Становище на Европейския икономически и социален комитет относно предложение за регламент на Европейския парламент и на Съвета за изменение на Регламент (ЕС) № 910/2014 по отношение на създаването на рамка за европейска цифрова самоличност

[COM(2021) 281 final — 2021/0136 (COD)]

(2022/C 105/12)

Докладчик:

Tymoteusz Adam ZYCH

Консултация	Европейски парламент, 8.7.2021 г. Съвет, 15.7.2021 г.
Правно основание	Член 114 от Договора за функционирането на Европейския съюз
Компетентна секция	„Единен пазар, производство и потребление“
Приемане от секцията	30.9.2021 г.
Приемане на пленарна сесия	20.10.2021 г.
Пленарна сесия №	564
Резултат от гласуването („за“/„против“/„въздържал се“)	229/2/5

1.   Заключения и препоръки

1.1.

Европейският икономически и социален комитет (ЕИСК) приветства предложението на Европейската комисия относно инструмент за изменение на Регламента относно електронната идентификация и удостоверителните услуги при електронни трансакции на вътрешния пазар (eIDAS) по отношение на създаването на рамка за европейска цифрова самоличност, който да приспособи този правен акт към текущите нужди на пазара. Оценката на съществуващия регламент показа, че е необходимо да се предоставят подобрени решения за цифрови услуги, които биха разширили достъпа както до частния, така и до публичния сектор и биха били достъпни за по-голямата част от европейските граждани и пребиваващите в ЕС.

1.2.

ЕИСК отбелязва обаче, че предложената цифровизация на услугите може да доведе до изключване на части от европейското общество, по-специално възрастните хора, притежаващите ниска цифрова грамотност и хората с увреждания. Ето защо ЕИСК приканва Европейската комисия и държавите членки да създадат необходимата рамка за цифрово образование и съответната информационна кампания, която в същото време следва да служи за повишаване на осведомеността в областта на защитата на личните данни.

1.3.

ЕИСК приветства факта, че европейските портфейли за цифрова самоличност ще могат да се използват „по усмотрение“ и безплатно. Независимо от това, въвеждането на нови цифрови решения означава неизбежно значително време и разходи. Поради това ЕИСК приканва Европейската комисия да направи допълнителна оценка на времето, необходимо за действителното прилагане на новия регламент, за да се избегне отрицателно въздействие върху пазара, и да предостави допълнителен анализ и по-голяма яснота в регламента относно очакваните разходи за неговото прилагане.

1.4.

ЕИСК отбелязва, че предложеният раздел 9 от регламента предвижда задължително трансгранично признаване на квалифицираното електронно удостоверение на атрибути, издадено в държава членка. Като се има предвид обаче, че разпоредбите на вътрешното законодателство на държавите членки често се различават значително, ЕИСК признава необходимостта да се изясни, че признаването на квалифицираното електронно удостоверение на атрибути в една държава членка се ограничава до потвърждаване на фактите, аналогично на член 2, параграф 4 от Регламент (ЕС) 2016/1191 на Европейския парламент и на Съвета (1) за насърчаване на свободното движение на гражданите чрез опростяване на изискванията за представяне на някои официални документи в Европейския съюз: „Настоящият регламент не се прилага за признаването в държава членка на правните последици, свързани със съдържанието на официални документи, издадени от органите на друга държава членка“.

1.5.

От гледна точка на ЕИСК е особено важно ефективната защита на данните да се разглежда в контекста на защитата на основните права, по-конкретно правото на неприкосновеност на личния живот и правото на защита на личните данни. Ето защо ЕИСК напълно подкрепя изискването рамката за европейска цифрова самоличност да предоставя на потребителите средства за контрол върху това кой има достъп до техния „цифров близнак“ и до точно кои данни. ЕИСК приканва Европейската комисия и държавите членки, след консултации относно техническите аспекти на рамката за европейска цифрова самоличност, да включат въпроса за създаването на регистър, който да позволява на потребителите да проследяват всеки достъп до техните данни.

1.6.

ЕИСК би искал да изтъкне опасенията за сигурността, свързани с процеса на цифровизация, особено развитието на огромните системи, които съхраняват и обработват данни, уязвими спрямо измами и загуба. Освен това ЕИСК е наясно, че понастоящем няма система за сигурност, която да е в състояние да осигури пълна защита на данните. Ето защо според ЕИСК на потребителите на европейски портфейли за цифрова самоличност следва да бъде гарантирано обезщетение за всяка нежелана ситуация, свързана с техните данни (например кражба или разкриване на данни). Тази отговорност следва да бъде независима от това дали доставчикът е виновен.

2.   Въведение

2.1.

Предмет на настоящото становище е предложението на Европейската комисия за регламент за изменение на Регламент (ЕС) № 910/2014 на Европейския парламент и на Съвета (2) („Регламент eIDAS“) по отношение на създаването на рамка за европейска цифрова самоличност (ЕЦС).

2.2.

Както се посочва в обяснителния меморандум, Регламентът eIDAS следва да осигури следните защити и предимства: (1) достъп до надеждни решения за електронна самоличност с висока степен на сигурност, (2) гаранция, че публичните и частните услуги могат да разчитат на надеждни и сигурни решения за цифрова самоличност, (3) увереност, че физическите и юридическите лица имат по-широки възможности да използват решения за цифрова самоличност, (4) гаранция, че тези решения са свързани с разнообразни атрибути и позволяват целево споделяне на данни за самоличност, ограничено до необходимото за конкретната поискана услуга, и (5) приемане на квалифицирани удостоверителни услуги в ЕС и равни условия за тяхното предоставяне. Предложените изменения са отговор на нарастващото търсене на надеждни цифрови трансгранични решения, основани на необходимостта от идентифициране и удостоверяване на потребители с високо ниво на осигуреност.

3.   Общи бележки

3.1.

ЕИСК е наясно с новите изисквания на вътрешния пазар относно развитието на електронна идентификация и удостоверителни услуги за електронни трансгранични сделки. Съществуващите решения, предвидени в Регламента eIDAS, който започна да създава правни последици на няколко етапа, започвайки през юли 2016 г., не отговарят на тези изисквания, което се потвърждава от факта, че в настоящия момент само 59 % от пребиваващите в ЕС имат достъп до надеждни и сигурни решения за електронна идентификация. Нещо повече, трансграничният достъп до такива услуги е ограничен поради липсата на оперативна съвместимост между системите, предлагани от отделните държави членки.

3.2.

Ето защо ЕИСК приветства предложението на Европейската комисия относно инструмент за изменение на Регламента eIDAS по отношение на създаването на рамка за европейска цифрова самоличност, който да приспособи този правен акт към текущите нужди на пазара. Счита се, че решенията, предложени в документа на Комисията, биха могли да спомогнат за увеличаване на броя на използващите електронна идентификация до 80 % или дори 100 % от всички граждани и пребиваващи в ЕС.

3.3.

ЕИСК приветства по-специално решенията, които имат за цел да повишат сигурността на личните данни на потребителите, като гарантират споделяне на данните „по усмотрение“ и възможността за контрол на естеството и обема на данните, предоставяни на доверяващите се страни. Тъй като съгласно предложението държавите членки ще запазят контрола върху доставчиците на цифрови услуги, те ще гарантират, че чувствителните набори от данни (например свързаните със здравето, религията и убежденията, политическите възгледи, расовия или етническия произход) се предоставят само при поискване от доставчиците на услуги след информирано решение, взето от собственика на самоличността в съответствие с приложимото национално законодателство.

3.4.

ЕИСК посочва, че графикът за прилагане на някои разпоредби от новия регламент е доста оптимистичен, и приканва Европейската комисия, когато определя крайните срокове за прилагане, да вземе предвид и времето, необходимо на доставчиците на услуги за надграждане на техните ИТ системи с цел спазване на новите задължения. Поради това ЕИСК приканва Европейската комисия да анализира допълнително времето, необходимо за действителното прилагане на новия регламент, и да удължи срока за неговото прилагане, така че да не се засегне съответният пазар. Като пример, влизането в сила на регламента ще изисква съществуващите доставчици на квалифицирани удостоверителни услуги, предлагащи дистанционно подписване чрез устройство за създаване на квалифициран подпис, да станат квалифицирани доставчици за тази конкретна услуга; както прилагането на техническите аспекти, така и процедурата за получаване на разрешение ще им отнемат време.

3.5.

ЕИСК отбелязва, че предложената цифровизация на услугите, независимо от нейните ползи, може да доведе също така до изключване на части от европейското общество, включително по-специално възрастните хора, притежаващите ниска цифрова грамотност и хората с увреждания. ЕИСК признава ключовата роля на образованието на европейските граждани, за да се противодейства на това изключване; в същото време то следва да служи за повишаване на осведомеността в областта на защитата на личните данни.

4.   Наличие и използване на рамката за европейска цифрова самоличност „по усмотрение“

4.1.

ЕИСК приветства идеята за предоставяне на подобрени решения за цифрови услуги, които да разширят достъпа както до публични услуги, така и до частния сектор. Освен това ЕИСК посреща със задоволство усилията на Европейската комисия да направи рамката за европейска цифрова самоличност достъпна за по-голямата част от европейските граждани. Поради съществуващите пречки пред достъпа до услуги за електронна идентификация през границите (например липсата на оперативна съвместимост между схемите за електронна идентификация, разработени от държавите членки), много пребиваващи в ЕС изобщо не ги използват. Новите решения, базирани на европейските портфейли за цифрова самоличност, могат да допринесат за това най-малко 80 % от европейците да имат достъп до надеждни онлайн услуги.

4.2.

Поради това ЕИСК подкрепя предложението да се изисква от държавите членки да издават европейски портфейл за цифрова самоличност — инструмент, който би позволил на потребителя: (1) по сигурен начин да изисква и получава, да съхранява, избира, комбинира и споделя — по прозрачен и проследим от него начин, необходимите идентификационни данни на юридическо лице и електронно удостоверение на атрибути за удостоверяване онлайн и офлайн, за да използва онлайн публични и частни услуги, и (2) да подписва документи чрез квалифициран електронен подпис, приет в целия ЕС.

4.3.

Освен това ЕИСК приветства предложението да се гарантира, че европейският портфейл за цифрова самоличност е еднакво достъпен за хората с увреждания в съответствие с разпоредбите на приложение I към Директива (ЕС) 2019/882 на Европейския парламент и на Съвета (3), което е в съответствие с принципа на ЕС за недискриминация, посочен в член 21 от Хартата на основните права на Европейския съюз. За да се избегне цифрово изключване в това отношение, ЕИСК предлага решенията да се разработват в сътрудничество с компетентните институции и НПО за хората с увреждания въз основа на „подход на участие на множество заинтересовани страни“.

4.4.

От гледна точка на ЕИСК фактът, че използването на европейския портфейл за цифрова самоличност ще бъде „по усмотрение“ на гражданите и пребиваващите, също е положителен аспект. Според ЕИСК потребителите не следва да бъдат задължени да използват портфейла за достъп до частни или обществени услуги, а просто да имат възможност да го направят.

4.5.

От гледна точка на ценовата достъпност ЕИСК приветства факта, че използването на европейския портфейл за цифрова самоличност ще бъде безплатно за потребителите. ЕИСК обаче приканва Европейската комисия да анализира допълнително и да осигури яснота в регламента относно i) разходите за издаване за физически лица, ii) разходите (за издаване и използване) за юридически лица и iii) разходите за добавяне на каквито и да е атрибути за цифрова самоличност към такъв портфейл, тъй като според ЕИСК всяко такова допълнение би представлявало удостоверителна услуга, което води до разходи за собственика на портфейла.

5.   Аспекти на използваемостта на рамката за европейска цифрова самоличност

5.1.

ЕИСК приветства инициативата на Европейската комисия за подобряване на използваемостта на средствата за електронна идентификация чрез създаване на обща рамка за европейска цифрова самоличност въз основа на трансграничното използване на европейските портфейли за цифрова самоличност.

5.2.

Съгласно предложението използваемостта може да бъде подобрена чрез средствата, предвидени в новия член 12б от Регламента eIDAS, съдържащ набор от изисквания относно признаването на ЕПЦС, адресирани не само към държавите членки, но и към частни доверяващи се страни, предоставящи услуги, и „много големи онлайн платформи“, определени в член 25, параграф 1 от предложения законодателен акт за цифровите услуги (4). Въз основа на тези нови разпоредби някои частни сектори (т.е. транспорт, енергетика, банкови и финансови услуги, социално осигуряване, здравеопазване, питейна вода, пощенски услуги, цифрова инфраструктура, образование и телекомуникации) следва да приемат използването на европейските портфейли за цифрова самоличност за предоставянето на услуги в случаите, когато съгласно националното законодателство, законодателството на ЕС или договорните задължения се изисква стриктно удостоверяване на автентичността на потребителя с цел онлайн идентификация. В светлината на предложението на Комисията същото изискване би се прилагало за много големите онлайн платформи (напр. социалните мрежи), които следва да приемат използването на европейските портфейли за цифрова самоличност по отношение на минималните атрибути, необходими за конкретна онлайн услуга, за която се иска удостоверяване на автентичността, като например доказване на възраст.

5.3.

ЕИСК отбелязва, че за да се гарантира широката наличност и използваемост на средствата за електронна идентификация, включително европейските портфейли за цифрова самоличност, частните доставчици на онлайн услуги (които не се считат за „много големи платформи“) следва да участват в разработването „кодексите за поведение“ с цел саморегулиране, улесняващи широкото приемане на средствата за електронна идентификация. Европейската комисия следва да отговаря за оценката на ефективността и използваемостта на тези разпоредби за ползвателите на европейските портфейли за цифрова самоличност.

6.   Въпроси, свързани с правните последици от европейските портфейли за цифрова самоличност

6.1.

ЕИСК подкрепя предложението по отношение на подобряването на достъпа до цифрови обществени услуги, включително в трансгранични ситуации.

6.2.

Предложеният нов раздел 9 от Регламента eIDAS предвижда, че квалифицирано електронно удостоверение за атрибути, издадено в една държава членка, се признава като квалифицирано електронно удостоверение за атрибути във всяка друга държава членка.

6.3.

Що се отнася обаче до вътрешното законодателство на държавите членки, което може да се различава значително в някои случаи, ЕИСК посочва, че атрибутите, проверявани спрямо автентични източници в една държава членка, следва да бъдат ограничени единствено до потвърждаване на фактическите обстоятелства и не следва да пораждат правни последици в други държави членки, освен ако удостоверяваните атрибути не съответстват на националното законодателство. По същество предложените правни решения не следва да засягат признаването в една държава членка на правни последици, свързани със съдържанието на атрибутите, удостоверени спрямо автентични източници в друга държава членка, по аналогия с разпоредбите на Регламент (ЕС) 2016/1191. Като пример могат да бъдат приведени някои лични данни (относно религията или убежденията на дадено лице). В някои държави от ЕС този вид информация създава правни последици (напр. в Германия актовете за гражданско състояние включват информация за религията, което определя задължението за плащане на църковен данък при бракосъчетание с религиозна церемония), докато в други държави — не (напр. в Полша).

6.4.

Поради това ЕИСК приканва Европейската комисия да обмисли изясняване на текста на раздел 9, за да стане ясно, че признаването на квалифицирано електронно удостоверяване на атрибути във всяка друга държава членка се ограничава до потвърждаване на фактическите обстоятелства, свързани с въпросния атрибут, и не поражда правни последици в други държави членки, освен ако удостоверяваните атрибути не съответстват на националното им законодателство.

7.   Аспекти, свързани със сигурността

А.   Защита на данните в контекста на основните права

7.1.

ЕИСК отбелязва, че поради липсата на обща рамка за европейска цифрова самоличност в повечето случаи гражданите и другите пребиваващи се сблъскват с пречки при цифровия трансграничен обмен на информация, свързана с тяхната самоличност, по-специално, що се отнася до сигурността и високото ниво на защита на данните при обмена на такава информация.

7.2.

Ето защо ЕИСК приветства усилията за създаване на оперативно съвместима и сигурна система, основана на европейски портфейли за цифрова самоличност, която може да засили обмена на информация между държавите членки, наред с другото, по въпроси, свързани със заетостта или социалните права. В този контекст ЕИСК очаква, че новата рамка за европейска цифрова самоличност например ще създаде възможности за бързо увеличаване на възможностите за трансгранична заетост и за разширяване на автоматичното предоставяне на социални права без допълнителни процедури за подаване на заявление или други административни усилия.

7.3.

От гледна точка на ЕИСК обаче ефективната защита на данните е основният проблем, който трябва да бъде разгледан в контекста на защитата на основните права, особено правото на неприкосновеност на личния живот и правото на защита на личните данни.

7.4.

Поради това ЕИСК напълно подкрепя изискването рамката за европейска цифрова самоличност да предлага на всички потребители средства за контрол на това кой има достъп до техния „цифров близнак“ и точно до кои данни (включително достъп от публичния сектор). Както се посочва в предложението, това също ще изисква високо ниво на сигурност по отношение на всички аспекти на предоставянето на цифрова самоличност, включително издаването на европейски портфейли за цифрова самоличност, както и инфраструктурата за събиране, съхранение и разкриване на данни за цифрова самоличност.

7.5.

В този контекст ЕИСК приветства предложението потребителите да имат право избирателно да разкриват своите атрибути, като ги ограничават до онези, които са необходими в конкретна ситуация. Съгласно предложението при използването на европейски портфейл за цифрова самоличност потребителят ще има контрол върху количеството данни, предоставяни на трети страни, и следва да бъде информиран за атрибутите, необходими за предоставянето на конкретна услуга.

7.6.

ЕИСК подкрепя предложението за физическо и логическо разделяне на личните данни, свързани с предоставянето на европейски портфейли за цифрова самоличност, от всички други данни, съхранявани от издателите на европейски портфейли за цифрова самоличност, и одобрява изискването доставчиците на услуги за квалифицирано електронно удостоверяване на атрибути да действат като отделно юридическо лице.

7.7.

В допълнение към ефективната защита на данните, която трябва да бъде гарантирана, от съществено значение е контролът на потребителите върху техните данни. В тази връзка ЕИСК би одобрил и създаването на рамка за европейска цифрова самоличност, основаваща се на юридическите самоличности, издадени от държавите членки, и на предоставянето на квалифицирани и неквалифицирани атрибути за цифрова самоличност.

7.8.

ЕИСК посочва, че за да се гарантира високо ниво на правна защита на данните на потребителите, следва да им предостави по-голям контрол върху европейските портфейли за цифрова самоличност, включително проследяването на достъпа до данните на всеки потребител. За тази цел техническите аспекти, които трябва да бъдат определени по време на обсъжданията след одобрението на предложението, следва да включват създаване на регистър, който да позволява на потребителя да провери при поискване всеки достъп до неговите данни.

Б.   Други аспекти, свързани със сигурността и отговорността

7.9.

Съгласно предложението новата рамка за европейска цифрова самоличност ще предостави механизми за предотвратяване на измами и за гарантиране на автентичността на данните за идентификация на лица. Тъй като предложението включва разпоредба, с която се въвеждат средства, позволяващи проверка на атрибутите спрямо автентични източници, това може да подобри например безопасността на децата онлайн, като им попречи да имат достъп до съдържание, неподходящо за тяхната възраст. ЕИСК отбелязва, че на национално равнище такава ефективна защита понастоящем или не е налична, или е твърде неефективна.

7.10.

ЕИСК приветства идеята, че уеб браузърите следва да осигурят поддръжка и оперативна съвместимост с квалифицирани удостоверения за автентичност на уебсайтове съгласно Регламента eIDAS. Те следва да разпознават и показват квалифицирани удостоверения за автентичност на уебсайтове, за да се осигури висока степен на увереност, което да позволи на собствениците на уебсайтове да доказват своята самоличност като собственици на уебсайт, а на потребителите — да идентифицират собствениците на уебсайтове с висока степен на сигурност. В същото време ЕИСК счита, че е необходимо да бъдат предоставени опростени, бързи и ефективни механизми за обжалване, за да се гарантира деблокирането на уебсайт, който е бил неправилно посочен като опасен. Следва да бъдат установени и правила за отговорност за всички случаи, когато даден уебсайт е погрешно определен като опасен.

7.11.

ЕИСК би искал да отбележи, че всяка цифровизация на данни поражда опасения за сигурността, особено огромните системи, които съхраняват и обработват данни, представляващи източник на информация, изложен на риск от измами и загуба на данни. ЕИСК е наясно и, че понастоящем няма напълно ефективна система за сигурност (т.е. без пропуски и грешки), която да премахне изцяло такава заплаха.

7.12.

Поради това ЕИСК посочва, че за да се сведат до минимум всички подобни нежелани ситуации, свързани с данните на потребителите, техническата архитектура на рамката за европейска цифрова самоличност, разработена от държавите членки в координация с Комисията, следва да се съсредоточи върху мерки за повишаване на сигурността на данните и осигуряване на механизми за контрол на данните. Такива механизми са важни например в контекста на използването на данни, събрани от потребители за цели, различни от първоначално предвидените. В същото време ЕИСК счита, че техническата архитектура следва да бъде разработена при зачитане на основните права и принципа на суверенитет на държавите членки.

7.13.

ЕИСК отбелязва, че член 13, параграф 1 от Регламента eIDAS установява отговорност за доставчиците на удостоверителни услуги за вреди, причинени умишлено или по небрежност на физическо или юридическо лице поради неизпълнение на задълженията по регламента (и задълженията за управление на риска за киберсигурността съгласно член 18 от предложената „Директива МИС 2“, съгласно предложението на Комисията). Тази разпоредба следва да се прилага в съответствие с националните правила относно отговорността (член 13, параграф 3).

7.14.

В контекста на опасенията във връзка с отговорността ЕИСК би искал да отбележи, че въпросите, свързани с определянето на вредите, техния размер и дължимото обезщетение, се уреждат от вътрешното законодателство на държавите членки. В съответствие с тези правила отговорността на доставчиците на удостоверителни услуги може да бъде ограничена съгласно съответните разпоредби на вътрешното законодателство и „политиките за предоставяне на услуги“, които са определени от доставчиците.

7.15.

ЕИСК счита, че на ползвателите на европейски портфейли за цифрова самоличност следва да бъде гарантирано обезщетение за всяка нежелана ситуация, свързана с техните данни, като кражба, загуба или разкриване на данни, използването им за цели, различни от първоначално предвидените, и т.н. Тази отговорност следва да включва всички споменати по-горе ситуации, независимо от наличието на умисъл или небрежност от страна на доставчика (независимо дали има наличие на вина на доставчика).

7.16.

Всяка кражба, неразрешено разкриване или загуба на данни (особено на лични данни) може да причини дългосрочна вреда на собственика им. След като бъде публикувана цифрова информация, тя може да бъде придобита в дългосрочен план от много субекти против волята на нейния собственик. ЕИСК насърчава Комисията и държавите членки да търсят и разработват ефективни механизми, които биха представлявали средство за защита на собствениците на данни в такива случаи.

7.17.

Предложените решения на новата система ще принудят доставчиците на услуги да подобрят значително своите системи за електронна сигурност до много по-високо ниво, като обърнат особено внимание на киберсигурността. ЕИСК очаква, че това ще доведе до значителни разходи и модернизация на съществуващата ИТ инфраструктура и може да представлява прекомерна тежест за някои доставчици на услуги, която дори може да доведе до изчезването от някои пазари на доставчици на услуги, които не могат да си позволят такива инвестиции за кратък период от време. Поради това според ЕИСК Комисията и държавите членки следва да търсят решения, които да защитят доставчиците от дискриминация в тази област и да позволят плавен преход в това отношение, включително чрез предлагане на възможност за осигуряване на съответствие с новите изисквания на няколко етапа, в разумен период от време.

---

(1)  Регламент (ЕС) 2016/1191 на Европейския парламент и на Съвета от 6 юли 2016 година за насърчаване на свободното движение на гражданите чрез опростяване на изискванията за представяне на някои официални документи в Европейския съюз и за изменение на Регламент (ЕС) № 1024/2012 (OB L 200, 26.7.2016 г., стр. 1).

(2)  Регламент (ЕС) № 910/2014 на Европейския парламент и на Съвета от 23 юли 2014 година относно електронната идентификация и удостоверителните услуги при електронни трансакции на вътрешния пазар и за отмяна на Директива 1999/93/ЕО (ОВ L 257, 28.8.2014 г., стр. 73).

(3)  Директива (ЕС) 2019/882 на Европейския парламент и на Съвета от 17 април 2019 година за изискванията за достъпност на продукти и услуги (OB L 151, 7.6.2019 г., стр. 70).

(4)  COM(2020) 825 final.