(1)

Nariadením (EÚ) č. 910/2014 sa vytvára právny rámec pre vydávanie a validáciu elektronických osvedčení atribútov vrátane povinnosti poskytovateľov elektronických osvedčení atribútov poskytnúť používateľom európskej peňaženky digitálnej identity (ďalej len „peňaženka“) možnosť požiadať o elektronické osvedčenie atribútov, získať, uchovávať a spravovať ich bez ohľadu na členský štát, v ktorom sa peňaženky poskytujú. Elektronické osvedčenia atribútov sú kľúčovými zložkami pre vytvorenie bezpečného a interoperabilného ekosystému európskych peňaženiek digitálnej identity (ďalej len „ekosystém peňaženiek“). Používateľom umožňujú vymieňať si informácie so spoliehajúcimi sa stranami dôveryhodným spôsobom v rôznych prípadoch použitia.

(2)

Rozhrania s európskymi peňaženkami digitálnej identity, ktoré majú poskytovať poskytovatelia kvalifikovaných elektronických osvedčení atribútov, ako je stanovené v článku 45g nariadenia (EÚ) č. 910/2014, zdôrazňujú význam elektronických osvedčení atribútov pre ekosystém peňaženiek a uľahčujú ich rýchle zavedenie.

(3)

Komisia pravidelne posudzuje nové technológie, postupy, normy a technické špecifikácie. S cieľom zabezpečiť čo najvyššiu úroveň harmonizácie medzi členskými štátmi pri vývoji a certifikácii peňaženiek sa technické špecifikácie stanovené v tomto nariadení opierajú o prácu vykonanú podľa odporúčania Komisie (EÚ) 2021/946 z 3. júna 2021 o spoločnom súbore nástrojov Únie pre koordinovaný prístup k európskemu rámcu digitálnej identity (2), a najmä o architektúru a referenčný rámec, ktorý je jeho súčasťou. V súlade s odôvodnením 75 nariadenia Európskeho parlamentu a Rady 2024/1183 (3) by Komisia mala preskúmať a v prípade potreby aktualizovať toto nariadenie, aby bolo v súlade s globálnym vývojom, architektúrou a referenčným rámcom a aby sa dodržiavali najlepšie postupy na vnútornom trhu, najmä pokiaľ ide o vydávanie elektronických osvedčení atribútov a overovanie atribútov na základe autentických zdrojov alebo určených sprostredkovateľov.

(4)

Ak poskytovatelia kvalifikovaných elektronických osvedčení atribútov a elektronických osvedčení atribútov vydávaných subjektom verejného sektora zodpovedným za autentický zdroj alebo v jeho mene vydávajú osvedčenia, v ktorých sa tvrdí, že spĺňajú požiadavky schém osvedčovania atribútov zaregistrovaných v katalógu, súčasťou posudzovania zhody stanoveného v nariadení (EÚ) č. 910/2014 by mali byť politiky a postupy na zabezpečenie súladu s požiadavkami týchto schém.

(5)

Ochrana pred nedôveryhodnými informáciami má pre digitalizáciu osvedčení veľký význam. Preto by malo byť možné kvalifikované elektronické osvedčenia atribútov a elektronické osvedčenia atribútov vydané subjektom verejného sektora zodpovedným za autentický zdroj alebo v jeho mene zrušiť, alebo by sa mali zaviesť alternatívne opatrenia na kompenzáciu rizík spojených s nezrušiteľnosťou. Určité okolnosti, ako napríklad výslovná žiadosť osoby, ktorej bolo elektronické osvedčenie atribútov vydané, alebo ak je poskytovateľovi známe, že došlo k narušeniu bezpečnosti alebo dôveryhodnosti kvalifikovaných elektronických osvedčení atribútov, alebo ak sa to vyžaduje v právnych predpisoch Únie alebo vo vnútroštátnych právnych predpisoch, by mali viesť k zrušeniu elektronického osvedčenia atribútov zo strany poskytovateľa. S cieľom zabezpečiť základné práva na súkromie a ochranu údajov používateľa, najmä vhodným minimalizovaním rizík prepojiteľnosti a vysledovateľnosti, by poskytovatelia kvalifikovaných elektronických osvedčení atribútov a elektronických osvedčení atribútov vydaných subjektom verejného sektora zodpovedným za autentický zdroj alebo v jeho mene mali stanoviť politiky riadenia zrušenia, ktoré zachovávajú súkromie.

(6)

V záujme uľahčenia spolupráce medzi členskými štátmi a vytvorenia bezpečného a interoperabilného ekosystému digitálnej identity vrátane cezhraničného uznávania a interoperability kvalifikovaných elektronických osvedčení atribútov a elektronických osvedčení atribútov poskytovaných subjektom verejného sektora zodpovedným za autentický zdroj alebo v jeho mene je potrebné zaviesť zjednodušené administratívne komunikačné postupy medzi príslušnými zainteresovanými stranami, a to vrátane uverejňovania informácií na rýchlu identifikáciu príslušných subjektov verejného sektora. Členské štáty by mali oznámiť príslušné atribúty Komisii. Na zabezpečenie včasného, účinného a interoperabilného overovania týchto atribútov by preto príslušné oznámenia Komisii mali byť aspoň v angličtine, pretože to uľahčuje ich širokú dostupnosť, posúdenie a pochopenie a zároveň zlepšuje spoluprácu medzi príslušnými zainteresovanými stranami. Preklad už existujúcej dokumentácie by však nemal spôsobiť neprimeranú administratívnu ani finančnú záťaž.

(7)

S cieľom umožniť používateľom a poskytovateľom služieb overiť, či elektronické osvedčenia atribútov vydané subjektom verejného sektora zodpovedným za autentický zdroj alebo v jeho mene boli skutočne vydané daným subjektom verejného sektora alebo v jeho mene, by členské štáty mali oznámiť dané subjekty verejného sektora Komisii. Pri oznamovaní subjektom verejného sektora, ktoré vydávajú elektronické osvedčenia atribútov v súlade s článkom 45f a prílohou VII k nariadeniu (EÚ) č. 910/2014, majú členské štáty poskytnúť správu o posúdení zhody potvrdzujúcu úroveň spoľahlivosti a dôveryhodnosti rovnocennú s kvalifikovanými poskytovateľmi dôveryhodných služieb. Na rozdiel od kvalifikovaných poskytovateľov dôveryhodných služieb, ktorí vydávajú kvalifikované elektronické osvedčenia atribútov, je však v prípade týchto subjektov verejného sektora na členských štátoch, ako zabezpečia, aby poskytovatelia časom spĺňali požiadavky. V záujme zachovania vysokej úrovne dôvery v osvedčenia verejného sektora v celej Únii sa preto členské štáty vyzývajú, aby sa prostredníctvom skupiny pre európsku spoluprácu v oblasti digitálnej identity zriadenej podľa článku 46e ods. 1 nariadenia (EÚ) č. 910/2014 (ďalej len „skupina pre spoluprácu“) zdieľali svoje najlepšie postupy o tom, ako zabezpečujú trvalú spoľahlivosť a dôveryhodnosť. Komisia by mala vytvoriť, viesť a zverejniť zoznam poskytovateľov a zabezpečiť, aby bol tento zoznam ľahko prístupný verejnosti.

(8)

Komisia by mala s pomocou skupiny pre spoluprácu vytvoriť katalóg atribútov s cieľom uľahčiť overovanie atribútov na základe autentických zdrojov kvalifikovanými poskytovateľmi dôveryhodných služieb, ktorí vydávajú kvalifikované elektronické osvedčenia atribútov. Registrácia v katalógu atribútov by mala byť povinná pre atribúty uvedené v prílohe VI k nariadeniu (EÚ) č. 910/2014. V prípade ostatných atribútov by bola registrácia nepovinná.

(9)

Komisia by mala s pomocou skupiny pre spoluprácu vytvoriť katalóg schém osvedčovania atribútov s cieľom uľahčiť vydávanie osvedčení kvalifikovanými poskytovateľmi dôveryhodných služieb, ktorí vydávajú kvalifikované elektronické osvedčenia atribútov, a poskytovateľmi elektronických osvedčení atribútov vydaných subjektom verejného sektora zodpovedným za autentický zdroj alebo v jeho mene a uľahčiť harmonizáciu a cezhraničnú interoperabilitu týchto osvedčení. Registrácia schém v katalógu schém by mala byť nepovinná. Žiadosti o registráciu alebo zmeny v katalógu by mal podávať vlastník schémy osvedčovania atribútov a môžu zahŕňať atribúty, ktoré nie sú uvedené v katalógu atribútov. Komisia by mala tieto žiadosti posúdiť s prihliadnutím na potreby interoperability a harmonizácie.

(10)

Aby katalóg atribútov poskytoval zmysluplné informácie a dosiahol vysokú úroveň interoperability v rámci ekosystému elektronických osvedčení atribútov, mal by poskytovať aspoň minimálny súbor informácií, ako je sémantický opis atribútu, priestor názvov jeho identifikátora a dátový typ atribútu. Na ten istý účel by mal katalóg schém osvedčovania atribútov obsahovať opisy bežných typov elektronických osvedčení atribútov a opis modelu dôvery a mechanizmov riadenia uplatňovaných v rámci schémy osvedčovania. Informácie obsiahnuté v katalógoch by mali zahŕňať verzie atribútov a schém, aby na osvedčenia vydané podľa konkrétnych verzií nemali vplyv zmeny týchto atribútov a schém.

(11)

S cieľom zabezpečiť účinnosť overovania atribútov na základe autentických zdrojov kvalifikovanými poskytovateľmi dôveryhodných služieb, ktorí vydávajú kvalifikované elektronické osvedčenia atribútov, a to aj prostredníctvom určených sprostredkovateľov, ktorí poskytovateľom služieb poskytujú nepriame mechanizmy overovania, by členské štáty mali v lehote stanovenej v článku 45e ods. 1 nariadenia (EÚ) č. 910/2014 zaviesť mechanizmy, ktoré umožnia kvalifikovaným poskytovateľom dôveryhodných služieb, ktorí vydávajú kvalifikované elektronické osvedčenia atribútov, požiadať o overenie atribútov. Mechanizmy by mali umožniť kvalifikovaným poskytovateľom dôveryhodných služieb vydávajúcim kvalifikované elektronické osvedčenia atribútov určiť, ktoré atribúty možno overiť a ako ich overiť. Tieto mechanizmy by mali obsahovať podrobnosti o prístupových bodoch a servisných protokoloch na kontrolu platnosti a presnosti atribútov a mala by sa v rámci nich zvážiť možnosť ponuky jednotného overovacieho bodu na vnútroštátnej úrovni.

(12)

Konkrétnejšie by členské štáty mali kvalifikovaným poskytovateľom dôveryhodných služieb, ktorí vydávajú kvalifikované elektronické osvedčenia atribútov, sprístupniť mechanizmy na prístup k overovacím bodom a ich používanie pre každý z atribútov uvedených v prílohe VI k uvedenému nariadeniu (EÚ) č. 910/2014 na vnútroštátnej úrovni. Tieto mechanizmy by mali umožniť kvalifikovaným poskytovateľom dôveryhodných služieb, ktorí vydávajú kvalifikované elektronické osvedčenia atribútov, aby na žiadosť používateľa predložili osobitné atribúty overovaciemu bodu na účely vydania osvedčenia a počas jeho životnosti. V rámci mechanizmov overovania by sa mali využívať elektronické prostriedky vhodné na automatické spracovanie a na čo najrýchlejšie získanie odpovedí z overovacieho bodu. Touto odpoveďou by sa malo potvrdiť, či atribúty predložené kvalifikovanými poskytovateľmi dôveryhodných služieb, ktorí vydávajú kvalifikované elektronické osvedčenia atribútov, zodpovedajú atribútom uloženým v súvislosti s daným používateľom v príslušnom autentickom zdroji, a mal by sa špecifikovať autentický zdroj, na základe ktorého sa overenie vykonalo. S cieľom predísť nesprávnemu konaniu, ako sú nezákonné alebo zjavne neprimerané žiadosti o overenie, môžu členské štáty zaviesť kontrolné mechanizmy na používanie overovacích bodov, ak to považujú za vhodné, pričom zohľadnia príslušné faktory vrátane toho, či autentické zdroje obsahujú informácie, ktoré by sa mali považovať za osobné údaje alebo ktoré majú inak dôvernú alebo citlivú povahu podľa právnych predpisov Únie alebo vnútroštátnych právnych predpisov.

(13)

V súlade so zásadami stanovenými v akte o interoperabilnej Európe (4) a s cieľom uľahčiť vytvorenie katalógu atribútov a katalógu schém osvedčovania atribútov a v čo najväčšej miere opätovne použiť existujúce katalógy, schémy a informácie, by Komisia mala v prípade potreby využiť synergie so spoločnými službami technického systému podľa nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1724 o zriadení jednotnej digitálnej brány a o zmene nariadenia (EÚ) č. 1024/2012 (5).

(14)

S cieľom zvýšiť interoperabilitu elektronických osvedčení atribútov vydávaných nekvalifikovanými poskytovateľmi dôveryhodných služieb môžu vydavatelia osvedčení dodržiavať zásady a požiadavky stanovené v tomto nariadení, pokiaľ ide o nekvalifikované elektronické osvedčenia atribútov.

(15)

Na činnosti spracúvania osobných údajov podľa tohto nariadenia sa vzťahuje nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 (6) a v relevantných prípadoch smernica Európskeho parlamentu a Rady 2002/58/ES (7).

(16)

S cieľom poskytnúť Komisii a členským štátom dostatok času na zostavenie zoznamu poskytovateľov elektronických osvedčení atribútov vydávaných subjektom verejného sektora zodpovedným za autentický zdroj alebo v jeho mene by sa požiadavky stanovené v tomto nariadení týkajúce sa katalógu atribútov, katalógu schém osvedčovania atribútov a overovacích bodov atribútov mali začať uplatňovať 12 mesiacov po nadobudnutí účinnosti tohto nariadenia.

(17)

V súlade s článkom 42 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (8) sa konzultovalo s európskym dozorným úradníkom pre ochranu údajov, ktorý vydal 31. januára 2025 svoje stanovisko.

(18)

Opatrenia prijaté v tomto nariadení sú v súlade so stanoviskom výboru zriadeného podľa článku 48 nariadenia (EÚ) č. 910/2014,

1.

kvalifikovaných elektronických osvedčení atribútov;

2.

elektronických osvedčení atribútov vydaných subjektom verejného sektora zodpovedným za autentický zdroj alebo v jeho mene;

3.

zoznamu poskytovateľov elektronických osvedčení atribútov vydaných subjektom verejného sektora zodpovedným za autentický zdroj alebo v jeho mene;

4.

katalógu atribútov a katalógu schém osvedčovania atribútov uvedených v bodoch 1 a 2;

5.

overovania atribútov s odkazom na autentické zdroje alebo určených sprostredkovateľov.

1.

„jednotka peňaženky“ je jedinečná konfigurácia riešenia peňaženky, ktorá zahŕňa inštancie peňaženky, zabezpečené kryptografické aplikácie peňaženky a zabezpečené kryptografické zariadenia peňaženky, ktoré poskytovateľ peňaženky poskytuje jednotlivým používateľom peňaženky;

2.

„používateľ peňaženky“ je používateľ, ktorý má kontrolu nad jednotkou peňaženky;

3.

„katalóg atribútov“ je digitálne úložisko atribútov, ktoré spravuje Komisia a uverejňuje ho online;

4.

„schéma osvedčovania atribútov“ je súbor pravidiel uplatniteľných na jeden alebo viacero typov elektronického osvedčenia atribútov;

5.

„typ elektronického osvedčenia atribútov“ je špecificky pomenovaná a sémanticky opísaná skupina elektronického osvedčenia atribútov;

6.

„katalóg schém osvedčovania atribútov“ je digitálne úložisko, ktoré obsahuje zoznam schém osvedčovania atribútov zaregistrovaných v súlade s týmto nariadením a ktoré spravuje Komisia [a uverejňuje ho online];

7.

„riešenie peňaženky“ je kombinácia softvéru, hardvéru, služieb, nastavení a konfigurácií vrátane inštancií peňaženky, jednej alebo viacerých zabezpečených kryptografických aplikácií peňaženky a jedného alebo viacerých zabezpečených kryptografických zariadení peňaženky;

8.

„inštancia peňaženky“ je aplikácia nainštalovaná a nakonfigurovaná v zariadení alebo prostredí používateľa peňaženky, ktorá je súčasťou jednotky peňaženky a ktorú používateľ peňaženky používa na interakciu s jednotkou peňaženky;

9.

„zabezpečená kryptografická aplikácia peňaženky“ je aplikácia, ktorá spravuje kritické aktíva tak, že je prepojená s kryptografickými a nekryptografickými funkciami poskytovanými zabezpečeným kryptografickým zariadením peňaženky a tieto funkcie využíva;

10.

„zabezpečené kryptografické zariadenie peňaženky“ je zariadenie odolné voči neoprávnenej manipulácii, poskytujúce prostredie, ktoré je prepojené so zabezpečenou kryptografickou aplikáciou peňaženky a ktoré zabezpečená kryptografická aplikácia peňaženky využíva na ochranu kritických aktív a poskytovanie kryptografických funkcií na účely bezpečného vykonávania kritických operácií;

11.

„poskytovateľ peňaženky“ je fyzická alebo právnická osoba, ktorá poskytuje riešenia peňaženky;

12.

„kritické aktíva“ sú aktíva v rámci jednotky peňaženky alebo v súvislosti s ňou, ktoré majú taký mimoriadny význam, že narušenie ich dostupnosti, dôvernosti alebo integrity by malo veľmi vážny, oslabujúci účinok na schopnosť spoliehať sa na jednotku peňaženky;

13.

„vlastník schémy osvedčovania atribútov“ je subjekt zodpovedný za vytvorenie a udržiavanie schémy osvedčovania atribútov.