(1)

Selleks et registreerida vastavalt määruses (EL) nr 910/2014 nõutule tuginevaid isikuid, kes kavatsevad tugineda Euroopa digiidentiteedikukrutele (edaspidi „kukrud“) digitaalsete avalike või erateenuste osutamiseks, peaksid liikmesriigid koostama riiklikud registrid nende territooriumil asutatud kukrule tuginevatest isikutest ja neid registreid haldama.

(2)

Komisjon hindab regulaarselt uusi tehnoloogialahendusi, tavasid, standardeid ja tehnilisi spetsifikatsioone. Selleks et kukrute arendamine ja sertifitseerimine oleksid liikmesriikide vahel kõrgeimal tasemel ühtlustatud, tuginevad käesolevas rakendusmääruses esitatud tehnilised spetsifikatsioonid tööle, mida on tehtud komisjoni soovituse (EL) 2021/946 (2) põhjal, ning eeskätt selle osaks olevale arhitektuurile ja võrdlusraamistikule. Vastavalt Euroopa Parlamendi ja nõukogu määruse (EL) 2024/1183 (3) põhjendusele 75 peaks komisjon käesoleva määruse läbi vaatama ja vajaduse korral seda ajakohastama, et tagada kooskõla üleilmsete arengusuundumustega, arhitektuuriga ja võrdlusraamistikuga ja järgida siseturu parimaid tavasid.

(3)

Selleks et tagada registrite laialdane kättesaadavus ja koostalitlusvõime, peaksid liikmesriigid võtma kasutusele nii inim- kui ka masinloetavad liidesed, mis vastavad käesolevas määruses esitatud tehnilistele spetsifikatsioonidele. Kukrule tugineva isiku pääsusertifikaatide ja kukrule tugineva isiku registreerimissertifikaatide pakkujad peaksid võimaluse korral saama nende sertifikaatide väljastamisel tugineda ka nimetatud liidestele.

(4)

Kuna registreerimiskord annab kukrule tuginevatele isikutele selgeid suuniseid registreerimisprotsessi kohta, peaksid liikmesriigid kehtestama ja avaldama registreerimiskorra, mida kohaldatakse nende territooriumil loodud riiklike registrite suhtes.

(5)

Kukrule tuginevate isikute registreerimise eesmärk on suurendada usaldust kukrute kasutamise vastu suurema läbipaistvuse kaudu. Seepärast peaksid liikmesriigid tegema asjakohase teabe üldsusele kättesaadavaks nii inim- kui ka masinloetaval kujul. Selleks peaksid kukrule tuginevad isikud esitama riiklikele registritele vajaliku teabe, sealhulgas õiguse(d), mis neil on.

(6)

Lisaks peaksid kukrule tuginevad isikud läbipaistvuse huvides teada andma, kui nad kavatsevad tugineda füüsiliste isikute e-identimisele.

(7)

Selleks et registreerimisprotsess oleks kulutõhus ja riski suhtes proportsionaalne, peaksid registripidajad looma kukrutele tuginevate isikute jaoks veebipõhised ja vajaduse korral automaatsed registreerimisprotsessid, mida on lihtne kasutada. Registripidajad peaksid registreerimistaotlused põhjendamatu viivituseta läbi vaatama.

(8)

Liikmesriigid peavad tagama, et kukrud suudavad tuginevaid isikuid autentida sõltumata sellest, kus nad liidus on asutatud. Selleks peaksid kukrule tuginevad isikud kasutama ennast kukrukomplekti jaoks identides kukrule tugineva isiku pääsusertifikaate. Selleks et tagada selliste sertifikaatide koostalitlusvõime kõigi liidus pakutavate kukrute puhul, peaksid kukrule tugineva isiku pääsusertifikaadid vastama lisas esitatud ühistele nõuetele. Komisjon peaks välja töötama ühtlustatud sertifitseerimispõhimõtted ja sertifikaatide väljaandmise tavade määrangud ning liikmesriigid peaksid neid rakendama. Komisjon peaks koostöös liikmesriikidega tähelepanelikult jälgima seda, kas ja kuidas töötatakse välja uusi või alternatiivseid standardeid, mille põhjal kukrule tugineva isiku pääsusertifikaate võidakse rakendada. Ennekõike tuleks hinnata usaldusmudeleid, mis on liikmesriikides oma tõhusust ja turvalisust tõestanud.

(9)

Vastavalt määrusele (EL) nr 910/2014 ei tohi kukrule tuginevad isikud nõuda kasutajatelt muude andmete esitamist kui need, mis puudutavad kukru kavandatud kasutusotstarvet registreerimisprotsessi ajal. Kukrukasutajatel peaks olema võimalik kukrule tugineva isiku registreerimisandmeid kontrollida. Selleks et kukrukasutajad saaksid kontrollida, kas kukrule tugineva isiku taotletavad atribuudid kuuluvad nende registreeritud atribuutide hulka, võivad liikmesriigid nõuda, et registreeringut omavatele kukrule tuginevatele isikutele väljastataks kukrule tugineva isiku registreerimissertifikaat. Selleks et kukrule tuginevate isikute registreerimissertifikaadid oleksid koostalitlevad, peaksid liikmesriigid tagama, et need sertifikaadid vastaksid lisas esitatud nõuetele ja standarditele. Eelkõige peaksid kukrule tuginevad isikud läbipaistvuse huvides teada andma, kui nad kavatsevad tugineda füüsiliste isikute e-identimisele, et täita mõnd Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 (4) artikli 6 lõikes 1 esitatud tingimust. Lisaks sellele ei tohi tuginevad isikud keelata varjunimede kasutamist, kui kasutaja identimine ei ole liidu või liikmesriigi õiguse kohaselt nõutav.

(10)

Selleks et kaitsta kasutajaid teabe liigse jagamise eest kukrule tuginevate isikutega ja neid sellistel juhtudel hoiatada, peaksid liikmesriigid lisama oma sertifitseerimispõhimõtetesse üldise juurdepääsupoliitika, mis võimaldaks kukrulahendusel teavitada kukrukasutajat iga kord, kui kukrule tuginev isik küsib rohkem teavet kui see, mille ta on registreerinud või millega tal on luba tutvuda.

(11)

Selleks et kukrukasutajaid kaitsta, peaks registripidajal olema võimalik peatada või tühistada kukrule tugineva isiku registreering ette teatamata, kui registripidajal on põhjust arvata, et registreering sisaldab ebatäpset, aegunud või eksitavat teavet, et kukrule tuginev isik ei järgi registreerimiskorda või et kukrule tuginev isik rikub muul viisil liidu või liikmesriigi õigust või Euroopa deklaratsiooni digiõiguste ja -põhimõtete kohta digikümnendiks (5) viisil, mis on seotud tema rolliga kukrule tugineva isikuna, näiteks kui kukrule tuginev isik ei ole nõuetekohaselt minimeerinud atribuutide kogumit, millele ta juurdepääsu taotleb. Euroopa digiidentiteedikukrute ökosüsteemi stabiilsuse kaitseks peaks registreeringu peatamise või tühistamise otsus olema proportsionaalne peatamisest või tühistamisest tingitud teenusehäirega ning sellega seotud kulude ja ebamugavustega teenuseosutajale ja kasutajale. Määruse (EL) nr 910/2014 artikli 46a lõike 4 punkti f kohaselt on järelevalveasutustel õigus registreering vajaduse korral peatada ja tühistada.

(12)

Järelkontrolli, õiguskaitseasutuste tehtavate uurimiste ja vaidluste lahendamise eesmärgil peaksid registripidajad säilitama kümne aasta vältel kogu teavet, mille on esitanud nende riiklikku registrisse kantud tuginevad isikud.

(13)

Isikuandmete selliste töötlemistoimingute suhtes, mis toimuvad käesoleva määruse alusel, kohaldatakse määrust (EL) 2016/679 ning vajaduse korral Euroopa Parlamendi ja nõukogu direktiivi 2002/58/EÜ (6).

(14)

Vastavalt Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 (7) artikli 42 lõikele 1 on konsulteeritud Euroopa Andmekaitseinspektoriga, kes esitas oma arvamuse 31. jaanuaril 2025.

(15)

Käesoleva määrusega ette nähtud meetmed on kooskõlas määruse (EL) nr 910/2014 artikliga 48 loodud komitee arvamusega,

1)

„kukrule tuginev isik“ – tuginev isik, kes kavatseb tugineda kukrukomplektidele avalike või erateenuste osutamiseks digitaalse suhtluse kaudu;

2)

„kukrukomplekt“ – kukrulahenduse kordumatu konfiguratsioon, mis sisaldab kukrueksemplare, kukru turvalisi krüptorakendusi ja kukru turvalisi krüptoseadmeid ning mida kukruteenuse pakkuja pakub individuaalsele kukrukasutajale;

3)

„kukrulahendus“ – tarkvara, riistvara, teenuste, seadete ja konfiguratsioonide kombinatsioon, sealhulgas kukrueksemplar, üks või mitu kukru turvalist krüptorakendust ja üks või mitu kukru turvalist krüptoseadet;

4)

„kukrueksemplar“ – kukrukasutaja seadmesse või keskkonda paigaldatud ja seal konfigureeritud rakendus, mis on kukrukomplekti osa ja mida kukrukasutaja kasutab kukrukomplektiga toimuva interaktsiooni jaoks;

5)

„kukru turvaline krüptorakendus“ – rakendus, mis haldab kriitilise tähtsusega vara selle kaudu, et on lingitud kukru turvalise krüptoseadme pakutavate krüptofunktsioonide ja muude funktsioonidega ning kasutab neid;

6)

„kukru turvaline krüptoseade“ – muukimiskindel seade, mis pakub keskkonda, mis on lingitud kukru turvalise krüptorakendusega, mis seda seadet kasutab, et kaitsta kriitilise tähtsusega vara ja pakkuda krüptofunktsioone kriitilise tähtsusega toimingute turvaliseks teostamiseks;

7)

„kriitilise tähtsusega vara“ – kukrukomplektis olev või kukrukomplektiga seotud vara, mis on nii oluline, et selle käideldavuse, konfidentsiaalsuse või tervikluse rikkumine avaldaks väga tõsist nõrgestavat mõju suutlikkusele tugineda sellele kukrukomplektile;

8)

„kukruteenuse pakkuja“ – füüsiline või juriidiline isik, kes pakub kukrulahendusi;

9)

„kukrukasutaja“ – kasutaja, kelle kontrolli all kukrukomplekt on;

10)

„kukrule tuginevate isikute riiklikregister“ – riiklik elektrooniline register, mida liikmesriik kasutab, et teha vastavalt määruse (EL) nr 910/2014 artikli 5b lõikele 5 üldsusele kättesaadavaks teave selles liikmesriigis registreeritud kukrule tuginevate isikute kohta;

11)

„kukrule tugineva isiku pääsusertifikaatide pakkuja“ – füüsiline või juriidiline isik, kellele liikmesriik on andnud volitused väljastada kukrule tugineva isiku pääsusertifikaate kukrule tuginevatele isikutele, kes on registreeritud asjaomases liikmesriigis;

12)

„kukrule tugineva isiku pääsusertifikaat“ – kukrule tugineva isiku pääsusertifikaatide pakkuja poolt väljastatud e-templi või e-allkirja sertifikaat, millega kukrule tuginev isik autenditakse ja kinnitatakse;

13)

„isikutuvastusandmete pakkuja“ – füüsiline või juriidiline isik, kelle ülesanne on isikutuvastusandmeid väljastada ja kehtetuks tunnistada ning tagada, et isikutuvastusandmed on kukrukomplektiga krüptograafiliselt seotud;

14)

„kukrule tuginevate isikute registri pidaja“ – liikmesriigi poolt määratud asutus, kes vastutab tema territooriumil asuvate ja registreeringut omavate kukrule tuginevate isikute loetelu koostamise ja haldamise eest;

15)

„kukrule tugineva isiku registreerimissertifikaat“ – andmeobjekt, mis kirjeldab kavandatud kasutusotstarvet tugineva isiku poolt ning näitab ära atribuudid, mille tuginev isik on registreerinud kavatsusega neid kasutajatelt küsida;

16)

„kukrule tugineva isiku registreerimissertifikaatide pakkuja“ – füüsiline või juriidiline isik, kellele liikmesriik on andnud volitused väljastada kukrule tugineva isiku registreerimissertifikaate kukrule tuginevatele isikutele, kes on registreeritud asjaomases liikmesriigis.