(1)

Euroopa digiidentiteedi raamistik, mis loodi määrusega (EL) nr 910/2014, on kogu liitu hõlmava turvalise ja koostöövõimelise digiidentiteedisüsteemi loomisel üks keskseid elemente. Raamistik, mille üks nurgakividest on Euroopa digiidentiteedikukkur (edaspidi „kukkur“), taotleb eesmärki hõlbustada teenuste kättesaadavust kõigis liikmesriikides, tagades samal ajal isikuandmete ja privaatsuse kaitse.

(2)

Igasuguse isikuandmete sellise töötlemise suhtes, mis toimub käesoleva määruse raames, kohaldatakse Euroopa Parlamendi ja nõukogu määrust (EL) 2016/679 (2) ja vajaduse korral Euroopa Parlamendi ja nõukogu direktiivi 2002/58/EÜ (3).

(3)

Määruse (EL) nr 910/2014 artikli 5a lõikega 23 antakse komisjonile volitused kehtestada vajaduse korral vastavad kirjeldused ja menetlused. Seda tehakse nelja rakendusmäärusega, mis käsitlevad protokolle ja liideseid (komisjoni rakendusmäärus (EL) 2024/2982 (4)), terviklust ja tuumikfunktsioone (komisjoni rakendusmäärus (EL) 2024/2979 (5)), isikutuvastusandmeid ja elektroonilisi tõendeid (komisjoni rakendusmäärus (EL) 2024/2977 (6)) ning komisjonile saadetavaid teavitusi (komisjoni rakendusmäärus (EL) 2024/2980 (7)). Käesolevas määruses esitatakse nõuded, mis kehtivad Euroopa digiidentiteedikukrutesse väljastatavate isikutuvastusandmete ja elektrooniliste tõendite suhtes.

(4)

Komisjon hindab regulaarselt uusi tehnoloogialahendusi, tavasid, standardeid ja tehnilisi spetsifikatsioone. Et tagada kukrute arendamise ja sertifitseerimise jaoks kõrgeimal tasemel ühtlustamine liikmesriikide vahel, tuginevad käesolevas rakendusmääruses esitatud tehnilised spetsifikatsioonid tööle, mida on tehtud komisjoni 3. juuni 2021. aasta soovituse (EL) 2021/946 (mis käsitleb ühiseid liidu tööriistu Euroopa digiidentiteedi raamistiku koordineeritud käsitlusviisi jaoks) (8) põhjal, ja eeskätt selle osaks olevale arhitektuurile ja võrdlusraamistikule. Euroopa Parlamendi ja nõukogu määruse (EL) 2024/1183 (9) põhjenduse 75 kohaselt peaks komisjon käesoleva rakendusmääruse läbi vaatama ja seda vajaduse korral ajakohastama, et tagada kooskõla üleilmsete arengusuundumustega, arhitektuuriga ja võrdlusraamistikuga ning järgida siseturu parimaid tavasid.

(5)

Selleks et tagada lõimitud ja vaikimisi andmekaitse, tuleks kukrud varustada mitmesuguste privaatsuskaitsefunktsioonidega, et e-identimise vahendite ja elektrooniliste tõendite pakkujad ei saaks kombineerida muude teenuste osutamisel saadud isikuandmeid määruse (EL) nr 910/2014 kohaldamisalasse kuuluvate teenuste osutamise eesmärgil töödeldud isikuandmetega.

(6)

Ühtlustamise eesmärgil peaksid kõikidel kukrutel olema teatavad ühised funktsioonid, sealhulgas võimalus isikutuvastusandmeid ja elektroonilisi tõendeid kukrukasutaja ainukontrolli all turvaliselt taotleda, saada, valida, kombineerida, salvestada, kustutada, jagada ja esitada. Selleks et isikutuvastusandmeid ja elektroonilisi tõendeid oleks kindlasti võimalik töödelda kõigis kukrukomplektides, peavad kõik kukrulahendused vastama isikutuvastusandmete, atribuutide, andmevormingu ja taristu tehnilistele spetsifikatsioonidele, mis on vajalikud isikutuvastusandmete sobiliku usaldusväärsuse tagamiseks. Lisaks sellele on isikutuvastusandmete atribuutide ühiste spetsifikatsioonide eesmärk tagada, et neid andmeid saab vajadust mööda kasutada identiteedi ühitamiseks.

(7)

Liikmesriigid peavad tagama, et kukrud suudavad tuginevaid isikuid, isikutuvastusandmete pakkujaid ja elektrooniliste tõendite pakkujaid autentida sõltumata sellest, kus nad liidus on asutatud. Sel eesmärgil peaksid nimetatud üksused kasutama ennast kukrukomplekti jaoks identides kukrule tugineva isiku pääsusertifikaate. Selleks et tagada selliste sertifikaatide koostalitlusvõime kõigi liidus pakutavate kukrute puhul, peaksid kukrule tugineva isiku pääsusertifikaadid vastama ühistele standarditele. Komisjon peaks koostöös liikmesriikidega tähelepanelikult jälgima seda, kas ja kuidas töötatakse välja uusi või alternatiivseid standardeid, millele võidakse üles ehitada kukrule tugineva isiku pääsusertifikaadid. Ennekõike tuleks hinnata usaldusmudeleid, mis on liikmesriikides oma tõhusust ja turvalisust tõestanud.

(8)

Selleks et tagada kukrukasutajatele läbipaistvus, peaksid liikmesriigid avaldama teabe selle kohta, milliseid kukrulahendusi nende territooriumil asuvad isikutuvastusandmete pakkujad toetavad. Kuna kasutaja tuleb identida võimalikult suure kindlusega, tuleks kehtestada nõue, et enne isikutuvastusandmete väljastamist tuleks kukrukasutajate identiteet tõestada usaldusväärsuse üldise kõrge tasemega, mis vastab määrusega (EL) nr 910/2014 e-identimise vahendite puhul ette nähtud kõrgele usaldusväärsuse tasemele. Sel viisil tagavad kukrukomplektid kogu liidus identifitseerimisvahendite usaldusväärsuse kõrgeima võimaliku taseme. Kukrukasutajate kõrgel usaldusväärsuse tasemel liikmestamise käigus on võimalik kasutada mitut turvalist protsessi: näiteks kui on kontrollitud, et kukrukasutajal on fotoga või biomeetriline identimist võimaldav tõend, mida liikmesriik, kus e-identimise vahendi saamise taotlus esitatakse, tunnustab, kuid ei ole ise välja andnud, ja see tõend vastab väidetavale identiteedile, tuleks veenduda, et vastava autoriteetse allika andmetel on tõend kehtiv.

(9)

Koostalitlusvõime tagamiseks peaksid elektroonilised tõendid vastama vormingule esitatavatele ühtlustatud nõuetele.

(10)

Kukrukasutajate andmete kaitse ja elektrooniliste tõendite autentsuse tagamise eesmärgil tuleks enne tõendite väljastamist kukrusse rakendada mehhanisme, millega elektrooniliste tõendite pakkujad autenditakse ning millega asjaomane pakkuja kontrollib kukrukomplektide autentsust ja kehtivust.

(11)

Selleks et vältida selliste isikutuvastusandmete ja elektrooniliste tõendite kasutamist ja neile tuginemist, mis on kaotanud õigusliku kehtivuse pärast seda, kui need kukrukomplekti väljastati, peaksid isikutuvastusandmete ja elektrooniliste tõendite pakkujad avaldama põhimõtted, milles kirjeldatakse kehtetuks tunnistamise asjaolusid ja menetlusi.

(12)

Et tagada isikutuvastusandmete ühene vastavus kukrukasutajale, peaksid liikmesriigid nägema lisaks käesolevas määruses loetletud kohustuslikele isikutuvastusandmetes sisalduvatele atribuutidele ette valikulised atribuudid, mida on vaja isikutuvastusandmete komplekti kordumatuses veendumiseks.

(13)

Vastavalt Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 (10) artikli 42 lõikele 1 on konsulteeritud Euroopa Andmekaitseinspektoriga, kes esitas oma arvamuse 30. septembril 2024.

(14)

Käesoleva määrusega ette nähtud meetmed on kooskõlas määruse (EL) nr 910/2014 artiklis 48 osutatud komitee arvamusega,

1)

„kukrukasutaja“ – kasutaja, kelle kontrolli all kukrukomplekt on;

2)

„kukrukomplekt“ – kukrulahenduse kordumatu konfiguratsioon, mis sisaldab kukrueksemplare, kukru turvalisi krüptorakendusi ja kukru turvalisi krüptoseadmeid ning mida kukruteenuse pakkuja pakub individuaalsele kukrukasutajale;

3)

„kukrulahendus“ – tarkvara, riistvara, teenuste, seadete ja konfiguratsioonide kombinatsioon, sealhulgas kukrueksemplar, üks või mitu kukru turvalist krüptorakendust ja üks või mitu kukru turvalist krüptoseadet;

4)

„isikutuvastusandmete pakkuja“ – füüsiline või juriidiline isik, kelle ülesanne on isikutuvastusandmeid väljastada ja kehtetuks tunnistada ning tagada, et isikutuvastusandmed on kukrukomplektiga krüptograafiliselt seotud;

5)

„kukrukomplekti tõend“ – andmeobjekt, mis kirjeldab kukrukomplekti komponente või lubab nimetatud komponentide autentsust ja kehtivust kinnitada;

6)

„kukrueksemplar“ – kukru kasutaja seadmesse või keskkonda paigaldatud ja seal konfigureeritud rakendus, mis on kukrukomplekti osa ja mida kukru kasutaja kasutab kukrukomplektiga toimuva interaktsiooni jaoks;

7)

„kukru turvaline krüptorakendus“ – rakendus, mis haldab kriitilise tähtsusega vara selle kaudu, et on lingitud kukru turvalise krüptoseadme pakutavate krüptofunktsioonide ja muude funktsioonidega ning kasutab neid;

8)

„kukru turvaline krüptoseade“ – muukimiskindel seade, mis pakub keskkonda, mis on lingitud kukru turvalise krüptorakendusega, mis seda seadet kasutab, et kaitsta kriitilise tähtsusega vara ja pakkuda krüptofunktsioone kriitilise tähtsusega toimingute turvaliseks teostamiseks;

9)

„kukruteenuse pakkuja“ – füüsiline või juriidiline isik, kes pakub kukrulahendusi;

10)

„kriitilise tähtsusega vara“ – kukrukomplektis olev või kukrukomplektiga seotud vara, mis on nii oluline, et selle käideldavuse, konfidentsiaalsuse või tervikluse rikkumine avaldaks väga tõsist nõrgestavat mõju suutlikkusele tugineda sellele kukrukomplektile;

11)

„kukrule tuginev isik“ – tuginev isik, kes kavatseb tugineda kukrueksemplaridele avalike või erateenuste osutamiseks digitaalse suhtluse kaudu;

12)

„kukrule tugineva isiku pääsusertifikaat“ – kukrule tugineva isiku pääsusertifikaatide pakkuja poolt väljastatud e-templi või e-allkirja sertifikaat, millega kukrule tuginev isik autenditakse ja kinnitatakse;

13)

„kukrule tugineva isiku pääsusertifikaatide pakkuja“ – füüsiline või juriidiline isik, kellele liikmesriik on andnud volitused kukrule tugineva isiku pääsusertifikaatide väljastamiseks kukrule tuginevatele isikutele, kes on registreeritud selles liikmesriigis.