(1)

В съобщението на Комисията от 19 февруари 2020 г., озаглавено „Изграждане на цифровото бъдеще на Европа“, бе обявено преразглеждането на Регламент (ЕС) № 910/2014 на Европейския парламент и на Съвета (4), за да се подобри неговата ефективност, да се даде възможност и на частния сектор да се възползва от него и да се насърчи използването на надеждна цифрова самоличност от всички европейци.

(2)

В заключенията си от 1—2 октомври 2020 г. Европейският съвет призова Комисията да представи предложение за разработването на обща за целия Съюз рамка за сигурна публична електронна идентификация, включително оперативно съвместими цифрови подписи, за да се предостави на хората контрол върху собствената им самоличност и данни в онлайн среда, както и да се даде възможност за достъп до публични, частни и трансгранични цифрови услуги.

(3)

Политическата програма „Цифрово десетилетие“ до 2030 г., създадена с Решение (ЕС) 2022/2481 на Европейския парламент и на Съвета (5), определя общите и цифровите цели на рамка на Съюза, които до 2030 г. да доведат до широко внедряване на надеждна, доброволна, контролирана от потребителите цифрова самоличност, която е призната в целия Съюз и позволява на всеки ползвател да контролира своите данни при онлайн взаимодействия.

(4)

В „Европейската декларация относно цифровите права и принципите за цифровото десетилетие“ на Европейския парламент, Съвета и Комисията (6) (наричана по-нататък „Декларацията“) се подчертава правото на всеки на достъп до цифрови технологии, продукти и услуги, които да са безопасни, сигурни и да осигуряват защита на неприкосновеността на личния живот още на етапа на проектирането им. Това включва гаранцията, че на всички хора, живеещи в Съюза, ще се предлага достъпна, сигурна и надеждна цифрова самоличност, която ще осигурява достъп до широк спектър от онлайн и офлайн услуги, защитени срещу рискове за киберсигурността и срещу киберпрестъпност, включително нарушения на сигурността на личните данни, кражба или манипулиране на самоличност. В декларацията също така се посочва, че всяко лице има право неговите лични данни да бъдат защитени. Това право включва контрола върху начина на използване на данните и това с кого се споделят тези данни.

(5)

Гражданите на Съюза и пребиваващите в Съюза лица следва да имат право на цифрова самоличност, която е под техен изключителен контрол и която им позволява да упражняват правата си в цифровата среда и да участват в цифровата икономика. За да се постигне тази цел, следва да се създаде европейска рамка за цифрова самоличност, която да позволява на гражданите на Съюза и пребиваващите в Съюза лица да имат достъп до публични и частни онлайн и офлайн услуги в целия Съюз.

(6)

Една хармонизирана рамка за цифрова самоличност следва да допринесе за създаването на по-интегриран в цифрово отношение Съюз, като се намалят цифровите бариери между държавите членки и се дадат права на гражданите на Съюза и на пребиваващите в Съюза лица да се възползват от предимствата на цифровизацията като същевременно се увеличат прозрачността и защитата на техните права.

(7)

Един по-хармонизиран подход към електронната идентификация следва да намали рисковете и разходите, свързани с настоящата разпокъсаност, дължаща се на използването на разнопосочни национални решения или, в някои държави членки, на липсата на такива решения за електронна идентификация. Този подход следва да укрепи вътрешния пазар, като позволи на гражданите на Съюза и пребиваващите в Съюза лица, както са определени в националното право, и на предприятията да се идентифицират и да предоставят потвърждение за своята самоличност онлайн и офлайн по безопасен, надежден, лесен за ползване, удобен, достъпен и хармонизиран начин в целия Съюз. Европейският портфейл за цифрова самоличност следва да предостави на физическите и юридическите лица в целия Съюз хармонизирани средства за електронна идентификация, които ще им позволят да удостоверяват автентичността и да споделят данни, свързани с тяхната самоличност. Всеки следва да има сигурен достъп до обществени и частни услуги, на основата на една подобрена екосистема за удостоверителни услуги и на проверени доказателства за самоличност и електронни удостоверения за атрибути, например академични квалификации, включително университетски дипломи или други образователни или професионални удостоверения. Европейската рамка за цифрова самоличност има за цел да се премине от използване само на национални решения за цифрова самоличност към предоставянето на валидни и юридически признати в целия Съюз електронни удостоверения за атрибути. Доставчиците на електронни удостоверения за атрибути следва да използват ясен и единен набор от правила, а публичните администрации следва да могат да разчитат на електронни документи в определен формат.

(8)

Няколко държави членки са въвели и използват средства за електронна идентификация, които се приемат от доставчиците на услуги в Съюза. Освен това са направени инвестиции както в национални, така и в трансгранични решения въз основа на Регламент (ЕС) № 910/2014, включително оперативната съвместимост на схемите за електронна идентификация, за които е извършено уведомяване, съгласно посочения регламент. За да се гарантира взаимното допълване и бързото приемане на европейските портфейли за цифрова самоличност от настоящите ползватели на средства за електронна идентификация, за които е извършено уведомяване, и за да се сведе до минимум въздействието върху съществуващите доставчици на услуги, се очаква европейските портфейли за цифрова самоличност да използват натрупания опит със съществуващите средства за електронна идентификация и от инфраструктурата на схемите за електронна идентификация, за които е извършено уведомяване, внедрена на равнището на Съюза и на национално равнище.

(9)

Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (7) и когато е приложимо, Директива 2002/58/ЕО на Европейския парламент и на Съвета (8) се прилагат за всички дейности по обработване на лични данни съгласно Регламент (ЕС) № 910/2014. Решенията съгласно рамката за оперативна съвместимост, предвидена в настоящия регламент, също са в съответствие с посочените правила. Правото на Съюза в областта на защитата на данните предвижда принципи за защита на данните, като например принципа за свеждане на данните до минимум и принципа на ограничаване в рамките на целта, а така също и задължения, като например тези за защита на данните на етапа на проектирането и за защита на данните по подразбиране.

(10)

За да се подкрепи конкурентоспособността на предприятията в Съюза, доставчиците както на онлайн, така и на офлайн услуги следва да могат да разчитат на решения за цифрова самоличност, които се признават в целия Съюз, независимо от това в коя държавата членка тези решения са били осигурени, като по този начин се възползват от хармонизиран подход на Съюза към удостоверяването, сигурността и оперативната съвместимост. Както ползвателите, така и доставчиците на услуги следва да могат да се възползват от електронни удостоверения за атрибути с еднаква правна стойност в целия Съюз. Хармонизираната рамка за цифрова самоличност има за цел да създаде икономическа стойност, като предостави по-лесен достъп до стоки и услуги и намали значително оперативните разходи, свързани с процедурите за идентификация и удостоверяване на автентичност, например при интегрирането на нови клиенти, ограничи възможностите за извършване на киберпрестъпления, като кражби на самоличност, кражби на данни и онлайн измами, като по този начин повиши ефикасността и насърчи сигурната цифрова трансформация на микро-, малките и средните предприятия (МСП) в Съюза.

(11)

Европейските портфейли за цифрова самоличност следва да улесняват прилагането на принципа на еднократност, като по този начин се намалява административната тежест върху гражданите на Съюза и пребиваващите в Съюза лица и предприятията в целия Съюз, подкрепя се тяхната трансгранична мобилност и се насърчава разработването на оперативно съвместими услуги за електронно управление в целия Съюз.

(12)

За обработването на лични данни при прилагането на настоящия регламент се прилагат разпоредбите на Регламент (ЕС) 2016/679, Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета (9) и Директива 2002/58/ЕО. Поради това в настоящия регламент следва да се предвидят специални предпазни мерки, за да се попречи на доставчиците на средства за електронна идентификация и електронно удостоверяване на атрибути да комбинират лични данни, получени при предоставянето на други услуги, с лични данни, обработени за предоставянето на услугите, попадащи в обхвата на настоящия регламент. Личните данни, свързани с предоставянето на европейския портфейл за цифрова самоличност, следва да се съхраняват логически отделно от всички други данни, съхранявани от доставчика на европейския портфейл за цифрова самоличност. Настоящият регламент не следва да възпрепятства доставчиците на европейски портфейли за цифрова самоличност да прилагат допълнителни технически мерки за защитата на личните данни, например физическо отделяне на свързаните с предоставянето на европейски портфейли за цифрова самоличност лични данни от всички други данни, съхранявани от доставчика. Без да се засяга Регламент (ЕС) 2016/679, в настоящия регламент допълнително се уточнява прилагането на принципите на ограничаване в рамките на целта, свеждане на данните до минимум и защита на данните на етапа на проектирането и по подразбиране.

(13)

Европейските портфейли за цифрова самоличност следва да функционират като общо табло за управление, което да бъде включено на етапа на проектирането, за да се гарантира по-висока степен на прозрачност, неприкосновеност на личния живот и контрол на ползвателите върху техните лични данни. Тази функция следва да осигурява лесен и удобен за ползвателите интерфейс с преглед на всички доверяващи се страни, с които ползвателят споделя данни, включително атрибутите, както и вида на данните, които са споделени с всяка доверяваща се страна. Тя следва да позволява на ползвателя да проследява всички трансакции, извършени чрез европейски портфейл за цифрова самоличност, чрез най-малко следните данни: часа и датата на трансакцията, идентификацията на контрагента, поисканите данни и споделените данни. Тази информация следва да се съхранява дори ако трансакцията не е била извършена. Следва да не е възможно да се отрича автентичността на информацията, съдържаща се в историята на трансакцията. Тази функция следва да бъде активна по подразбиране. Тя следва да позволява на ползвателите лесно да поискат незабавното изтриване от доверяваща се страна на лични данни съгласно член 17 от Регламент (ЕС) 2016/679 и лесно да докладват за доверяващата се страна на компетентния национален орган за защита на данните, когато е получено предполагаемо незаконно или подозрително искане за лични данни, пряко през европейския портфейл за цифрова самоличност.

(14)

Държавите членки следва да интегрират в европейския портфейл за цифрова самоличност различни технологии за запазване на неприкосновеността на личния живот, като например доказателство за нулево знание. Тези криптографски методи следва да позволяват на доверяващата се страна да потвърди дали дадена декларация, основана на данните за идентификация на лицето и удостоверяването на атрибути, е вярна, без да разкрива каквито и да било данни, на които се основава тази декларация, като по този начин се запазва неприкосновеността на личния живот на ползвателя.

(15)

С настоящия регламент се определят хармонизираните условия за създаването на рамка за европейските портфейли за цифрова самоличност, които ще се предоставят от държавите членки. Всички граждани на Съюза и пребиваващи в Съюза лица, както са определени в националното право, следва да имат право да изискват, да избират, комбинират, съхраняват, заличават, споделят и представят по сигурен начин данни, свързани с тяхната самоличност, и да изискват личните им данни да бъдат изтрити по лесен за ползване и удобен начин, под изключителния контрол на ползвателя, като същевременно се дава възможност за избирателно разкриване на лични данни. Настоящият регламент отразява споделените европейски ценности и спазва основните права, правните гаранции и отговорности, като по този начин защитава демократичните общества, гражданите на Съюза и пребиваващите в Съюза лица. Технологиите, използвани за постигане на тези цели, следва да се разработват така, че да се постигне най-високо равнище на сигурност, неприкосновеност на личния живот, удобство за ползвателите, достъпност, широка използваемост и непрекъсната оперативна съвместимост. Държавите членки следва да гарантират равен достъп до електронна идентификация за всички свои граждани и пребиваващи лица. Държавите членки не следва пряко или косвено да ограничават достъпа до публични или частни услуги за физически или юридически лица, които не избират да използват европейски портфейли за цифрова самоличност, и следва да предоставят подходящи алтернативни решения.

(16)

Държавите членки следва да разчитат на възможностите, предлагани от настоящия регламент, за да предоставят на своя отговорност европейски портфейли за цифрова самоличност, които да се използват от физическите и юридическите лица, пребиваващи на тяхна територия. За да се осигури гъвкавост на държавите членки и да се използва съвременното технологично равнище, настоящият регламент следва да даде възможност за предоставяне на европейски портфейли за цифрова самоличност пряко от държава членка, съгласно мандат от държава членка или независимо от държава членка, но с признаване от тази държава членка.

(17)

За целите на регистрацията доверяващите се страни следва да предоставят информацията, необходима за тяхната електронна идентификация и удостоверяването на тяхната автентичност по отношение на европейските портфейли за цифрова самоличност. Когато декларират планираното използване на европейския портфейл за цифрова самоличност, доверяващите се страни следва да предоставят информация относно данните, които ще поискат, ако има такива, за да предоставят своите услуги, и причината за искането. Регистрацията на доверяващите се страни улеснява проверките от страна на държавите членки по отношение на законосъобразността на дейностите на доверяващите се страни в съответствие с правото на Съюза. Задължението за регистрация по настоящия регламент не следва да засяга задълженията, предвидени в друг правен акт на Съюза или на националното право, като например информацията, която се предоставя на субектите на данни съгласно Регламент (ЕС) 2016/679. Доверяващите се страни следва да спазват гаранциите, предвидени в членове 35 и 36 от посочения регламент, по-специално като извършват оценки на въздействието върху защитата на данните и като се консултират с компетентните органи за защита на данните преди обработването на данните, когато оценките на въздействието върху защитата на данните показват, че обработването би довело до висок риск. Тези гаранции следва да подкрепят законосъобразното обработване на лични данни от доверяващите се страни, по-специално по отношение на специални категории данни, като например здравни данни. Регистрацията на доверяващите се страни има за цел да повиши прозрачността и доверието в използването на европейските портфейли за цифрова самоличност. Регистрацията следва да бъде икономически ефективна и пропорционална на свързаните с нея рискове, за да се гарантира възприемането ѝ от доставчиците на услуги. В този контекст регистрацията следва да предвижда използването на автоматизирани процедури, включително възможността държавите членки да разчитат на съществуващите регистри и да ги използват, и не следва да води до процес на предварително разрешение. Процесът на регистрация следва да дава възможност за различни случаи на употреба, които могат да се различават по отношение на начина на работа, било то онлайн или в офлайн режим, или по отношение на изискването за удостоверяване на автентичността на устройствата за целите на взаимодействието с европейския портфейл за цифрова самоличност. Регистрацията следва да се прилага изключително за доверяващи се страни, предоставящи услуги чрез цифрово взаимодействие.

(18)

Защитата на гражданите на Съюза и пребиваващите в Съюза лица срещу неразрешено или измамно използване на европейски портфейли за цифрова самоличност е от голямо значение за гарантиране на доверието в европейските портфейли за цифрова самоличност и за широкото им възприемане. На ползвателите следва да се осигури ефективна защита срещу такава злоупотреба. По-специално, когато национален съдебен орган установи фактически елементи на измамно или по друг начин незаконно използване на европейски портфейл за цифрова самоличност в контекста на друга процедура, надзорните органи, които отговарят за издателите на европейски портфейли за цифрова самоличност, след като бъдат уведомени, следва да предприемат необходимите мерки, за да гарантират, че регистрацията на доверяващата се страна и включването на доверяващите се страни в механизма за удостоверяване на автентичността се оттеглят или спират, докато нотифициращият орган потвърди, че установените нередности са отстранени.

(19)

Всички европейски портфейли за цифрова самоличност следва да дават възможност на ползвателите да се идентифицират и да удостоверяват автентичността си трансгранично и по електронен път, онлайн и в офлайн режим, с цел достъп до широк спектър от обществени и частни услуги. Без да се засягат прерогативите на държавите членки по отношение на идентификацията на техните граждани и пребиваващи лица, европейските портфейли за цифрова самоличност могат също да обслужват институционалните нужди на публичните администрации и международните организации, както и на институциите, органите, службите и агенциите на Съюза. Удостоверяването на автентичността в офлайн режим би било важно в много сектори, включително в сектора на здравеопазването, където услугите често се предоставят чрез взаимодействие лице в лице, а за електронните рецепти следва да могат да се използват QR кодове или подобни технологии за проверка на автентичността. Като разчитат на ниво на осигуреност „високо“ по отношение на схемите за електронна идентификация, европейските портфейли за цифрова самоличност следва да използват потенциала, предлаган от решенията, които са защитени от външна намеса, например чрез защитни елементи, за да изпълнят изискванията за сигурност съгласно настоящия регламент. Европейските портфейли за цифрова самоличност следва също така да позволяват на ползвателите да създават и използват квалифицирани електронни подписи и печати, които се приемат в целия Съюз. След като се интегрират в европейски портфейл за цифрова самоличност, физическите лица следва да могат да го използват, за да подписват по подразбиране и безплатно с квалифицирани електронни подписи, без да е необходимо да преминават през допълнителни административни процедури. Ползвателите следва да имат възможност да подписват или подпечатват декларации или атрибути, които са заявени от самите тях. С цел да се постигне опростяване и намаляване на разходите за хората и предприятията в целия Съюз, включително чрез предоставяне на правомощия за представителство и електронни мандати, държавите членки следва да предоставят европейски портфейли за цифрова самоличност, които се основават на общи стандарти и технически спецификации, за да гарантират непрекъсната оперативна съвместимост, да повишат адекватно сигурността в областта на ИТ, да укрепят устойчивостта на кибератаки и по такъв начин значително да намалят потенциалните рискове от текущата цифровизация за гражданите на Съюза и пребиваващите в Съюза лица и за предприятията. Само компетентните органи на държавите членки могат да осигурят високо ниво на увереност при установяването на самоличността на дадено лице и по този начин да гарантират, че когато дадено лице претендира за определена самоличност или се представя за определено лице, неговите твърдения отговарят на действителността. Поради това за предоставянето на европейски портфейли за цифрова самоличност е необходимо те да се основават на юридическата самоличност на гражданите на Съюза, пребиваващите в Съюза лица или юридическите лица. Използването на юридическата самоличност не следва да възпрепятства достъпа на ползвателите на европейски портфейли за цифрова самоличност до услуги под псевдоним, когато няма правно изискване за юридическа самоличност за удостоверяване на автентичността. Доверието в европейските портфейли за цифрова самоличност ще бъде укрепено, ако от издаващите и управляващите страни се изисква да прилагат подходящи технически и организационни мерки, гарантиращи най-високо ниво на сигурност, което съответства на възникващите за правата и свободите на физическите лица рискове, в съответствие с Регламент (ЕС) 2016/679.

(20)

Използването на квалифициран електронен подпис следва да бъде безплатно за всички физически лица за непрофесионални цели. Държавите членки следва да могат да предвидят мерки за предотвратяване на безплатното използване на квалифицирани електронни подписи за професионални цели от физически лица, като същевременно гарантират, че тези мерки са пропорционални на установените рискове и са обосновани.

(21)

Полезно е да се улесни възприемането и използването на европейските портфейли за цифрова самоличност чрез безпроблемното им интегриране в екосистемата на публичните и частните цифрови услуги, които вече се прилагат на национално, местно или регионално равнище. За да се постигне тази цел, следва да е възможно държавите членки да предвидят правни и организационни мерки, за да се увеличи гъвкавостта за доставчиците на европейски портфейли за цифрова самоличност и да се даде възможност за допълнителни функции на европейските портфейли за цифрова самоличност освен предвидените в настоящия регламент, включително чрез засилена оперативна съвместимост със съществуващите национални средства за електронна идентификация. Подобни допълнителни функции по никакъв начин не следва да бъдат в ущърб на предоставянето на основните функции на европейските портфейли за цифрова самоличност, предвидени в настоящия регламент, нито да насърчават съществуващите национални решения за сметка на европейските портфейли за цифрова самоличност. Тъй като надхвърлят обхвата на настоящия регламент, такива допълнителни функции не се ползват от разпоредбите относно трансграничното използване на европейските портфейли за цифрова самоличност, установени в настоящия регламент.

(22)

Европейските портфейли за цифрова самоличност следва да включват функция за генериране на избрани и управлявани от ползвателя псевдоними за удостоверяване на автентичността при достъп до онлайн услуги.

(23)

За да се постигне високо ниво на сигурност и надеждност, с настоящия регламент се установяват изискванията за европейските портфейли за цифрова самоличност. Посочени от държавите членки акредитирани органи за оценяване на съответствието следва да удостоверяват съответствието на европейските портфейли за цифрова самоличност с тези изисквания.

(24)

За да се избегне разнопосочност в подходите и да се хармонизира изпълнението на изискванията, определени в настоящия регламент, Комисията следва, с цел сертифициране на европейските портфейли за цифрова самоличност, да приеме актове за изпълнение с цел изготвянето на списък на референтни стандарти и, когато е необходимо, установяването на спецификации и процедури с цел формулирането на подробни технически спецификации на тези изисквания. Доколкото сертифицирането на съответствието на европейските портфейли за цифрова самоличност с приложимите изисквания за киберсигурност не е обхванато от съществуващите схеми за сертифициране на киберсигурността, посочени в настоящия регламент, и по отношение на несвързаните с киберсигурността изисквания от значение за европейските портфейли за цифрова самоличност, държавите членки следва да създадат национални схеми за сертифициране съгласно хармонизираните изисквания, определени в настоящия регламент и приети съгласно него. Държавите членки следва да предадат своите проекти на национални схеми за сертифициране на Европейската група за сътрудничество в областта на цифровата самоличност, която следва да може да издаде становища и препоръки.

(25)

Сертифицирането на съответствието с изискванията за киберсигурност, установени в настоящия регламент, следва, когато е приложимо, да се основава на съответните европейски схеми за сертифициране на киберсигурността, създадени съгласно Регламент (ЕС) 2019/881 на Европейския парламент и на Съвета (10), с който се създава доброволна европейска рамка за сертифициране на киберсигурността на продукти, процеси и услуги в областта на ИКТ.

(26)

С цел непрекъснато оценяване и намаляване на рисковете, свързани със сигурността, сертифицираните европейски портфейли за цифрова самоличност следва да подлежат на редовни оценки на уязвимостта, насочени към откриване на всяка уязвимост на сертифицираните компоненти на европейския портфейл за цифрова самоличност, свързани с продукти, процеси и услуги.

(27)

Като защитават ползвателите и дружествата от киберрискове, съществените изисквания за киберсигурността, установени в настоящия регламент, допринасят и за подобряване на защитата на личните данни и неприкосновеността на личния живот на физическите лица. Следва да се обмисли възможността за полезно взаимодействие както по отношение на стандартизацията, така и по отношение на сертифицирането на аспектите на киберсигурността чрез сътрудничеството между Комисията, европейските организации за стандартизация, Агенцията на Европейския съюз за киберсигурност (ENISA), Европейския комитет по защита на данните, създаден с Регламент (ЕС) 2016/679, и националните надзорни органи за защита на личните данни.

(28)

Интегрирането на граждани на Съюза и пребиваващи в Съюза лица в европейския портфейл за цифрова самоличност следва да бъде улеснено, като се разчита на средства за електронна идентификация, издадени на ниво на осигуреност „високо“. Средствата за електронна идентификация, издадени на ниво на осигуреност „значително“, следва да се използват само в случаите, когато хармонизираните технически спецификации и процедури, използващи средства за електронна идентификация, издадени на ниво на осигуреност „значително“ в съчетание с други допълнителни средства за проверка на самоличността, ще осигурят изпълнението на изискванията, определени в настоящия регламент за ниво на осигуреност „високо“. Тези допълнителни средства следва да бъдат надеждни и лесни за използване и биха могли да се основават на възможността за използване на процедури за дистанционно интегриране, квалифицирани електронни удостоверения, подкрепени с квалифицирани подписи, квалифицирано електронно удостоверение за атрибути или комбинация от тях. За да се гарантира достатъчно възприемане на европейските портфейли за цифрова самоличност, в актове за изпълнение следва да бъдат определени хармонизирани технически спецификации и процедури за интегрирането на ползвателите чрез използване на средства за електронна идентификация, включително издадени на ниво на осигуреност „значително“.

(29)

Целта на настоящия регламент е да се предостави на ползвателя изцяло мобилен, сигурен и лесен за ползване европейски портфейл за цифрова самоличност. Като преходна мярка до наличието на сертифицирани решения, които са защитени от външна намеса, например защитни елементи в рамките на устройствата на ползвателите, европейските портфейли за цифрова самоличност следва да могат да разчитат на сертифицирани външни елементи за гарантиране на защитата на криптографския материал и други чувствителни данни или на нотифицирани средства за електронна идентификация на ниво на осигуреност „високо“, за да се докаже съответствие с изискванията на настоящия регламент по отношение на нивото на осигуреност на европейския портфейл за цифрова самоличност. Настоящият регламент не следва да засяга националните условия по отношение на издаването и използването на сертифициран външен защитен елемент, в случай че преходната мярка се основава на такъв.

(30)

Европейските портфейли за цифрова самоличност следва да гарантират най-високо равнище на защита и сигурност на данните за целите на електронната идентификация и електронното удостоверяване на автентичност, за да се улесни достъпът до обществени и частни услуги, независимо дали тези данни се съхраняват на локално или чрез решения, основани на облачни технологии, като надлежно се вземат предвид различните равнища на риск.

(31)

Европейските портфейли за цифрова самоличност следва да бъдат сигурни още при проектирането и следва да прилагат усъвършенствани защитни елементи за защита срещу кражба на самоличност и други кражби на данни, отказ на услуга и всякакви други киберзаплахи. Сигурността следва да включва най-съвременни методи за криптиране и съхранение, които са достъпни само за ползвателя и могат да бъдат декриптирани само от него, и да се основава на криптирана от край до край комуникация с други европейски портфейли за цифрова самоличност и доверяващи се страни. Освен това европейските портфейли за цифрова самоличност следва да изискват сигурно, изрично и активно потвърждение от страна на ползвателя за операциите, извършвани чрез европейските портфейли за цифрова самоличност.

(32)

Безплатното използване на европейски портфейли за цифрова самоличност не следва да води до обработване на данни извън тези, необходими за предоставянето на услугите на европейските портфейли за цифрова самоличност. Настоящият регламент не следва да позволява обработването на лични данни, съхранявани във или получени в резултат на използването на европейския портфейл за цифрова самоличност от доставчика на европейския портфейл за цифрова самоличност за цели, различни от предоставянето на услугите на европейските портфейли за цифрова самоличност. За да се гарантира неприкосновеността на личния живот, доставчиците на европейски портфейли за цифрова самоличност следва да гарантират ненаблюдаемост, като не събират данни и не разглеждат трансакциите на ползвателите на европейския портфейл за цифрова самоличност. Тази ненаблюдаемост означава, че доставчиците не могат да виждат подробностите за трансакциите, извършвани от ползвателя. В конкретни случаи обаче въз основа на предишно изрично съгласие на ползвателите за всеки от тези конкретни случаи и в пълно съответствие с Регламент (ЕС) 2016/679 на доставчиците на европейски портфейли за цифрова самоличност може да бъде предоставен достъп до информацията, необходима за предоставянето на конкретна услуга, свързана с европейските портфейли за цифрова самоличност.

(33)

Прозрачността на европейските портфейли за цифрова самоличност и отчетността на техните доставчици са ключови елементи за създаване на доверие в обществото и за постигане на приемането на рамката. Поради това функционирането на европейските портфейли за цифрова самоличност следва да бъде прозрачно и по-специално да дава възможност за проверимо обработване на лични данни. За да се постигне това, държавите членки следва да разкриват изходния код на софтуерните компоненти на приложенията на ползвателите на европейските портфейли за цифрова самоличност, включително тези, които са свързани с обработването на лични данни и данни на юридически лица. Публикуването на този изходен код с лиценз за отворен код следва да даде възможност на членовете на обществото, включително на ползвателите и разработчиците, да разберат неговото функциониране и да извършват одит и преглед на кода. Това ще повиши доверието на ползвателите в екосистемата и ще допринесе за сигурността на европейските портфейли за цифрова самоличност, като даде възможност на всеки да докладва за уязвимости и грешки в кода. Като цяло това следва да стимулира доставчиците да доставят и поддържат продукт с висока степен на сигурност. В определени случаи обаче разкриването на изходния код за използваните библиотеки, комуникационния канал или други елементи, които не са хоствани на устройството на ползвателя, може да бъде ограничено от държавите членки по надлежно обосновани причини, особено за целите на обществената сигурност.

(34)

Използването на европейските портфейли за цифрова самоличност, както и прекратяването на тяхното използване следва да бъдат изключителното право и избор на ползвателите. Държавите членки следва да разработят прости и сигурни процедури, чрез които ползвателите да могат да поискат незабавна отмяна на валидността на европейските портфейли за цифрова самоличност, включително в случай на загуба или кражба. При смърт на ползвателя или при преустановяване на дейността на дадено юридическо лице следва да се създаде механизъм, който да позволява на органа, отговарящ за уреждането на наследството на физическото лице или активите на юридическото лице, да поиска незабавната отмяна на европейските портфейли за цифрова самоличност.

(35)

За да се насърчи възприемането на европейските портфейли за цифрова самоличност и по-широкото използване на цифрови самоличности, държавите членки следва не само да насърчават ползите от съответните услуги, но и в сътрудничество с частния сектор, изследователите и академичните среди, следва да разработят програми за обучение, насочени към укрепване на цифровите умения на техните граждани и пребиваващите на тяхна територия лица, по-специално за уязвимите групи, като например хората с увреждания и възрастните хора. Държавите членки следва също така да повишават осведомеността относно ползите и рисковете, свързани с европейските портфейли за цифрова самоличност, чрез комуникационни кампании.

(36)

За да се гарантира, че европейската рамка за цифрова самоличност е отворена за иновации и технологично развитие и е подготвена за бъдещето, държавите членки се насърчават съвместно да създават лаборатории за изпитване на иновативни решения в контролирана и сигурна среда, по-специално с цел подобряване на функционалността, защитата на личните данни, сигурността и оперативната съвместимост на решенията и за предоставяне на информация за бъдещи актуализации на техническите позовавания и правните изисквания. Тази среда следва да насърчава включването на МСП, новосъздадени предприятия и индивидуални новатори и изследователи, както и съответните заинтересовани страни от промишлеността. Тези инициативи следва да допринасят за и да укрепват регулаторното съответствие и техническата стабилност на европейските портфейли за цифрова самоличност, които ще бъдат предоставяни на гражданите на Съюза и пребиваващите в Съюза лица, като по този начин се възпрепятства разработването на решения, които не са в съответствие с правото на Съюза в областта на защитата на данните или са отворени за уязвимости по отношение на сигурността.

(37)

Регламент (ЕС) 2019/1157 на Европейския парламент и на Съвета (11) подсилва сигурността на личните карти с подобрени защитни характеристики от август 2021 г. Държавите членки следва да разгледат възможността да извършват уведомяване за тях в рамките на схеми за електронна идентификация с цел разширяване на трансграничната достъпност на средствата за електронна идентификация.

(38)

Процесът на уведомяване за схемите за електронна идентификация следва да бъде опростен и ускорен, за да се поощри достъпът до удобни, надеждни, сигурни и иновативни решения за удостоверяване на автентичност и идентификация и, когато е целесъобразно, да се насърчат частните доставчици на самоличност да предлагат схеми за електронна идентификация на органите на държавите членки, за които да се извърши уведомяване като национални схеми за електронна идентификация съгласно Регламент (ЕС) № 910/2014.

(39)

Рационализирането на настоящите процедури за уведомяване и партньорски проверки ще предотврати разнородните подходи към оценката на различните схеми за електронна идентификация, за които е извършено уведомяване, и ще улесни изграждането на доверие между държавите членки. Новите опростени механизми са предназначени да насърчават сътрудничеството между държавите членки в областта на сигурността и оперативната съвместимост на техните схеми за електронна идентификация, за които е извършено уведомяване.

(40)

Държавите членки следва да се възползват от нови, гъвкави инструменти, които да гарантират спазването на изискванията на настоящия регламент и на съответните актове за изпълнение, приети съгласно него. Настоящият регламент следва да позволи на държавите членки да използват доклади и оценки, изготвени от акредитирани органи за оценяване на съответствието, както е предвидено в контекста на схемите за сертифициране, които ще бъдат създадени на равнището на Съюза съгласно Регламент (ЕС) 2019/881, в подкрепа на своите твърдения относно съответствието на схемите или на части от тях с Регламент (ЕС) № 910/2014.

(41)

Доставчиците на обществени услуги използват данните за идентификация на лица, предоставени чрез средствата за електронна идентификация съгласно Регламент (ЕС) № 910/2014, за да сверят електронната самоличност на ползватели от други държави членки с данните за идентификация на лице, предоставени на тези ползватели в държавата членка, която извършва трансграничното сверяване на самоличността. В много случаи обаче, въпреки използването на минималния набор от данни, предоставени в рамките на схемите за електронна идентификация, за които е извършено уведомяване, за да се гарантира точното сверяване на самоличността, когато държавите членки действат като доверяващи се страни, се изискват допълнителна информация за ползвателя и специфични допълнителни процедури за уникална идентификация, които да се извършат на национално равнище. За да се подкрепи допълнително използваемостта на средствата за електронна идентификация, да се предоставят по-добри обществени услуги онлайн и да се повиши правната сигурност по отношение на електронната самоличност на ползвателите, Регламент (ЕС) № 910/2014 следва да изисква от държавите членки да предприемат конкретни онлайн мерки, за да гарантират недвусмисленото сверяване на самоличността, когато ползвателите възнамеряват да получат онлайн достъп до трансгранични обществени услуги.

(42)

При разработването на европейски портфейли за цифрова самоличност е от съществено значение да се вземат предвид потребностите на ползвателите. Следва да има случаи на пълноценно използване и онлайн услуги, които да разчитат на наличието на европейски портфейли за цифрова самоличност. За удобство на ползвателите и за да се гарантира наличието на такива услуги в трансграничен контекст, е важно да се предприемат действия за улесняване на подобен подход към проектирането, разработването и въвеждането на онлайн услуги във всички държави членки. Необвързващите насоки за това как да бъдат проектирани, разработвани и прилагани онлайн услуги, разчитащи на европейските портфейли за цифрова самоличност, имат потенциала да се превърнат в полезен инструмент за постигането на тази цел. Тези насоки следва да бъдат изготвени, като се взема предвид рамката за оперативна съвместимост на Съюза. Държавите членки следва да играят водеща роля в приемането на тези насоки.

(43)

В съответствие с Директива (ЕС) 2019/882 на Европейския парламенти и на Съвета (12) хората с увреждания следва да могат да използват европейски портфейли за цифрова самоличност, удостоверителни услуги и продукти за крайните ползватели, използвани за предоставянето на тези услуги, наравно с останалите ползватели.

(44)

За да се гарантира ефективното прилагане на настоящия регламент, следва да се установи минимум за максималния размер на административни глоби както за доставчиците на квалифицирани, така и за доставчиците на неквалифицирани удостоверителни услуги. Държавите членки следва да предвидят ефективни, пропорционални и възпиращи санкции. При определянето на санкциите следва надлежно да се вземат предвид размерът на засегнатите субекти, техните бизнес модели и тежестта на нарушенията.

(45)

Държавите членки следва да установят правила относно санкциите за нарушения, например преки или непреки практики, водещи до объркване между неквалифицирани и квалифицирани удостоверителни услуги или до злоупотреба с марката за доверие на ЕС от доставчици на неквалифицирани удостоверителни услуги. Марката за доверие на ЕС не следва да се използва при условия, които пряко или косвено водят до възприятието, че неквалифицираните удостоверителни услуги, предлагани от тези доставчици, са квалифицирани.

(46)

Настоящият регламент не следва да обхваща аспекти, свързани със сключването и действителността на договори или други правни задължения, когато в правото на Съюза или в националното право са предвидени изисквания по отношение на формата. Освен това той не следва да засяга националните изисквания за формата, които се отнасят до публичните регистри, и по-конкретно търговските и поземлените регистри.

(47)

Предоставянето и използването на удостоверителни услуги и ползите от гледна точка на удобството и правната сигурност в контекста на трансграничните сделки, по-специално при използването на квалифицирани удостоверителни услуги, придобиват все по-голямо значение за международната търговия и сътрудничество. Международните партньори на Съюза създават рамки за удостоверяване, вдъхновени от разпоредбите на Регламент (ЕС) № 910/2014. За да се улесни признаването на квалифицираните удостоверителни услуги и на техните доставчици, Комисията може да приема актове за изпълнение за определяне на условията, при които рамките за удостоверяване на трети държави могат да се считат за еквивалентни на рамката за удостоверяване за квалифицирани удостоверителни услуги и техните доставчици в настоящия регламент. Подобен подход следва да допълни възможността за взаимно признаване на удостоверителни услуги и техните доставчици, установени в Съюза и в трети държави, в съответствие с член 218 от Договора за функционирането на Европейския съюз (ДФЕС). При определянето на условията, при които рамките за удостоверяване на трети държави биха могли да се считат за еквивалентни на рамката за удостоверяване за квалифицираните удостоверителни услуги и техните доставчици съгласно Регламент (ЕС) № 910/2014, следва да се гарантира спазването на съответните разпоредби на Директива (ЕС) 2022/2555 на Европейския парламент и на Съвета (13) и на Регламент (ЕС) 2016/679, както и използването на доверителни списъци като съществени елементи за изграждането на доверие.

(48)

Настоящият регламент следва да насърчава избора и възможността за прехвърляне между европейски портфейли за цифрова самоличност, когато дадена държава членка е одобрила повече от едно решение за европейски портфейл за цифрова самоличност на своя територия. За да се избегнат ефекти на зависимост от даден доставчик в такива ситуации, когато това е технически осъществимо, доставчиците на европейски портфейли за цифрова самоличност следва, по искане на ползвателите на европейски портфейли за цифрова самоличност, да осигуряват ефективна преносимост на данните и следва да не могат да използват договорни, икономически или технически пречки за предотвратяване или възпиране на ефективното прехвърляне между различни европейски портфейли за цифрова самоличност.

(49)

За да се гарантира правилното функциониране на европейските портфейли за цифрова самоличност, доставчиците на европейски портфейли за цифрова самоличност се нуждаят от ефективна оперативна съвместимост и справедливи, разумни и недискриминационни условия, за да могат европейските портфейли за цифрова самоличност да имат достъп до специфични хардуерни и софтуерни функции на мобилните устройства. Тези компоненти биха могли да включват по-специално антени за близкополева комуникация и защитни елементи (включително универсални карти с интегрална схема, вградени защитени елементи, microSD карти и Bluetooth Low Energy). Достъпът до тези компоненти може да бъде под контрола на операторите на мобилни мрежи и производителите на оборудване. Поради това, когато е необходимо за предоставянето на услугите на европейските портфейли за цифрова самоличност, производителите на оригинално оборудване на мобилни устройства или доставчиците на електронни съобщителни услуги не следва да отказват достъп до такива компоненти. Освен това предприятията, определени за контролиращи достъпа предприятия за основни платформени услуги, изброени от Комисията съгласно Регламент (ЕС) 2022/1925 на Европейския парламент и на Съвета (14), следва да продължат да подлежат на специалните разпоредби на посочения регламент въз основа на член 6, параграф 7 от него.

(50)

С цел да се рационализират задълженията за киберсигурност, наложени на доставчиците на удостоверителни услуги, както и да се даде възможност на тези доставчици и на съответните компетентни за тях органи да се възползват от правната рамка, установена с Директива (ЕС) 2022/2555, доставчиците на удостоверителни услуги са длъжни да предприемат подходящи технически и организационни мерки съгласно посочената директива, като например мерки за справяне със сривове на системата, човешки грешки, злонамерени действия или естествени явления, за да се управляват рисковете за сигурността на мрежовите и информационните системи, които тези доставчици използват при предоставянето на своите услуги, както и да се съобщава за съществени инциденти и киберзаплахи в съответствие с въпросната директива. Що се отнася до докладването на инциденти, доставчиците на удостоверителни услуги следва да уведомяват за всички инциденти със значително отражение върху предоставянето на техните услуги, включително за инциденти, причинени от кражба или загуба на устройства, повреди по мрежови кабели или за инциденти, възникнали в контекста на идентифицирането на лица. Изискванията за управление на риска за киберсигурността и задълженията за докладване съгласно Директива (ЕС) 2022/2555 следва да се считат за допълващи изискванията, наложени на доставчиците на удостоверителни услуги съгласно настоящия регламент. Когато е целесъобразно, установените национални практики или насоки във връзка с изпълнението на изискванията за сигурност и докладване и с надзора за спазването на тези изисквания съгласно Регламент (ЕС) № 910/2014 следва да продължат да се прилагат от компетентните органи, определени съгласно Директива (ЕС) 2022/2555. Настоящият регламент не засяга задължението за уведомяване за нарушения на сигурността на личните данни съгласно Регламент (ЕС) 2016/679.

(51)

Следва да се обърне необходимото внимание на осигуряването на ефективно сътрудничество между надзорните органи, определени съгласно член 46б от Регламент (ЕС) № 910/2014, и компетентните органи, определени или създадени съгласно член 8, параграф 1 от Директива (ЕС) 2022/2555. Когато такъв надзорен орган е различен от такъв компетентен орган, те следва да си сътрудничат тясно и своевременно чрез обмен на съответната информация, за да се гарантира ефективен надзор и спазване от страна на доставчиците на удостоверителни услуги на изискванията, предвидени в Регламент (ЕС) № 910/2014 и в Директива (ЕС) 2022/2555. По-специално надзорните органи, определени съгласно Регламент (ЕС) № 910/2014, следва да имат право да изискват от компетентните органи, определени или създадени съгласно Директива (ЕС) 2022/2555, да предоставят съответната информация, необходима за предоставянето на квалифициран статут и за извършването на надзорни действия за проверка на спазването от доставчиците на удостоверителни услуги на съответните изисквания съгласно Директива (ЕС) 2022/2555, или да изискват от съответните доставчици да отстранят несъответствието.

(52)

Особено важно е да се предвиди правна рамка, която да улеснява трансграничното признаване между съществуващите национални правни системи, във връзка с услугите за електронна препоръчана поща. Тази рамка би могла да открие и нови пазарни възможности за доставчиците на удостоверителни услуги от Съюза за предлагане на нови услуги за електронна препоръчана поща в целия Съюз. За да се гарантира, че данните, използващи квалифицирана услуга за електронна препоръчана поща, се предоставят на правилния адресат, квалифицираните услуги за електронна препоръчана поща следва да гарантират с пълна сигурност идентификацията на адресата, като същевременно висока степен на увереност би била достатъчна по отношение на идентифицирането на изпращача. Държавите членки следва да насърчават доставчиците на квалифицирани услуги за електронна препоръчана поща да осигурят оперативна съвместимост на услугите си с квалифицираните услуги за електронна препоръчана поща, предоставяни от други доставчици на квалифицирани удостоверителни услуги, с цел лесно прехвърляне на регистрираните електронни данни между двама или повече доставчици на квалифицирани удостоверителни услуги и насърчаване на лоялните практики на вътрешния пазар.

(53)

В повечето случаи гражданите на Съюза и пребиваващите в Съюза лица не могат да обменят през границите цифрова информация, свързана със самоличността им, като например адрес, възраст, професионална квалификация, свидетелство за управление на МПС и други разрешения и данни за плащания, по сигурен начин и с високо равнище на защита на данните.

(54)

Следва да е възможно да се издават и обработват надеждни електронни атрибути и да се допринася за намаляване на административната тежест, като се дава право на гражданите на Съюза и пребиваващите в Съюза лица да ги използват в своите частни и публични трансакции. Гражданите на Съюза и пребиваващите в Съюза лица следва да могат например да докажат, че притежават валидно свидетелство за управление на МПС, издадено от орган в държава членка, което може да бъде проверено в удовлетворителна за съответните органи в други държави членки степен, както и да разчитат на своите свидетелства в областта на социалното осигуряване или на бъдещи цифрови документи за пътуване в контекста на трансгранична употреба.

(55)

Всеки доставчик на услуги, който издава удостоверени атрибути в електронна форма, като дипломи, лицензи, удостоверения за раждане или правомощия и пълномощия да се представлява или да се действа от името на физически или юридически лица, следва да се счита за доставчик на удостоверителни услуги за електронно удостоверяване на атрибути. Правното действие на едно електронно удостоверение за атрибути не следва да се оспорва на основание, че то е в електронна форма или че не отговоря на изискванията за квалифицирано електронно удостоверение за атрибути. Следва да бъдат определени общи изисквания, за да се гарантира, че квалифицираното електронно удостоверение за атрибути има равностойно правно действие на това на законно издадени удостоверения на хартиен носител. Тези изисквания обаче следва да се прилагат, без да се засяга правото на Съюза или националното право, определящо допълнителни специфични за сектора изисквания по отношение на формата с основното правно действие, и по-специално трансграничното признаване на квалифицираното електронно удостоверение за атрибути, според случая.

(56)

Широката достъпност и използваемост на европейските портфейли за цифрова самоличност следва да повиши тяхното приемане и доверието в тях както от страна на физическите лица, така и от страна на частните доставчици на услуги. Поради това частните доверяващи се страни, предоставящи услуги например в областта на транспорта, енергетиката, банковото дело и финансовите услуги, социалната сигурност, здравеопазването, питейната вода, пощенските услуги, цифровата инфраструктура, далекосъобщенията или образованието, следва да приемат използването на европейски портфейли за цифрова самоличност за предоставянето на услуги, при които съгласно правото на Съюза или националното право или по силата на договорно задължение се изисква строго удостоверяване на автентичността на ползвателите за онлайн идентификация. Всяко искане от доверяващата се страна за информация от ползвателя на европейски портфейл за цифрова идентификация следва да бъде необходимо и пропорционално на предвидената употреба в даден случай, да е в съответствие с принципа за свеждане на данните до минимум и да гарантира прозрачност по отношение на това кои данни се споделят и за какви цели. За да се улесни използването и приемането на европейските портфейли за цифрова самоличност, при тяхното въвеждане следва да се вземат предвид широко приетите промишлени стандарти и спецификации.

(57)

Когато много големи онлайн платформи по смисъла на член 33, параграф 1 от Регламент (ЕС) 2022/2065 на Европейския парламент и на Съвета (15) изискват от ползвателите да бъдат с удостоверена автентичност, за да получат достъп до онлайн услуги, от тези платформи следва да се изисква да приемат използването на европейски портфейли за цифрова самоличност по доброволно искане на ползвателя. Ползвателите не следва да бъдат задължени да използват европейски портфейл за цифрова самоличност за достъп до частни услуги и не следва да бъдат ограничавани или възпрепятствани в достъпа си до услуги на основание, че не използват европейски портфейл за цифрова самоличност. Ако обаче ползвателите желаят това, много големите онлайн платформи следва да ги приемат за тази цел, като същевременно спазват принципа за свеждане на данните до минимум и правото на ползвателите да използват свободно избрани псевдоними. Като се има предвид значението на много големите онлайн платформи поради техния обхват, обусловен от броя на ползвателите на услугата и на икономическите взаимодействия, задължението за приемане на европейски портфейли за цифрова самоличност е необходимо, за да се повиши защитата на ползвателите от измами и да се осигури високо равнище на защита на данните.

(58)

Следва да бъдат разработени кодекси за поведение на равнището на Съюза, за да се подпомогне широката достъпност и използваемост на средствата за електронна идентификация, включително на европейските портфейли за цифрова самоличност, попадащи в обхвата на настоящия регламент. Кодексите за поведение следва да улеснят широкото приемане на средствата за електронна идентификация, включително европейските портфейли за цифрова самоличност, от страна на доставчиците на услуги, които не се определят като много големи платформи и които разчитат за удостоверяването на автентичността на ползвателите на услуги за електронна идентификация, предлагани от трети страни.

(59)

Избирателното разкриване е понятие, съгласно което собственика на данни има право да разкрива само определени части от по-голям набор от данни, за да може получаващият субект да получи само информацията, която е необходима за предоставянето на услуга, поискана от ползвател. Европейският портфейл за цифрова самоличност следва технически да дава възможност за избирателно разкриване на атрибути на доверяващи се страни. За ползвателя следва да бъде технически възможно избирателно да разкрива атрибути, включително от множество отделни електронни удостоверения и безпроблемно да ги комбинира и представя на доверяващите се страни. Тази характеристика следва да се залага още на етапа на проектиране на европейските портфейли за цифрова самоличност, като по този начин се подобрява удобството и защитата на личните данни, включително свеждането на данните до минимум.

(60)

Освен ако специални правила на правото на Съюза или националното право не изискват от ползвателите да се идентифицират, достъпът до услуги под псевдоним не следва да бъде забранен.

(61)

Атрибутите, предоставяни от доставчиците на квалифицирани удостоверителни услуги като част от квалифицираното удостоверение за атрибути, следва да бъдат проверявани спрямо автентичните източници пряко от доставчика на квалифицирани удостоверителни услуги или чрез определени посредници, признати на национално равнище в съответствие с правото на Съюза или националното право, с цел да се гарантира сигурен обмен на удостоверени атрибути между доставчици на услуги за самоличност или за удостоверяване на атрибути и доверяващи се страни. Държавите членки следва да създадат подходящи механизми на национално равнище, за да гарантират, че доставчиците на квалифицирани удостоверителни услуги, издаващи квалифицирани електронни удостоверения за атрибути, могат, въз основа на съгласието на лицето, на което се издава удостоверение, да проверяват автентичността на атрибутите, като разчитат на автентични източници. Следва да е възможно подходящите механизми да включват използването на конкретни посредници или технически решения в съответствие с националното право, позволяващи достъп до автентични източници. Осигуряването на механизъм, който дава възможност за проверка на атрибутите спрямо автентични източници, има за цел да улесни доставчиците на квалифицирани удостоверителни услуги, издаващи квалифицирани електронни удостоверения за атрибути, да спазват задълженията си съгласно Регламент (ЕС) № 910/2014. Ново приложение към посочения регламент следва да съдържа списък на категориите атрибути, по отношение на които държавите членки гарантират, че са взети мерки, позволяващи на доставчиците на квалифицирани електронни удостоверения за атрибути да проверяват по електронен път, по искане на ползвателя, тяхната автентичност спрямо съответния автентичен източник.

(62)

Сигурната електронна идентификация и предоставянето на удостоверяване на атрибути следва да осигурят допълнителна гъвкавост и решения за сектора на финансовите услуги, за да се даде възможност за идентифицирането на клиентите и обмена на специфични атрибути, които са необходими например за спазване на изискванията за комплексна проверка на клиента съгласно бъдещия регламент за създаване на Органа за борба с изпирането на пари, на изискванията за пригодност, съдържащи се в правото за защита на инвеститорите, или за подпомагане на изпълнението на изискванията за строго удостоверяване на автентичността на клиента за онлайн идентификация за целите на влизане в профила и възлагане на трансакции в областта на платежните услуги.

(63)

Правното действие на електронния подпис не следва да бъде оспорвано на основанието, че той е в електронна форма или че не отговоря на изискванията за квалифицирания електронен подпис. Правното действие на електронните подписи обаче се установява от националното право, с изключение на включените в настоящия регламент изисквания, според които правното действие на квалифицирания електронен подпис трябва да се счита равностойно на правното действие на саморъчния подпис.. При определянето на правното действие на електронните подписи държавите членки следва да вземат предвид принципа на пропорционалност между правната стойност на документа, който трябва да бъде подписан, нивото на сигурност и необходимите разходи във връзка с електронния подпис. За да се повиши достъпността и употребата на електронните подписи, държавите членки се насърчават да обмислят използването на усъвършенствани електронни подписи при извършването на ежедневни трансакции, за които те предоставят достатъчно ниво на сигурност и доверие.

(64)

За да се гарантира съгласуваността на практиките за сертифициране в целия Съюз, Комисията следва да издаде насоки относно сертифицирането и повторното сертифициране на устройствата за създаване на квалифициран електронен подпис и на устройствата за създаване на квалифициран електронен печат, включително относно тяхната валидност и ограничения във времето. Настоящият регламент не възпрепятства публичноправните или частните организации, които имат сертифицирани устройства за създаване на квалифициран електронен подпис, временно повторно да сертифицират тези устройства за кратък период на сертифициране, въз основа на резултатите от предишния процес на сертифициране, когато повторното сертифициране не може да бъде извършено в рамките на законово определения срок поради причина, различна от пробив в сигурността или друг инцидент, свързан със сигурността, без да се засяга задължението за извършване на оценка на уязвимостта и без да се засяга приложимата практика по сертифициране.

(65)

Издаването на удостоверения за автентичността на уебсайтове има за цел да се даде на ползвателите висока степен на увереност относно самоличността на субекта зад уебсайта, независимо от платформата, използвана за показване на тази самоличност. Тези удостоверения следва да допринасят за изграждането на доверие в осъществяването на стопанска дейност онлайн, тъй като ползвателите ще имат доверие в уебсайт, чиято автентичност е била удостоверена. Използването на такива удостоверения следва да бъде доброволно за уебсайтовете. С цел удостоверяването на автентичността на уебсайт да се превърне в средство за повишаване на доверието, подобряване на работата на ползвателя с уебсайта и за насърчаване на растежа в рамките на вътрешния пазар, с настоящия регламент следва да се установи рамка за удостоверяване, включваща минимални задължения за сигурност и отговорност за доставчиците на квалифицирани удостоверения за автентичността на уебсайтове и изисквания за издаването на тези удостоверения. Националните доверителни списъци следва да потвърждават квалифицирания статут на услугите за удостоверяване на автентичността на уебсайтове и на техните доставчици на удостоверителни услуги, включително пълното им съответствие с изискванията на настоящия регламент по отношение на издаването на квалифицирани удостоверения за автентичност на уебсайтове. Признаването на квалифицирани удостоверения за автентичност на уебсайтове означава, че доставчиците на уеб браузъри следва да не отричат автентичността на квалифицираните удостоверения за автентичността на уебсайтове единствено с цел удостоверяване на връзката между името на домейна на уебсайта и физическото или юридическото лице, на което се издава удостоверението или потвърждаването на самоличността на това лице. Доставчиците на уеб браузъри следва да показват сертифицираните данни за самоличност и другите удостоверени атрибути на крайния ползвател по лесен за ползване начин в браузърната среда чрез технически средства по свой избор. За тази цел доставчиците на уеб браузъри следва да осигурят поддържка и оперативна съвместимост с квалифицирани удостоверения за автентичност на уебсайтове, издадени в пълно съответствие с настоящия регламент. Задължението за признаване и оперативна съвместимост и поддръжката на квалифицирани удостоверения за автентичност на уебсайтове не засяга свободата на доставчиците на уеб браузъри да гарантират уеб сигурността, удостоверяването на автентичността на домейна и криптирането на уеб трафика по начин и чрез технология, които те считат за най-подходящи. За да допринесат за сигурността онлайн на крайните ползватели, доставчиците на уеб браузъри следва при изключителни обстоятелства да могат да предприемат предпазни мерки, които са едновременно необходими и пропорционални в отговор на основателни опасения във връзка с пробив в сигурността или загуба на целостта на идентифицирано удостоверение или набор от удостоверения. Когато предприемат такива предпазни мерки, доставчиците на уеб браузъри следва да уведомят без неоснователно забавяне Комисията, националния надзорен орган, субекта, на който е издадено удостоверението, и доставчика на квалифицирани удостоверителни услуги, издал удостоверението или набора от удостоверения, за всякакви опасения по отношение на пробив в сигурността или загуба на целостта, както и за предприетите мерки във връзка с дадено удостоверение или набор от удостоверения. Тези мерки не следва да засягат задължението на доставчиците на уеб браузери да се признават квалифицираните удостоверения за автентичност на уебсайтове в съответствие с националните доверителни списъци. За да се защитят допълнително гражданите на Съюза и пребиваващите в Съюза лица и да се насърчи използването на квалифицирани удостоверения за автентичност на уебсайтове, публичните органи в държавите членки следва да обмислят включването на квалифицирани удостоверения за автентичност на уебсайтове в своите уебсайтове. Мерките, предвидени в настоящия регламент, които имат за цел да се постигне по-голяма съгласуваност между различните подходи и практики на държавите членки по отношение на надзорните процедури, имат за цел да допринесат за повишаване на доверието в сигурността, качеството и наличието на квалифицирани удостоверения за автентичност на уебсайтове.

(66)

Много държави членки въведоха национални изисквания за услуги, предоставящи сигурно и надеждно електронно архивиране, за да се даде възможност за дългосрочно съхранение на електронни данни и електронни документи и за свързаните с него удостоверителни услуги. За да се гарантира правна сигурност, доверие и хармонизация във всички държави членки, следва да се създаде правна рамка за квалифицирани услуги за електронно архивиране, вдъхновена от рамката на другите удостоверителни услуги, определени в настоящия регламент. Правната рамка за квалифицирани услуги за електронно архивиране следва да предлага на доставчиците и ползвателите на удостоверителни услуги ефективен инструментариум, който включва функционални изисквания за услугата за електронно архивиране, както и ясно правно действие, когато се използва квалифицирана услуга за електронно архивиране. Тези разпоредби следва да се прилагат за електронни данни и електронни документи, създадени в електронна форма, както и за създадени на хартиен носител документи, които са сканирани и цифровизирани. Когато е необходимо, тези разпоредби следва да позволяват съхранените електронни данни и електронни документи да бъдат пренасяни на различни носители и в различни формати с цел удължаване на тяхната трайност и четливост след периода на технологичната им валидност, като същевременно се предотвратява тяхното загубване и изменение във възможно най-голяма степен. Когато електронните данни и електронните документи, предоставени на услугата за електронно архивиране, съдържат един или повече квалифицирани електронни подписи или квалифицирани електронни печати, услугата следва да използва процедури и технологии, които могат да удължат тяхната надеждност за периода на съхранение на тези данни, като евентуално се разчита на използването на други квалифицирани удостоверителни услуги, създадени с настоящия регламент. За създаването на доказателства за съхранение, когато се използват електронни подписи, електронни печати или електронни времеви печати, следва да се използват квалифицирани удостоверителни услуги. Доколкото услугите за електронно архивиране не са хармонизирани с настоящия регламент, държавите членки следва да могат да запазят или въведат свързани с тези услуги национални разпоредби, в съответствие с правото на Съюза, например специални разпоредби за услуги, интегрирани в дадена организация и използвани само за вътрешните архиви на тази организация. Настоящият регламент не следва да прави разграничение между електронни данни и електронни документи, създадени в електронна форма, и документи на хартиен носител, които са били цифровизирани.

(67)

Дейностите на националните архиви и институции на паметта, в качеството им на специализирани организации за опазване на документалното наследство в името на обществения интерес, обикновено се уреждат от националното право и тези организации не предоставят непременно удостоверителни услуги по смисъла на настоящия регламент. Доколкото тези институции не предоставят такива услуги, настоящият регламент не засяга тяхната дейност.

(68)

Електронните регистри са поредица от електронни записи на данни, които следва да гарантират тяхната цялост и точността на хронологичната им подредба. Електронните регистри следва да установят хронологична последователност на записите на данни. Заедно с други технологии те следва да способстват за решения за по-ефективни и преобразуващи публични услуги, например електронно гласуване, трансгранично сътрудничество между митническите органи, трансгранично сътрудничество между академичните институции и вписване на собственост върху недвижимо имущество в децентрализирани поземлени регистри. Квалифицираните електронни регистри следва да установят законова презумпция за уникална и точна последователна хронологична подредба и цялост на записите на данни в регистъра. Поради своите особености, като например последователната хронологична подредба на записите на данни, електронните регистри следва да се разграничават от други удостоверителни услуги, като например електронни времеви печати и услуги за електронна препоръчана поща. За да се гарантира правна сигурност и да се насърчат иновациите, следва да се създаде правна рамка за целия Съюз, която да предвижда трансгранично признаване на удостоверителни услуги за записването на данни в електронни регистри. Това следва в достатъчна степен да предотврати копирането и продажбата на един и същ цифров актив повече от веднъж на различни страни. Процесът на създаване и актуализиране на електронен регистър зависи от вида на използвания регистър, а именно дали е централизиран или разпределен. Настоящият регламент следва да гарантира технологична неутралност, а именно нито облагодетелстване, нито дискриминиране на която и да е технология, използвана за прилагане на новата удостоверителна услуга за електронни регистри. Освен това при изготвянето на актовете за изпълнение, с които се уточняват изискванията за квалифицирани електронни регистри, Комисията следва да вземе предвид показателите за устойчивост по отношение на всички неблагоприятни въздействия върху климата или други свързани с околната среда неблагоприятни въздействия, като използва подходящи методики.

(69)

Ролята на доставчиците на удостоверителни услуги за електронни регистри следва да бъде да следят за последователното записване на данните в регистъра. Настоящият регламент не засяга правните задължения на ползвателите на електронни регистри съгласно правото на Съюза или националното право. Например, случаите на употреба, които включват обработването на лични данни, следва да са в съответствие с Регламент (ЕС) 2016/679, а случаите, свързани с финансовите услуги, следва да са в съответствие с приложимото право на Съюза в областта на финансовите услуги.

(70)

С цел да се избегнат разпокъсаност и пречки на вътрешния пазар, дължащи се на разнопосочни стандарти и технически ограничения, и да се осигури координиран процес с цел избягване на отрицателни последици за прилагането на европейската рамка за цифрова самоличност, е необходим процес на тясно и структурирано сътрудничество между Комисията, държавите членки, гражданското общество, представителите на академичните среди и частния сектор. За постигането на тази цел държавите членки и Комисията следва да си сътрудничат в рамката, определена в Препоръка (ЕС) 2021/946 на Комисията (16), за да определят общ инструментариум на Съюза за европейската рамка за цифрова самоличност. Във връзка с това държавите членки следва да постигнат съгласие относно всеобхватна техническа архитектура и референтна рамка, набор от общи стандарти и технически позовавания, включително и признати съществуващи стандарти, и набор от насоки и описания на най-добри практики, обхващащи най-малко функционирането и оперативната съвместимост на европейските портфейли за цифрова самоличност, включително електронните подписи, и на доставчиците на квалифицираната удостоверителна услуга за електронно удостоверяване на атрибути, както е посочено в настоящия регламент. В този контекст държавите членки следва също така да постигнат съгласие по общите елементи на бизнес модела и структурата на таксите на европейските портфейли за цифрова самоличност, за да се улесни възприемането им, по-специално от МСП, в трансграничен контекст. Съдържанието на инструментариума следва да се развива успоредно с обсъждането и процеса на приемане на европейската рамка за цифрова самоличност и да отразява резултатите от тях.

(71)

Настоящият регламент предвижда хармонизирано равнище на качество, надеждност и сигурност на квалифицираните удостоверителни услуги, независимо къде се извършват операциите. Следователно, на доставчик на квалифицирани удостоверителни услуги следва да бъде разрешено да възлага на външни изпълнители своите операции, свързани с предоставянето на квалифицирана удостоверителна услуга, в трета държава, ако тази трета държава предоставя адекватни гаранции, че прилагането на надзорните дейности и одитите е осигурено така, сякаш тези операции се извършват в Съюза. Когато спазването на настоящия регламент не може да бъде напълно гарантирано, надзорните органи следва да могат да приемат пропорционални и обосновани мерки, включително отнемането на квалифицирания статут на предоставяната удостоверителна услуга.

(72)

За да се гарантира правна сигурност по отношение на валидността на усъвършенстваните електронни подписи въз основа на квалифицирани удостоверения, от съществено значение е да се уточни оценката на доверяващата се страна, извършваща валидирането на този усъвършенстван електронен подпис въз основа на квалифицирани удостоверения.

(73)

Доставчиците на удостоверителни услуги следва да използват криптографски методи, отразяващи настоящите най-добри практики и надеждното прилагане на тези алгоритми, за да гарантират сигурността и надеждността на своите удостоверителни услуги.

(74)

В настоящия регламент се установява задължение за доставчиците на квалифицирани удостоверителни услуги да проверяват самоличността на физическото или юридическото лице, на което е издадено квалифицираното удостоверение или квалифицираното електронно удостоверение за атрибут, въз основа на различни хармонизирани методи в целия Съюза. За да се гарантира, че квалифицираните удостоверения и квалифицираните електронни удостоверения за атрибути се издават на лицето, на което принадлежат, и че те удостоверяват правилния и уникален набор от данни, представляващи самоличността на това лице, доставчиците на квалифицирани удостоверителни услуги, издаващи квалифицирани удостоверения или издаващи квалифицирани електронни удостоверения за атрибути, следва в момента на издаването на тези удостоверения и удостоверения за атрибути да гарантират с пълна сигурност идентификацията на това лице. Освен това, в допълнение към задължителната проверка на самоличността на лицето, ако е приложимо за издаването на квалифицирани удостоверения и при издаването на квалифицирано електронно удостоверение за атрибути, доставчиците на квалифицирани удостоверителни услуги следва да гарантират с пълна сигурност истинността и точността на удостоверените атрибути на лицето, на което се издава квалифицираното удостоверение или квалифицираното електронно удостоверение за атрибути. Тези задължения за резултат и пълна сигурност при проверката на удостоверените данни следва да бъдат подкрепени с подходящи средства, включително чрез използване на един или, когато е необходимо, комбинация от специфични методи, предвидени в настоящия регламент. Следва да бъде възможно съчетаването на тези методи, за да се осигури подходяща основа за проверка на самоличността на лицето, на което се издава квалифицираното удостоверение или квалифицираното електронно удостоверение за атрибути. Следва да е възможно тази комбинация да включва използването на средства за електронна идентификация, които отговарят на изискванията за ниво на осигуреност „значително“ в комбинация с други средства за проверка на самоличността, което би позволило изпълнението на хармонизираните изисквания, определени в настоящия регламент по отношение на нивото на осигуреност „високо“ като част от допълнителни хармонизирани процедури от разстояние, гарантиращи идентифицирането с висока степен на надеждност. Тези методи следва да включват възможността доставчикът на квалифицирани удостоверителни услуги, издаващ квалифицирано електронно удостоверение за атрибути, да проверява атрибутите, които трябва да бъдат удостоверени по електронен път по искане на ползвателя в съответствие с правото на Съюза или националното право, включително като ги съпоставя с автентични източници.

(75)

За да се поддържа настоящият регламент в съответствие с новостите в световен мащаб и за да се следват най-добрите практики на вътрешния пазар, делегираните актове и актовете за изпълнение, приети от Комисията, следва да се преразглеждат и при необходимост редовно да се актуализират. При оценката на необходимостта от тези актуализации следва да се вземат предвид новите технологии, практики, стандарти или технически спецификации.

(76)

Доколкото целите на настоящия регламент, а именно разработването на обща за целия Съюз европейска рамка за цифрова самоличност и на рамка за удостоверителни услуги, не могат да бъдат постигнати в достатъчна степен от държавите членки, а поради мащаба и въздействието им, могат да бъдат по-добре постигнати на равнището на Съюза, Съюзът може да приема мерки в съответствие с принципа на субсидиарност, уреден в член 5 от Договора за Европейския съюз. В съответствие с принципа на пропорционалност, уреден в същия член, настоящият регламент не надхвърля необходимото за постигането на тези цели.

(77)

В съответствие с член 42, параграф 1 от Регламент (ЕС) 2018/1725 беше проведена консултация с Европейския надзорен орган по защита на данните.

(78)

Поради това Регламент (ЕС) № 910/2014 следва да бъде съответно изменен,

1)

Член 1 се заменя със следното:

2)

Член 2 се изменя, както следва:

3)

Член 3 се изменя, както следва:

4)

Член 5 се заменя със следното:

5)

В глава II се вмъква следният раздел:

(*2)  Директива (ЕС) 2019/882 на Европейския парламент и на Съвета от 17 април 2019 г. за изискванията за достъпност на продукти и услуги (OB L 151, 7.6.2019 г., стр. 70)."

(*3)  Регламент (ЕС) 2019/881 на Европейския парламент и на Съвета от 17 април 2019 г. относно ENISA (Агенцията на Европейския съюз за киберсигурност) и сертифицирането на киберсигурността на информационните и комуникационните технологии, както и за отмяна на Регламент (ЕС) № 526/2013 (Акт за киберсигурността) (ОВ L 151, 7.6.2019 г., стр. 15)."

(*4)  Препоръка 2003/361/ЕО на Комисията от 6 май 2003 г. относно определението за микро-, малки и средни предприятия (ОВ L 124, 20.5.2003 г., стр. 36)."

(*5)  Регламент (ЕС) 2022/2065 на Европейския парламент и на Съвета от 19 октомври 2022 г. относно единния пазар на цифрови услуги и за изменение на Директива 2000/31/ЕО (Акт за цифровите услуги) (ОВ L 277, 27.10.2022 г., стр. 1).“ "

6)

Преди член 6 се вмъква следното заглавие:

7)

В член 7 буква ж) се заменя със следното:

8)

В член 8, параграф 3 първата алинея се заменя със следното:

9)

В член 9 параграфи 2 и 3 се заменят със следното:

10)

В член 10 заглавието се заменя със следното:

„Пробив в сигурността на схемите за електронна идентификация“

11)

Вмъква се следният член:

12)

Член 12 се изменя, както следва:

13)

В глава II се вмъкват следните членове:

(*6)  Регламент (ЕС) 2022/1925 на Европейския парламент и на Съвета от 14 септември 2022 г. за достъпни и справедливи пазари в цифровия сектор и за изменение на директиви (EС) 2019/1937 и (ЕС) 2020/1828 (Акт за цифровите пазари) (ОВ L 265, 12.10.2022 г., стр. 1).“ "

14)

В член 13 параграф 1 се заменя със следното:

15)

Членове 14, 15 и 16 се заменят със следното:

(*7)  Директива (ЕС) 2022/2555 на Европейския парламент и на Съвета от 14 декември 2022 г. относно мерки за високо общо ниво на киберсигурност в Съюза, за изменение на Регламент (ЕС) № 910/2014 и Директива (ЕС) 2018/1972 и за отмяна на Директива (ЕС) 2016/1148 (Директива МИС 2) (ОВ L 333, 27.12.2022 г., стр. 80).“ "

16)

В глава III, раздел 2 заглавието се заменя със следното:

„Неквалифицирани удостоверителни услуги“

17)

Членове 17 и 18 се заличават

18)

В глава III, раздел 2 се вмъква следният член:

19)

Член 20 се изменя, както следва:

20)

Член 21 се изменя, както следва:

21)

Член 24 се изменя, както следва:

22)

В глава III, раздел 3 се вмъква следният член:

23)

В член 25 параграф 3 се заличава

24)

Член 26 се изменя, както следва:

25)

В член 27 параграф 4 се заличава

26)

В член 28 параграф 6 се заменя със следното:

27)

В член 29 се вмъква следният параграф:

28)

Вмъква се следният член:

29)

В член 30 се вмъква следният параграф:

30)

В член 31 параграф 3 се заменя със следното:

31)

Член 32 се изменя, както следва:

32)

Вмъква се следният член:

33)

В член 33 параграф 2 се заменя със следното:

34)

Член 34 се изменя, както следва:

35)

В член 35 параграф 3 се заличава

36)

Член 36 се изменя, както следва:

37)

В член 37 параграф 4 се заличава

38)

В член 38 параграф 6 се заменя със следното:

39)

Вмъква се следният член:

40)

В глава III, раздел 5 се вмъква следният член:

41)

В член 41 параграф 3 се заличава

42)

Член 42 се изменя, както следва:

43)

Член 44 се изменя, както следва:

44)

Член 45 се заменя със следното:

45)

Вмъква се следният член:

46)

В глава III се добавят следните раздели:

47)

Вмъква се следната глава:

48)

Член 47 се изменя, както следва:

49)

В глава VI се добавя следният член:

50)

Член 49 се заменя със следното:

51)

Член 51 се заменя със следното:

52)

Приложения I—IV се изменят съответно съгласно приложения I—IV към настоящия регламент

53)

Добавят се нови приложения V, VI и VII съгласно посоченото в приложения V, VI и VII към настоящия регламент.