ЕВРОПЕЙСКА КОМИСИЯ
Брюксел, 3.6.2021
COM(2021) 290 final
ДОКЛАД НА КОМИСИЯТА ДО ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И СЪВЕТА
относно оценката на Регламент (ЕС) № 910/2014 относно електронната идентификация и удостоверителните услуги при електронни трансакции на вътрешния пазар (eIDAS)
{SEC(2021) 229 final} - {SWD(2021) 130 final}
1.Въведение
В настоящия доклад се описват резултатите от оценката на Регламент (ЕС) № 910/2014 относно електронната идентификация и удостоверителните услуги при електронни трансакции на вътрешния пазар („Регламент eIDAS“) 1 . Съгласно член 49 от Регламента от Комисията се изисква да направи преглед на прилагането на настоящия регламент и да прецени по-специално дали обхватът на настоящия регламент или конкретни негови разпоредби е подходящо да се изменят, като се отчитат придобитият по време на прилагането на настоящия регламент опит и развитието на технологиите, пазарът и правната уредба 2 , и при необходимост, докладът следва да бъде придружен от законодателни предложения.
Придружаващият работен документ на службите на Комисията съдържа по-подробни доказателства и анализ в подкрепа на тези констатации.
1.1.Рамката за електронната идентификация и удостоверителните услуги (eIDAS)
С приетия през 2014 г. Регламент eIDAS ЕС внесе новoвъведение, като представи първата трансгранична рамка за надеждна цифрова самоличност и удостоверителни услуги, която понастоящем се признава и зачита в световен мащаб. Целта на Регламента eIDAS беше да се даде възможност на всички граждани на ЕС да имат достъп до обществени услуги в целия ЕС, използвайки средства за електронна идентификация (eID), издадена в тяхната държава по произход. Цел беше също да се повиши доверието в електронните трансакции на вътрешния пазар, като се предостави обща основа за надеждно и безпроблемно взаимодействие по електронен път между гражданите, предприятията и публичните органи, чрез което ще се увеличи ефективността на обществените и частните онлайн услуги, електронния бизнес и електронната търговия в ЕС. С него беше отменена Директива 1999/93/ЕО относно правната рамка на Общността за електронните подписи, която по същество обхващаше само електронните подписи.
Според правното основание на Регламента, член 114 от Договора за функционирането на Европейския съюз (ДФЕС), той имаше за цел да бъдат премахнати съществуващите пречки пред функционирането на вътрешния пазар чрез насърчаване на сближаване на законодателствата на държавите членки, по-специално трансграничното взаимно признаване и приемане на електронна идентификация, удостоверяването на автентичност, електронните подписи и свързаните удостоверителни услуги, когато това е необходимо за достъпа и приключването на електронни процедури или трансакции.
Преди влизането в сила на Регламента не съществуваше всеобхватна трансгранична и междусекторна рамка на ЕС за сигурни, надеждни и лесни за използване електронни трансакции, които включват електронна идентификация, електронно удостоверяване на автентичност и удостоверителни услуги. В Предложение на Комисията (COM(2012) 238 final) от 4 юни 2012 г., придружено от Оценка на въздействието (SWD(2012) 135 final), се посочват следните четири общи цели:
•гарантиране на развитието на цифровия единен пазар;
•насърчаване на развитието на ключови трансгранични обществени услуги;
•насърчаване и засилване на конкуренцията в рамките на единния пазар;
•подобряване на улесненото използване (граждани и предприятия).
Въпреки факта, че Регламентът постига много от целите си и се е превърнал в основен елемент за улесняване на единния пазар в редица сектори (като например за финансови услуги и за осигуряване на достъп и повторно използване на данни при административни процедури), той съдържа редица ограничения: в него липсва задължение за уведомяване за националните схеми за електронна идентификация, ограничени са данните (елементите на лична информация), които могат да бъдат надеждно оповестявани на трети страни, актът е съсредоточен върху обществения сектор, като липсват ясни стимули за частноправните субекти да използват националната електронна идентификация. Освен това Европейската екосистема за електронна идентификация е разпространена в различни национални регулаторни среди, равнища на цифрово управление, култура, както и различни равнища на доверие в публичните институции.
1.2.Контекст
Предоставянето на цифрова самоличност претърпява съществени промени. Субекти като банки, доставчици на електронни съобщителни услуги или дружества за комунални услуги, някои от които по закон са задължени да събират данни за самоличност, се възползват от своите процедури, за да действат като проверени доставчици на данни за самоличност. Интернет посредниците, включително платформите на основните социални мрежи и интернет браузъри 3 , действат като фактически пазители на цифровата самоличност и предлагат решения за BYOI (предоставяне на собствената самоличност), които позволяват на техните потребители, използвайки потребителските си профили да удостоверяват своята автентичност в уебсайтове и услуги на трети страни. Това удобство е за сметка на загубата на контрол върху оповестените лични данни, като тези средства за електронна идентификация не са свързани с проверка на физическата самоличност, което затруднява още повече смекчаването на измамите и заплахите за киберсигурността. Голяма част от гражданите на ЕС биха искали да имат достъп до сигурна цифрова самоличност, която биха могли да използват за достъп до онлайн услуги. 4 И накрая, въпреки че съществуват много различни мнения относно бъдещето на цифровата самоличност, трябва надлежно да бъде взета предвид ключовата роля на националните правителства по отношение на разработването на всяка широкомащабна цифрова екосистема за идентификация.
Днес потребителите очакват безпроблемни онлайн пътища, мобилни приложения и решения за единна идентификация, които могат да се използват за онлайн услуги в обществения и частния сектор, като обхващат всички случаи, при които се използва идентификация, вариращи от влизане в онлайн платформа под псевдоним до сигурна идентификация за електронно здравеопазване или електронно банкиране. Сигурната онлайн идентификация и обменът на идентификационни данни придобиват все по-голямо значение с нарастването на броя на чувствителните към самоличността и персонализираните услуги. Възможността за цифрова идентификация ще се превърне във важен фактор за социално приобщаване, а предоставянето на цифрова самоличност — в стратегически актив.
В речта си за състоянието на Съюза от 16 септември 2020 г. председателят на Европейската комисия обяви амбицията на Комисията да осигури сигурна и надеждна цифрова самоличност за всички граждани на ЕС: Искаме набор от правила, в които хората заемат централно място. [...] Това включва контрол върху личните ни данни, какъвто имаме твърде рядко днес. Всеки път, когато приложение или уебсайт поискат от нас да създадем нова цифрова самоличност или да влезем лесно в системата през голяма платформа, нямаме представа какво реално се случва с нашите данни. Поради това Комисията скоро ще предложи сигурна европейска електронна самоличност. Такава, в която имаме доверие и която всеки гражданин може да използва навсякъде в Европа, за различни действия: да плати данъците си, да наеме велосипед и т.н. Технология, при която можем сами да контролираме кои данни се използват и как те се използват.
Европейският съвет подкрепи амбицията на Комисията и в Заключенията на Съвета от 1—2 октомври 2020 г. отправи искане към Комисията до средата на 2021 г. да представи предложение за инициатива за рамка за европейска цифрова самоличност.
В Заключенията на Европейския съвет се призовава за разработването на общоевропейска рамка за защитена публична електронна идентификация (e-ID), включително оперативно съвместими цифрови подписи, която да осигури на хората контрол върху техните електронна идентичност и данни и да даде възможност за достъп до обществени, частни и трансгранични цифрови услуги. Съветът приканва Комисията до средата на 2021 г. да представи предложение за инициатива за рамка за европейска цифрова самоличност.
Електронната идентификация позволява на гражданите и предприятията да доказват кои са те при достъп до онлайн услуги. Удостоверителните услуги, като например електронните подписи, правят онлайн трансакциите по-сигурни, по-удобни и по-ефективни. Регламентът eIDAS е единствената трансгранична рамка за надеждна електронна идентификация на физически и юридически лица, както и на удостоверителни услуги. eIDAS дава възможност за трансгранично признаване на националната електронна идентификация за достъп до обществени услуги, при условие че за електронната идентификация е било извършено уведомяване съгласно eIDAS. eIDAS също така създава пазар на ЕС за удостоверителни услуги, които са трансгранично признати със същия правен статут като съответните традиционни процеси, които се основават на използване на хартиен носител.
2.Основни констатации от оценката
Съгласно критериите за оценка основните констатации от оценката могат да бъдат обобщени под следните заглавия.
2.1.Ефективност
Разпоредбите относно електронната самоличност доведоха до създаването на мрежата за eIDAS, чиято цел е да се даде възможност на притежателите на дадена схема за електронна идентификация, за която е извършено уведомяване, да имат трансграничен достъп до обществени онлайн услуги. На равнището на ЕС е постигната оперативна съвместимост само по отношение на ограничен брой схеми за електронна идентификация. 5
Регламентът eIDAS успешно създаде правна сигурност по отношение на отговорността, тежестта на доказване, правната сила и международните аспекти на удостоверителните услуги, но остават някои въпроси. Наличието и използването на удостоверителни услуги в ЕС се е увеличило след въвеждането на Регламента eIDAS, но са налице различия между държавите членки и между различните удостоверителни услуги.
Въпреки някои постижения Регламентът не е разгърнал своя потенциал по отношение на ефективността. Извършено е уведомяване само за ограничен брой случаи на електронна идентификация, което ограничава обхвата на гражданите на ЕС със схема за електронна идентификация, за която е извършено уведомяване (59 % от населението). Приемането на електронна идентификация, за която е извършено уведомяване, е ограничено, тъй като не всички възли на eIDAS са въведени и функциониращи, ограничен брой обществени услуги предлагат уведомяване за eIDAS или са свързани с инфраструктурата, а техническите грешки възпрепятстват ефективното удостоверяване на автентичността на потребителите.
Що се отнася до удостоверителните услуги, целта на Регламента да остане технологично неутрален, доведе до различно тълкуване на изискванията между държавите членки, което също така се дължи на липсата на приемане на допълнителни актове за изпълнение. Не може да се направи заключение, че на равнището на ЕС изцяло е постигната равнопоставеност. Регламентът eIDAS обаче създаде стабилна рамка, която може да бъде допълнена с необходимите стандарти и изисквания, за да се намалят настоящата разпокъсаност на пазара и различията в тълкуването от страна на надзорните органи и органите за оценяване на съответствието, както и да се засили сътрудничеството между надзорните органи.
2.2.Ефикасност
Базисната оценка показва, че количествено измеримите разходи досега са били по-високи от ползите. В областта на електронната идентификация това е резултат от слабото навлизане, при което ползите не са се реализирали.
Основните групи заинтересовани страни, за които частта относно електронната идентификация в Регламента eIDAS е генерирала разходи и ползи, са националните органи, операторите на възли на eIDAS, доставчиците на електронна идентификация и доставчиците на услуги. Що се отнася до удостоверителните услуги, основните групи заинтересовани страни, които посрещнаха основните разходи и ползи, са органите по акредитация, органите за оценяване на съответствието и надзорните органи, както и доставчиците на квалифицирани и неквалифицирани удостоверителни услуги.
По отношение на отделните заинтересовани страни очакваните ползи (дисконтирани като бъдещи ползи) представляват значителна част, поради което те трудно могат да бъдат количествено измерени. Текущите разходи за управление в областта на удостоверителните услуги са ограничени и са свързани основно с гарантирането на съответствие. За отделните заинтересовани страни значителна част от ползите на този етап са единствено хипотетични (дисконтирани като бъдещи ползи) и трудно могат да бъдат количествено измерени. Доставчиците на удостоверителни услуги регистрират ползи под формата на приходи поради предоставянето на удостоверителни услуги в други държави от ЕС и от разширяване на пазарната основа.
2.3.Целесъобразност
Екосистемата за електронна идентификация е претърпяла коренни промени след въвеждането на Регламента eIDAS, като участието на частните доставчици на данни за самоличност се засилва. Като се има предвид увеличаването на цифровите трансакции, всички граждани на ЕС следва да имат достъп до сигурна и оперативно съвместима цифрова самоличност, което не е така понастоящем. Целите на правната рамка за eIDAS продължават да са от значение за справянето с първоначално установените проблеми, по-специално необходимостта да се гарантира намаляване на разпокъсаността на пазара чрез осигуряване на трансгранична и междусекторна оперативна съвместимост на удостоверителните услуги чрез приемането на общи стандарти. Настоящият обхват и акцентът на Регламента eIDAS върху схемите за електронна идентификация, за които държавите — членки на ЕС, са извършили уведомяване, и върху предоставянето на достъп до онлайн обществени услуги изглеждат твърде ограничени.
Някои основни пречки пред навлизането за потребителите и за доставчиците на услуги от частния сектор попречиха регулаторната рамка да разгърне пълния си потенциал. Въпреки че в редица документи от секторното законодателство на ЕС са предоставени позовавания на решения в областта на електронната идентификация и удостоверителните услуги, Регламентът eIDAS все още не е отговорил на нуждите на конкретни сектори (като например образование, банково дело, туризъм, въздухоплаване). Един от ограничаващите фактори на настоящата рамка по отношение на тези секторни нужди е липсата на специфични данни по области.
Критичният фактор е способността електронната идентификация и удостоверителните услуги да останат в съответствие с най-новите технологични разработки в областта на удостоверителните услуги. Разширяването на списъка на удостоверителните услуги, по-специално чрез въвеждането на удостоверителна услуга за електронно архивиране (eArchiving), удостоверителна услуга, поддържаща преносими идентификационни данни, както и удостоверителна услуга за електронни регистри, би било решение за редица случаи на използване и би предоставило на гражданите и предприятията възможността да доказват по цифров път кои са те или да доказват своите данни/характеристики, без да са необходими физически документи.
2.4.Съгласуваност
Оценката показва, че частта от Регламента, която се отнася до електронната идентификация, е подкрепена от като цяло съгласувана, основаваща се на уведомяване и партньорска оценка система за взаимно признаване на електронната идентификация. Рамката на удостоверителните услуги предвижда съгласувана система за надзор на удостоверителните услуги. Въпреки това бяха установени някои проблеми, които влияят на вътрешната съгласуваност на Регламента.
Що се отнася до електронната идентификация, определената в рамката на eIDAS система, която се основава на уведомяване и партньорски оценки, имаше за цел да се постигне общо разбиране за нивото на осигуреност (LoA), предоставяно от дадена схема за електронна идентификация, но оценката на практическото изражение показва, че това невинаги е така. Въпреки че с нея се насърчават гъвкавостта и технологичната неутралност, все още липсва общо разбиране за това какво представляват „значително“ и „високо“ ниво на осигуреност. Акцентът върху обществените услуги контрастира с възможността потребителят да ограничи предаваните данни до минимума, необходим за удостоверяване на автентичността за конкретна услуга, тъй като минималният набор от данни винаги се предава с оглед да се даде възможност за идентификация на дадено лице. Прилагането на настоящата система за електронната идентификация и удостоверителните услуги не дава възможност на потребителя да улесни прилагането на принципите на Общия регламент относно защитата на данните за свеждане на данните до минимум и за неприкосновеност на личния живот по подразбиране, като контролира кои данни да споделя и с кого.
Правилата за оценяване на доставчиците на удостоверителни услуги спрямо функционалните изисквания на Регламента с цел получаване на квалифициран статут показват някои слабости, тъй като ролята на органите за оценяване на съответствието не е достатъчно подробна по отношение на техните задължения, отговорност или равнище на компетентност. Някои разпоредби оставят на държавите членки да признават някои методи за идентификация (като например биометричната проверка) на национално равнище, с което се възпрепятства регулаторната равнопоставеност и се създава несигурност.
2.5.Добавена стойност от ЕС
Регламентът eIDAS създаде стимули за държавите членки да внедрят национални решения за електронна идентификация, но добавената стойност на рамката за електронна идентификация показа сериозни ограничения поради ниския коефициент на навлизане и използване. Що се отнася до удостоверителните услуги, Регламентът е предоставил обща правна рамка за тяхното използване, за намаляване на разпокъсаността на пазара и за увеличаване на тяхното навлизане. С помощта на удостоверителните услуги публичните администрации могат да модернизират и цифровизират услугите, както и да издават документи по цифров път, като по този начин намаляват административната тежест.
По отношение на частта относно електронната идентификация първоначално установената необходимост от приемането на Регламента продължава да бъде от значение и отменянето на Регламента би довело до разпокъсаност и отрицателни последици за други законодателни области, които разчитат на електронната идентификация и удостоверителните услуги. Някои приложения на регулаторната рамка биха могли да увеличат нейната добавена стойност от ЕС (като например улесняване на използването на надеждни национални електронни идентификации от страна на частния сектор и определяне на рамка за обмен на специфични данни и идентификационни данни, предоставяни от публичния и частния сектор). По отношение на удостоверителните услуги продължават да съществуват някои пречки, произтичащи от националното тълкуване и/или противоречащото национално право, които ограничават навлизането на удостоверителни услуги.
3.Преразглеждане на рамката за eIDAS
Регламентът eIDAS е основен елемент за улесняването на единния пазар в редица сектори (като например в банковия сектор за предоставяне на някои от изискваните данни за самоличност с оглед да се улесни спазването на правилата срещу изпирането на пари 6 , Директивата за платежните услуги (ДПУ2) 7 се основава на удостоверителните услуги съгласно eIDAS, като например електронните печати и квалифицираните удостоверения за автентичност на уебсайтовете, за да се установи автентичността на уебсайтовете от доставчици на платежни услуги от трети страни, електронната идентификация въз основа на eIDAS е изискване за трансграничен обмен на административни удостоверения, както и е от съществено значение за успешното прилагане, считано от 2023 г., на принципа на еднократност 8 ). Рамката за удостоверителните услуги е международно призната и представлява основата за проект за разпоредба 9 , която през 2021 г. се очаква да стане модел на закон на ООН за удостоверителните услуги в електронната търговия, както и основа за текущите преговори в областта на електронната търговия в рамките на Световната търговска организация (СТО) 10 .
След приемането на Регламента eIDAS през 2014 г. обаче настъпиха множество промени. Рамката се основава на националните системи за електронна идентификация, които следват различни стандарти, и е съсредоточена върху относително малък сегмент на потребностите на гражданите и предприятията от електронна идентификация: сигурния трансграничен достъп до обществени услуги. Обхванатите услуги засягат основно 3 % от населението на ЕС 11 , пребиваващо в държава членка, различна от държавата на месторождение.
Оттогава цифровизацията на всички функции на обществото е нараснала драстично. Не на последно място пандемията от COVID-19 оказа много силно въздействие върху скоростта на цифровизацията. В резултат на това предоставянето както на публични, така и на частни услуги става все по-цифровизирано. Очакванията на гражданите и предприятията са да бъде постигната висока степен на сигурност и удобство за всяка онлайн дейност, като например подаването на данъчни декларации, записването в чуждестранен университет, дистанционното откриване на банкова сметка или искане за заем, наемането на автомобил, създаването на предприятие в друга държава членка, удостоверяването на автентичността за плащания по интернет, участието в тръжна процедура онлайн и др.
Вследствие на това драстично се увеличи търсенето на средства за идентификация и удостоверяване на автентичността онлайн, както и за цифров обмен на информация относно самоличност, данни или квалификации по сигурен начин и с високо равнище на защита на данните 12 . Това предизвика промяна на модела, който преминава към усъвършенствани и удобни решения, които могат да интегрират различни проверими данни и удостоверения на потребителя. Днес това търсене не може да бъде задоволено чрез средствата за електронна идентификация и удостоверителните услуги съгласно регламентираното от eIDAS предвид настоящите му ограничения. Що се отнася до средствата за идентификация или за удостоверяване на автентичността, разработени от частния сектор извън рамката за eIDAS, те само частично отговарят на това предизвикателство. Въпреки че предлагат лесни за ползване услуги за удостоверяване на автентичността от трети страни (като например използване на профил във Facebook или Google за достъп до различни услуги), те често се използват за достъп до нерегулирани частни онлайн услуги, за които не се изисква висока степен на сигурност. Те не могат да предложат същото равнище на правна сигурност, защита на данните и неприкосновеност на личния живот, главно защото са самоутвърдени и не могат да предложат връзка с надеждна и сигурна национална електронна идентификация.
През февруари 2020 г. Комисията пое ангажимент в своята „Стратегия за изграждане на цифровото бъдеще на Европа“ 13 да преразгледа Регламента eIDAS с цел подобряване на неговата ефективност, разширяване на неговото прилагане, така че да обхване и частния сектор, както и насърчаване на надеждни цифрови самоличности за всички граждани и предприятия в ЕС. Неотложният характер на това преразглеждане стана ясен с избухването на пандемията от COVID-19. Смущенията в областта на обществените и частните услуги офлайн и внезапната необходимост от достъп и използване на всички видове обществени и частни услуги онлайн разкриха ограниченията на Регламента eIDAS по отношение на предоставянето на очакваните ползи за гражданите, предприятията и правителствата шест години след приемането му. Преразгледаният и засилен Регламент относно електронната идентификация и удостоверителните услуги eIDAS ще може да се заеме с новите пазарни и обществени изисквания, като отговори на необходимостта от свързани решения за надеждна национална електронна идентификация, но също така и от данни и идентификационни данни, предоставени от публичния и частния сектор, всички управлявани изцяло от потребителя и признавани в целия ЕС за достъп както до публични, така и до частни услуги. Това би било подкрепа за голям брой съществуващи или предложени регулаторни рамки за укрепване на единния пазар на ЕС.
4.Заключения
Като цяло Регламентът eIDAS допринесе за по-нататъшното развитие на единния пазар. Той положи основите за развитието на пазар в областта на услугите за самоличността и удостоверителните услуги в ЕС, подкрепяйки непрекъснато нарастващата необходимост от сигурни цифрови трансакции. Въпреки това в перспективата на бъдещето, която претърпя развитие по отношение на целите и очакванията на потребителите, е необходимо Регламентът eIDAS да бъде подобрен по отношение на ефективността, ефикасността, съгласуваността и целесъобразността, за да бъдат постигнати новите цели на политиката, да се отговори на очакванията на потребителите и търсенето на пазара, като също така се вземат предвид последните развития в областта на цифровизацията.
На пазара възниква нова среда, в която акцентът се измества от предоставянето и използването на негъвкава цифрова самоличност към предоставянето и позоваването на специфични данни, свързани с тази самоличност. Налице е повишено търсене на решения за електронна самоличност, които могат да осигурят тези възможности, като предоставят повишаване на ефективността и високо равнище на доверие в целия ЕС по отношение на услугите както в частния, така и в обществения сектор, разчитайки на необходимостта от идентификация и удостоверяване на автентичността на потребителите с високо ниво на осигуреност.
Настоящият Регламент eIDAS не може да отговори на тези нови пазарни изисквания, като се имат предвид присъщите му ограничения по отношение на обществения сектор, сложността за частните онлайн доставчици при свързване със системата, недостатъчното наличие във всички държави членки и липсата на гъвкавост в подкрепа на различни случаи.