniunii și rezidenții din Uniune ar trebui să fie în măsură, de exemplu, să demonstreze că sunt posesori ai unui permis de conducere valabil eliberat de o autoritate dintr-un stat membru, iar autoritățile relevante din alte state membre ar trebui să poată verifica permisul și să se poată baza pe acesta; cetățenii Uniunii și rezidenții din Uniune ar trebui totodată să se poată baza pe credențialele lor în materie de securitate socială sau pe viitoare documente de călătorie digitale în context transfrontalier.
(55) Orice prestator de servicii care emite atestate electronice ale atributelor, cum ar fi diplome, licențe, certificate de naștere sau împuterniciri și mandate de a reprezenta persoane fizice sau juridice sau de a acționa în numele acestora, ar trebui să fie considerată prestator de servicii de încredere de atestare electronică a atributelor. Unui atestat electronic al atributelor nu ar trebui să i se refuze efectul juridic din motiv că acesta este în format electronic sau că nu îndeplinește cerințele pentru atestatul electronic calificat al atributelor. Ar trebui să fie stabilite cerințe generale pentru a garanta că un atestat electronic calificat al atributelor are efect juridic echivalent cu cel al atestatelor emise în mod legal în format tipărit. Cu toate acestea, cerințele respective ar trebui să se aplice fără a aduce atingere dreptului Uniunii sau dreptului intern care stabilește cerințe sectoriale suplimentare în ceea ce privește forma cu efecte juridice subiacente și, în special, recunoașterea transfrontalieră a atestatului electronic calificat al atributelor, după caz.
(56) Disponibilitatea și utilizarea pe scară largă a portofelelor europene pentru identitatea digitală ar trebui să sporească gradul de acceptare și încrederea în acestea atât de către persoanele fizice, cât și de către prestatorii privați de servicii. Prin urmare, beneficiarii privați care prestează servicii de exemplu în domeniile transporturilor, energiei, serviciilor bancare și financiare, securității sociale, sănătății, apei potabile, serviciilor poștale, infrastructurii digitale, telecomunicațiilor sau educației ar trebui să accepte utilizarea portofelelor europene pentru identitatea digitală pentru prestarea serviciilor atunci când autentificarea strictă a utilizatorilor pentru identificarea online este obligatorie în temeiul dreptului Uniunii sau al dreptului intern ori al unei obligații contractuale. Orice solicitare din partea beneficiarului de informații de la utilizatorul unui portofel european pentru identificarea digitală ar trebui să fie necesară și proporțională cu utilizarea preconizată într-un anumit caz, ar trebui să respecte principiul reducerii la minimum a datelor și ar trebui să asigure transparența în ceea ce privește datele care sunt partajate și scopurile în care sunt partajate. Pentru a facilita utilizarea și acceptarea portofelelor europene pentru identitatea digitală, la implementarea lor ar trebui să se țină seama de standardele și specificațiile din industrie acceptate pe scară largă.
(57) În cazul în care platformele online foarte mari în sensul articolului 33 alineatul (1) din Regulamentul (UE) 2022/2065 al Parlamentului European și al Consiliului (15), impun utilizatorilor să fie autentificați pentru a accesa servicii online, aceste platforme ar trebui să aibă obligația să accepte utilizarea portofelelor europene pentru identitatea digitală la cererea voluntară a utilizatorului. Utilizatorii nu ar trebui să fie obligați să utilizeze un portofel european pentru identitatea digitală pentru a accesa servicii private, iar accesul lor la servicii nu ar trebui să fie restricționat sau împiedicat pe motiv că nu utilizează un portofel european pentru identitatea digitală. Cu toate acestea, dacă utilizatorii doresc să utilizeze portofele europene pentru identitatea digitală, platformele online foarte mari ar trebui să le accepte în acest scop, respectând în același timp principiul reducerii la minimum a datelor și dreptul utilizatorilor de a utiliza pseudonime alese în mod liber. Având în vedere importanța platformelor online foarte mari, datorită amplorii lor, în special în ceea ce privește numărul de destinatari ai serviciului și tranzacțiile economice, obligația de a accepta portofele europene pentru identitatea digitală este necesară pentru a spori protecția utilizatorilor împotriva fraudei și pentru a asigura un nivel ridicat de protecție a datelor.
(58) Ar trebui să fie elaborate coduri de conduită la nivelul Uniunii pentru a contribui la disponibilitatea și utilizarea pe scară largă a mijloacelor de identificare electronică, inclusiv a portofelelor europene pentru identitatea digitală în cadrul domeniului de aplicare al prezentului regulament. Codurile de conduită ar trebui să faciliteze acceptarea pe scară largă a mijloacelor de identificare electronică, inclusiv a portofelelor europene pentru identitatea digitală, de către prestatorii de servicii care nu se califică drept platforme foarte mari și care se bazează pe servicii de identificare electronică furnizate de terți pentru autentificarea utilizatorilor.
(59) Divulgarea selectivă este un concept care permite proprietarului datelor să divulge numai anumite părți ale unui set de date mai mare, astfel încât entitatea destinatară să obțină numai acele informații care sunt necesare pentru furnizarea unui serviciu solicitat de utilizatorul în cauză. Portofelul european pentru identitatea digitală ar trebui să permită din punct de vedere tehnic divulgarea selectivă a atributelor către beneficiari. Ar trebui să fie posibil din punct de vedere tehnic pentru utilizator să divulge selectiv atribute, inclusiv din mai multe atestate electronice distincte, să le combine și să le prezinte fără întreruperi beneficiarilor. Această caracteristică ar trebui să devină un element de proiectare de bază al portofelelor europene pentru identitatea digitală, consolidând astfel confortul și protecția datelor cu caracter personal, inclusiv reducerea la minimum a datelor.
(60) Cu excepția cazului în care norme specifice de drept al Uniunii sau de drept intern impun utilizatorilor să se identifice, accesul la servicii prin utilizarea unui pseudonim nu ar trebui să fie interzis.
(61) Atributele furnizate de prestatorii de servicii de încredere calificați în cadrul atestatului calificat al atributelor ar trebui să fie verificate prin compararea lor cu surse autentice, fie direct de către prestatorul de servicii de încredere calificat, fie prin intermediari desemnați, recunoscuți la nivel național în conformitate cu dreptul Uniunii sau cu dreptul intern, în scopul schimbului securizat de atribute atestate între prestatorii de servicii de identificare sau de atestare a atributelor și beneficiarii acestor servicii. Statele membre ar trebui să instituie mecanisme adecvate la nivel național pentru a se asigura că prestatorii de servicii de încredere calificați care emit atestate electronice calificate ale atributelor sunt în măsură, pe baza consimțământului persoanei căreia i se emite atestatul, să verifice autenticitatea atributelor bazându-se pe surse autentice. Ar trebui să fie posibil ca mecanisme adecvate să includă recurgerea la intermediari specifici sau la soluții tehnice în conformitate cu dreptul intern care permite accesul la surse autentice. Asigurarea disponibilității unui mecanism care permite verificarea atributelor prin compararea lor cu surse autentice este menit să faciliteze respectarea de către prestatorii de servicii de încredere calificați care emit atestate electronice calificate ale atributelor a obligațiilor care le revin în temeiul Regulamentului (UE) nr. 910/2014. O nouă anexă la regulamentul respectiv ar trebui să conțină o listă a categoriilor de atribute în privința cărora statele membre trebuie să se asigure că se iau măsuri pentru a permite prestatorilor calificați care emit atestate electronice ale atributelor să verifice prin mijloace electronice, la cererea utilizatorului, autenticitatea acestora prin comparare cu sursa autentică relevantă.
(62) Identificarea electronică securizată și furnizarea de atestate ale atributelor ar trebui să ofere flexibilitate și soluții suplimentare pentru sectorul serviciilor financiare în scopul de a permite identificarea clienților și schimbul de atribute specifice necesare pentru a respecta, de exemplu, cerințele de precauție privind clientela în temeiul unui viitor regulament privind înființarea Autorității pentru Combaterea Spălării Banilor și cerințele privind caracterul adecvat care decurg din legislația privind protecția investitorilor, sau în scopul de a sprijini îndeplinirea unor cerințe de autentificare strictă a clienților în cazul identificării online în scopul intrării în cont și al inițierii tranzacțiilor în domeniul serviciilor de plată.
(63) Efectul juridic al unei semnături electronice nu se contestă pe motivul că aceasta este în format electronic sau că nu îndeplinește cerințele pentru semnătura electronică calificată. Prezentul regulament prevede ca o semnătură electronică calificată să fie considerată echivalentă cu o semnătură olografă. Cu toate acestea, efectul juridic al semnăturilor electronice se stabilește prin dreptul intern, cu excepția cerințelor prevăzute de prezentul regulament potrivit cărora efectul juridic al unei semnături electronice calificate se consideră ca fiind echivalent cu cel al unei semnături olografe. Atunci când stabilesc efectele juridice ale semnăturilor electronice, statele membre ar trebui să țină seama de principiul proporționalității între valoarea juridică a unui document care urmează să fie semnat și nivelul de securitate și costurile pe care le impune o semnătură electronică. Pentru a spori accesibilitatea și utilizarea semnăturilor electronice, statele membre sunt încurajate să ia în considerare utilizarea semnăturilor electronice avansate în tranzacțiile zilnice pentru care oferă un nivel suficient de securitate și încredere.
(64) Pentru a asigura consecvența practicilor de certificare în întreaga Uniune, Comisia ar trebui să emită orientări privind certificarea și recertificarea dispozitivelor calificate de creare a semnăturilor electronice și a dispozitivelor calificate de creare a sigiliilor electronice, inclusiv privind valabilitatea și limitările în timp ale acestora. Prezentul regulament nu împiedică organismele publice sau private să recertifice temporar astfel de dispozitive pentru o perioadă scurtă de valabilitate a certificării, pe baza rezultatelor celei mai recente proceduri de certificare, atunci când o astfel de recertificare nu poate avea loc în termenul stabilit prin lege pentru orice alt motiv decât o încălcare a securității sau un incident de securitate și fără a aduce atingere obligației de a efectua o evaluare a vulnerabilității și fără a aduce atingere practicii de certificare aplicabile.
(65) Emiterea certificatelor pentru autentificarea site-urilor internet este destinată să ofere utilizatorilor o garanție cu un nivel ridicat de încredere în ceea ce privește identitatea entității care se află în spatele site-ului internet, indiferent ce platformă este folosită pentru afișarea identității respective. Certificatele respective ar trebui să contribuie la construirea încrederii în desfășurarea de activități comerciale online, întrucât utilizatorii ar avea încredere într-un site internet care a fost autentificat. Utilizarea unor astfel de certificate de către site-uri internet ar trebui să fie voluntară. Pentru ca autentificarea unui site internet să devină un mijloc prin care se sporește încrederea, se oferă utilizatorului o experiență mai bună și se stimulează creșterea economică pe piața internă, prezentul regulament prevede un cadru de încredere care include obligații minime în materie de securitate și răspundere pentru furnizorii certificatelor calificate pentru autentificarea site-urilor internet și cerințe pentru emiterea certificatelor respective. Listele sigure naționale ar trebui să confirme statutul de calificat al serviciilor de autentificare a unui site internet și al prestatorilor lor de servicii de încredere, inclusiv conformitatea deplină a acestora cu cerințele prezentului regulament în ceea ce privește emiterea certificatelor calificate pentru autentificarea unui site internet. Recunoașterea certificatelor calificate pentru autentificarea unui site internet înseamnă că furnizorii de browsere web nu ar trebui să refuze autenticitatea certificatelor calificate pentru autentificarea unui site internet numai cu scopul de a atesta legătura dintre numele de domeniu al site-ului internet și persoana fizică sau juridică căreia i se emite certificatul sau de a confirma identitatea persoanei respective. Furnizorii de browsere web ar trebui să afișeze utilizatorului final datele de identitate certificate și celelalte atribute atestate într-un mod ușor de utilizat în mediul browserului, utilizând mijloacele tehnice alese de aceștia. În acest scop, furnizorii de browsere web ar trebui să asigure asistență și interoperabilitate pentru certificatele calificate pentru autentificarea unui site internet emise cu deplina respectare a prezentului regulament. Obligația de recunoaștere, interoperabilitate și asistență pentru certificatele calificate pentru autentificarea unui site internet nu afectează libertatea furnizorilor de browsere web de a asigura securitatea web, autentificarea domeniilor și criptarea traficului web în maniera și prin intermediul tehnologiei pe care o consideră cea mai adecvată. Pentru a contribui la securitatea online a utilizatorilor finali, furnizorii de browsere web ar trebui, în circumstanțe excepționale, să poată lua măsuri de precauție care sunt atât necesare, cât și proporționale ca răspuns la preocupări motivate referitoare la încălcări ale securității sau la pierderea integrității unui certificat identificat sau a unui set de certificate identificate. În cazul în care iau astfel de măsuri de precauție, furnizorii de browsere web ar trebui să notifice fără întârzieri nejustificate Comisiei, organismului național de supraveghere, entității căreia i-a fost emis certificatul și prestatorului de servicii de încredere calificat care a emis certificatul sau setul de certificate cu privire la orice preocupare referitoare la o astfel de încălcare a securității sau de pierdere a integrității, precum și cu privire la măsurile luate cu privire la certificat sau la setul de certificate. Măsurile respective nu ar trebui să aducă atingere obligației furnizorilor de browsere web de a recunoaște certificatele calificate pentru autentificarea unui site internet în conformitate cu listele sigure naționale. Pentru a proteja suplimentar cetățenii Uniunii și rezidenții din Uniune și pentru a promova utilizarea certificatelor calificate pentru autentificarea unui site internet, autoritățile publice din statele membre ar trebui să ia în considerare includerea certificatelor calificate pentru autentificarea unui site internet în site-urile lor internet. Măsurile prevăzute de prezentul regulament care vizează asigurarea unei coerențe sporite între abordările și practicile divergente ale statelor membre în ceea ce privește procedurile de supraveghere sunt menite să contribuie la îmbunătățirea încrederii în securitatea, calitatea și disponibilitatea certificatelor calificate pentru autentificarea unui site internet.
(66) Numeroase state membre au introdus cerințe naționale pentru serviciile care oferă arhivare electronică sigură și fiabilă, pentru a permite conservarea pe termen lung a datelor electronice și a documentelor electronice și a serviciilor de încredere conexe. Pentru a asigura securitatea juridică, încrederea și armonizarea între statele membre, ar trebui să fie instituit un cadru juridic pentru serviciile calificate de arhivare electronică, inspirat de cadrul aferent celorlalte servicii de încredere prevăzute în prezentul regulament. Cadrul juridic pentru serviciile calificate de arhivare electronică ar trebui să ofere prestatorilor de servicii de încredere și utilizatorilor un set eficient de instrumente care să includă cerințe funcționale pentru serviciul de arhivare electronică, precum și efecte juridice clare atunci când se utilizează un serviciu calificat de arhivare electronică. Dispozițiile respective ar trebui să se aplice datelor electronice și documentelor constituite în format electronic, precum și documentelor pe suport de hârtie care au fost scanate și digitalizate. Atunci când este necesar, dispozițiile respective ar trebui să permită ca datele electronice și documentele electronice păstrate să fie transferate pe diferite suporturi sau în diferite formate în scopul prelungirii durabilității și lizibilității acestora dincolo de perioada de valabilitate tehnologică, împiedicând în același timp, în cea mai mare măsură posibilă, pierderile și modificările. Atunci când datele electronice și documentele electronice transmise serviciului de arhivare electronică conțin una sau mai multe semnături electronice calificate sau sigilii electronice calificate, serviciul ar trebui să utilizeze proceduri și tehnologii capabile să le extindă fiabilitatea pe toată perioada de păstrare a acestor date, eventual bazându-se pe utilizarea altor servicii de încredere calificate instituite prin prezentul regulament. Pentru a crea dovezi ale conservării în cazul în care se utilizează semnături electronice, sigilii electronice sau mărci temporale electronice, ar trebui să fie utilizate servicii de încredere calificate. În măsura în care serviciile de arhivare electronică nu sunt armonizate prin prezentul regulament, statele membre ar trebui să poată menține sau introduce dispoziții de drept intern, conforme cu dreptul Uniunii, referitoare la aceste servicii, cum ar fi dispoziții specifice pentru serviciile integrate într-o organizație și utilizate exclusiv în scopul arhivării interne în cadrul organizației respective. Prezentul regulament nu ar trebui să facă distincție între datele electronice și documentele constituite în format electronic și documentele fizice care au fost digitalizate.
(67) Activitățile arhivelor naționale și ale instituțiilor dedicate conservării trecutului, în calitatea lor de organizații dedicate conservării patrimoniului documentar în interes public, sunt, de obicei, reglementate în dreptul intern și nu furnizează neapărat servicii de încredere în sensul prezentului regulament. Atât timp cât aceste instituții nu furnizează astfel de servicii de încredere, prezentul regulament nu aduce atingere funcționării lor.
(68) Registrele electronice reprezintă o secvență de înregistrări electronice de date care ar trebui să asigure integritatea acestora și acuratețea ordonării lor cronologice. Registrele electronice ar trebui să stabilească o secvență cronologică de înregistrări de date. Împreună cu alte tehnologii, acestea ar trebui să contribuie la găsirea de soluții pentru servicii publice mai eficiente și transformatoare, cum ar fi votul electronic, cooperarea transfrontalieră a autorităților vamale, cooperarea transfrontalieră a institutelor academice și înregistrarea dreptului de proprietate asupra bunurilor imobiliare în registre funciare descentralizate. Registrele electronice calificate ar trebui să stabilească o prezumție legală pentru ordonarea cronologică secvențială unică și exactă și pentru integritatea înregistrărilor de date din registre. Datorită specificului acestora, cum ar fi ordonarea cronologică secvențială a înregistrărilor de date, registrele electronice ar trebui să se distingă de alte servicii de încredere, cum ar fi mărcile temporale electronice și serviciile de distribuție electronică înregistrată. Pentru a asigura securitatea juridică și a promova inovarea, ar trebui să se instituie un cadru juridic la nivelul Uniunii care să prevadă recunoașterea transfrontalieră a serviciilor de încredere pentru înregistrarea datelor în registrele electronice. Acest lucru ar trebui să împiedice în mod suficient copierea și vânzarea aceluiași activ digital de mai multe ori unor părți diferite. Procesul de creare și actualizare a unui registru electronic depinde de tipul de registru utilizat, și anume dacă este centralizat sau distribuit. Prezentul regulament ar trebui să asigure neutralitatea tehnologică, și anume să nu favorizeze și nici să nu discrimineze nicio tehnologie utilizată pentru punerea în aplicare a noului serviciu de încredere pentru registrele electronice. În plus, Comisia ar trebui să țină seama de indicatorii de durabilitate cu privire la orice efect negativ asupra climei sau la alte efecte negative legate de mediu, utilizând metodologii adecvate, atunci când pregătește actele de punere în aplicare care precizează cerințele pentru registrele electronice calificate.
(69) Rolul prestatorilor de servicii de încredere pentru registrele electronice ar trebui să fie cel de a verifica înregistrarea secvențială a datelor în registru. Prezentul regulament nu aduce atingere niciunei obligații legale a utilizatorilor registrelor electronice în temeiul dreptului Uniunii sau al dreptului intern. De exemplu, cazurile de utilizare care implică prelucrarea datelor cu caracter personal ar trebui să respecte Regulamentul (UE) 2016/679, iar cazurile de utilizare care se referă la servicii financiare ar trebui să respecte legislația relevantă a Uniunii privind serviciile financiare.
(70) Pentru a evita fragmentarea pieței interne și obstacolele pe această piață, cauzate de standarde divergente și de restricții tehnice, precum și pentru a asigura un proces coordonat în scopul de a evita să fie afectată punerea în aplicare a cadrului european pentru identitatea digitală, este necesar să existe un proces de cooperare strânsă și structurată între Comisie, statele membre, societatea civilă, mediul academic și sectorul privat. Pentru a atinge acest obiectiv, statele membre și Comisia ar trebui să coopereze în cadrul stabilit prin Recomandarea (UE) 2021/946 a Comisiei (16) pentru a identifica un set comun de instrumente la nivelul Uniunii vizând cadrul european pentru identitatea digitală. În acest context, statele membre ar trebui să ajungă la un acord cu privire la o arhitectură tehnică cuprinzătoare și un cadru de referință, un set de standarde comune și de referințe tehnice comune, inclusiv standarde existente recunoscute, precum și un set de orientări și descrieri de bune practici care să privească cel puțin toate funcționalitățile și interoperabilitatea portofelelor europene pentru identitatea digitală, inclusiv semnăturile electronice, și ale prestatorilor de servicii de încredere calificați pentru atestarea electronică a atributelor, astfel cum se prevede în prezentul regulament. În acest context, statele membre ar trebui, de asemenea, să ajungă la un acord cu privire la elementele comune ale unui model de afaceri și ale structurii taxelor aferente portofelelor europene pentru identitatea digitală, pentru a facilita adoptarea acestora, în special de către IMM-uri, în context transfrontalier. Conținutul setului de instrumente ar trebui să evolueze în paralel cu rezultatul discuțiilor și al procesului de adoptare a cadrului european pentru identitatea digitală și să reflecte rezultatele acestora.
(71) Prezentul regulament prevede un nivel armonizat de calitate, fiabilitate și securitate a serviciilor de încredere calificate, indiferent de locul în care se desfășoară operațiunile. Astfel, un prestator de servicii de încredere calificat ar trebui să fie autorizat să își externalizeze operațiunile legate de prestarea unui serviciu de încredere calificat într-o țară terță, cu condiția ca țara terță respectivă să prevadă garanții adecvate care să asigure că activitățile de supraveghere și auditurile pot fi puse în aplicare ca și cum ar fi efectuate în Uniune. Atunci când respectarea prezentului regulament nu poate fi asigurată pe deplin, organismele de supraveghere ar trebui să poată adopta măsuri proporționate și justificate, inclusiv retragerea statutului de calificat al serviciului de încredere prestat.
(72) Pentru a asigura securitatea juridică cu privire la valabilitatea semnăturilor electronice avansate bazate pe certificate calificate, este esențial să fie precizată în detaliu evaluarea efectuată de beneficiarul care efectuează validarea respectivei semnături electronice avansate bazate pe certificate calificate.
(73) Prestatorii de servicii de încredere ar trebui să utilizeze metode criptografice care să reflecte bunele practici actuale și să le implementeze într-un mod demn de încredere pentru a asigura securitatea și fiabilitatea serviciilor lor de încredere.
(74) Prezentul regulament prevede obligația prestatorilor de servicii de încredere calificați de a verifica identitatea unei persoane fizice sau juridice căreia i se emite certificatul calificat sau atestatul electronic calificat al atributelor pe baza mai multor metode armonizate în întreaga Uniune. Pentru a se asigura că certificatele calificate și atestatele electronice calificate ale atributelor sunt emise persoanei căreia îi aparțin și că acestea atestă setul corect și unic de date care reprezintă identitatea persoanei respective, prestatorii de servicii de încredere calificați care emit certificate calificate sau atestate electronice calificate ale atributelor ar trebui, la momentul emiterii certificatelor și atestatelor respective, să asigure cu certitudine deplină identificarea persoanei respective. În plus, pe lângă verificarea obligatorie a identității persoanei, dacă este cazul pentru emiterea certificatelor calificate și atunci când emit un atestat electronic calificat al atributelor, prestatorii de servicii de încredere calificați ar trebui să asigure cu certitudine deplină corectitudinea și exactitatea atributelor atestate ale persoanei căreia i se emite certificatul calificat sau atestatul electronic calificat al atributelor. Aceste obligații privind rezultatul și certitudinea deplină în ceea ce privește verificarea datelor atestate ar trebui să fie susținute prin mijloace adecvate, inclusiv prin utilizarea unei metode specifice sau, dacă este necesar, a unei combinații de metode specifice prevăzute de prezentul regulament. Ar trebui să fie posibilă combinarea metodelor respective pentru a oferi o bază adecvată pentru verificarea identității persoanei căreia i se emite certificatul calificat sau un atestat electronic calificat al atributelor. O astfel de combinație ar trebui să poată include recurgerea la mijloace de identificare electronică care îndeplinesc cerințele privind nivelul de asigurare substanțial în combinație cu alte mijloace de verificare a identității care ar permite îndeplinirea cerințelor armonizate prevăzute în prezentul regulament în ceea ce privește nivelul de asigurare ridicat ca parte a procedurilor armonizate suplimentare la distanță, asigurând identificarea cu un nivel ridicat de încredere. Aceste metode ar trebui să includă posibilitatea ca prestatorul de servicii de încredere calificat care emite un atestat electronic calificat al atributelor să verifice atributele care urmează să fie atestate prin mijloace electronice la cererea utilizatorului, în conformitate cu dreptul Uniunii sau cu dreptul intern, inclusiv din surse autentice.
(75) Pentru a menține prezentul regulament aliniat la evoluțiile mondiale și pentru a respecta bunele practici de pe piața internă, actele delegate și actele de punere în aplicare adoptate de Comisie ar trebui să fie revizuite și, dacă este necesar, actualizate periodic. Evaluarea necesității acestor actualizări ar trebui să țină seama de noile tehnologii, practici, standarde sau specificații tehnice.
(76) Întrucât obiectivele prezentului regulament, și anume dezvoltarea cadrului european pentru identitatea digitală și a unui cadru privind serviciile de încredere la nivelul Uniunii, nu pot fi realizate în mod satisfăcător de către statele membre, dar, având în vedere amploarea și efectele lor, acestea pot fi realizate mai bine la nivelul Uniunii, aceasta poate adopta măsuri, în conformitate cu principiul subsidiarității, astfel cum este prevăzut la articolul 5 din Tratatul privind Uniunea Europeană. În conformitate cu principiul proporționalității, astfel cum este prevăzut la articolul respectiv, prezentul regulament nu depășește ceea ce este necesar pentru realizarea obiectivelor respective.
(77) Autoritatea Europeană pentru Protecția Datelor a fost consultată în temeiul articolului 42 alineatul (1) din Regulamentul (UE) 2018/1725.
(78) Prin urmare, Regulamentul (UE) nr. 910/2014 trebuie să fie modificat în consecință,