a także mając na uwadze, co następuje:(1) Europejskie ramy tożsamości cyfrowej ustanowione rozporządzeniem (UE) nr 910/2014 stanowią kluczowy element budowy bezpiecznego i interoperacyjnego ekosystemu tożsamości cyfrowej w całejUnii. Ramy te - których podstawę stanowią europejskie portfele tożsamości cyfrowej ("portfele") - mają na celu ułatwienie dostępu do usług w państwach członkowskich osobom fizycznym i prawnym, jednocześnie zapewniając ochronę danych osobowych i prywatności.
(2) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 2 oraz - w stosownych przypadkach - dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady 3 mają zastosowanie do wszystkich czynności przetwarzania danych osobowych na podstawie niniejszego rozporządzenia.
(3) W art. 5a ust. 23 rozporządzenia (UE) nr 910/2014 zobowiązano Komisję, w razie potrzeby, do ustanowienia odpowiednich specyfikacji i procedur. Ustanawia się je za pomocą czterech rozporządzeń wykonawczych dotyczących: protokołów i interfejsów: rozporządzenie wykonawcze Komisji (UE) 2024/2982 4 , integralności i podstawowych funkcji: rozporządzenie wykonawcze Komisji (UE) 2024/2979 5 , danych identyfikujących osobę i elektronicznego poświadczenia atrybutów: rozporządzenie wykonawcze Komisji (UE) 2024/2977 6 , a także notyfikowania Komisji: rozporządzenie wykonawcze Komisji (UE) 2024/2980 7 . W niniejszym rozporządzeniu ustanawia się odpowiednie wymogi dotyczące protokołów i interfejsów.
(4) Komisja regularnie przeprowadza ocenę nowych technologii, praktyk, norm lub specyfikacji technicznych. Aby zapewnić maksymalną harmonizację działań państw członkowskich w zakresie opracowywania i certyfikacji portfeli, specyfikacje techniczne określone w niniejszym rozporządzeniu opierają się na pracach przeprowadzonych na podstawie zalecenia Komisji (UE) 2021/946 z dnia 3 czerwca 2021 r. w sprawie wspólnego unijnego zestawu narzędzi na potrzeby skoordynowanego podejścia do europejskich ram tożsamości cyfrowej 8 , w szczególności na podstawie architektury i ram odniesienia. Zgodnie z motywem 75 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1183 9 Komisja powinna, w razie potrzeby, poddawać niniejsze rozporządzenie wykonawcze przeglądowi i aktualizacji, aby zachować aktualność względem globalnych zmian, architektury i ram odniesienia oraz przestrzegać najlepszych praktyk na rynku wewnętrznym.
(5) Aby zapewnić przejrzystość i wiarygodność stron ufających portfela wobec użytkowników portfela, protokoły i interfejsy stosowane w rozwiązaniach w zakresie portfela powinny zapewniać użytkownikom portfela niezawodny mechanizm uwierzytelniania stron ufających portfela i innych jednostek portfela. Z kolei dostawcy portfela powinni zapewnić mechanizm uwierzytelniania i walidacji jednostek portfela, tak aby strony ufające mogły otrzymać gwarancje w zakresie wiarygodności i autentyczności jednostek portfela. Ponadto infrastruktura techniczna portfeli powinna być również zaprojektowana w taki sposób, aby zagwarantować, że jedynie minimalna niezbędna ilość danych zostanie przekazana wyłącznie upoważnionym stronom ufającym, przy jednoczesnym zachowaniu braku możliwości powiązania ze sobą poszczególnych transakcji. Aby ułatwić wydawanie danych identyfikujących osobę i elektronicznych poświadczeń atrybutów, wszystkie rozwiązania w zakresie portfela powinny obsługiwać minimalny zestaw protokołów i interfejsów.
(6) Do zagwarantowania użyteczności rozwiązań w zakresie portfela we wszystkich państwach członkowskich niezbędne jest, aby rozwiązania w zakresie portfela były zgodne ze wspólnymi specyfikacjami technicznymi, w przypadku gdy dane identyfikujące osobę i elektroniczne poświadczenia atrybutów są przedstawiane stronom ufającym za pośrednictwem portfeli, zarówno w scenariuszu na odległość, jak i w scenariuszu zbliżeniowym. Ponadto jednostki portfela mogą obsługiwać inne protokoły i interfejsy na potrzeby określonych przypadków użycia.
(7) Aby zapewnić uwzględnienie ochrony danych na etapie projektowania i domyślną ochronę danych, portfele powinny być wyposażone w szereg funkcji zapewniających lepszą ochronę prywatności, by uniemożliwić dostawcom środków identyfikacji elektronicznej i elektronicznych poświadczeń atrybutów łączenie danych osobowych uzyskanych w ramach świadczenia innych usług z danymi osobowymi przetwarzanymi w celu świadczenia usług objętych zakresem rozporządzenia (UE) nr 910/2014. Jak określono w rozporządzeniu (UE) nr 910/2014, strony ufające nie mogą zwracać się do użytkowników o udostępnienie jakichkolwiek danych innych niż te, które zostały wskazane do celów zamierzonego użycia portfeli w procesie rejestracji. Użytkownicy portfela powinni mieć możliwość weryfikacji danych dotyczących rejestracji stron ufających w dowolnym momencie. Jednostki portfela powinny ponadto dawać możliwość pokazywania użytkownikom certyfikatów rejestracji strony ufającej portfela, gdy są one dostępne, w ramach żądania atrybutów. Powinno to umożliwić użytkownikom portfela weryfikację, że atrybuty, których żąda strona ufająca portfela mieszczą się w zakresie jej zarejestrowanych atrybutów, dając pewność, że żądanie jest uzasadnione i wiarygodne.
(8) W celu ochrony danych użytkowników portfela dostawcy portfela powinni zapewnić, aby jednostki portfela dokonywały walidacji żądań wystosowywanych przez strony ufające portfela lub inne jednostki portfela przed udostępnieniem jakichkolwiek danych. Z tego samego powodu i zgodnie z art. 5a ust. 4 lit. d) ppkt (ii) rozporządzenia (UE) nr 910/2014 dostawcy portfela powinni zapewnić, aby jednostki portfela umożliwiały użytkownikom portfela zażądanie do stron ufających portfela usunięcia danych.
(9) Aby umożliwić szybkie reagowanie w przypadku jakichkolwiek obaw dotyczących ochrony danych związanych z art. 5a ust. 4 lit. d) ppkt (iii) rozporządzenia (UE) nr 910/2014, dostawcy portfela powinni zagwarantować, że rozwiązania w zakresie portfela są wyposażone w mechanizmy zgłaszania strony ufającej właściwemu krajowemu organowi ochrony danych. Należy pozostawić dostawcom portfela i organom ochrony danych odpowiednią elastyczność w ustanawianiu stosownych mechanizmów współpracy z organami ochrony danych państw członkowskich.
(10) Zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 10 skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię w dniu 30 września 2024 r.
(11) Środki przewidziane w niniejszym rozporządzeniu są zgodne z opinią komitetu, o którym mowa w art. 48 rozporządzenia (UE) nr 910/2014,
PRZYJMUJE NINIEJSZE ROZPORZĄDZENIE:
Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich.Sporządzono w Brukseli dnia 28 listopada 2024 r.
