(1)

Komission 19 päivänä helmikuuta 2020 antamassa tiedonannossa ”Euroopan digitaalista tulevaisuutta rakentamassa” ilmoitetaan Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 910/2014 (4) tarkistamisesta sen tehokkuuden parantamiseksi, sen hyötyjen laajentamiseksi yksityiselle sektorille ja luotettavien digitaalisten identiteettien edistämiseksi kaikille eurooppalaisille.

(2)

Eurooppa-neuvosto kehotti 1 ja 2 päivänä lokakuuta 2020 antamissaan päätelmissä komissiota ehdottamaan unionin laajuisen suojatun julkisen sähköisen tunnistamisjärjestelmän kehyksen kehittämistä, yhteentoimivat digitaaliset allekirjoitukset mukaan luettuina, jotta ihmiset voivat valvoa verkkohenkilöllisyyttään ja verkossa olevia tietojaan ja jotta heillä on pääsy julkisiin, yksityisiin ja rajatylittäviin digitaalisiin palveluihin.

(3)

Euroopan parlamentin ja neuvoston päätöksellä (EU) 2022/2481 (5) perustetussa digitaalinen vuosikymmen 2030 -ohjelmassa vahvistetaan unionin kehyksen päämäärät ja digitalisaatiotavoitteet, joiden tarkoituksena on johtaa vuoteen 2030 mennessä sellaisen luotettavan, vapaaehtoisen ja käyttäjän määräysvallassa olevan digitaalisen identiteetin laajamittaiseen käyttöönottoon, joka tunnustetaan kaikkialla unionissa ja jonka avulla jokainen käyttäjä voi hallita omia tietojaan sähköisessä vuorovaikutuksessa.

(4)

Euroopan parlamentin, neuvoston ja komission antamassa eurooppalaisessa julistuksessa digitaalisen vuosikymmenen digitaalisista oikeuksista ja periaatteista (6), jäljempänä ”julistus”, korostetaan jokaisen kansalaisen oikeutta käyttää turvallisia ja sisäänrakennetusti yksityisyyttä suojaavia digiteknologioita, -tuotteita ja -palveluja. Tähän sisältyy sen varmistaminen, että kaikille unionissa asuville henkilöille tarjotaan esteetön, turvallinen ja luotettava digitaalinen identiteetti, joka mahdollistaa monenlaisten verkkopalvelujen ja verkon ulkopuolisten palvelujen käytön, jotka on suojattu kyberturvallisuusriskeiltä ja kyberrikollisuudelta, muun muassa tietoturvaloukkauksilta, identiteettivarkauksilta tai manipuloinnilta. Julistuksessa todetaan myös, että jokaisella on oikeus henkilötietojensa suojaan. Kyseiseen oikeuteen kuuluu sen hallinta, miten tietoja käytetään ja kenen kanssa ne jaetaan.

(5)

Unionin kansalaisilla ja unionissa asuvilla henkilöillä olisi oltava oikeus digitaaliseen identiteettiin, joka on heidän yksinomaisessa määräysvallassaan ja jonka avulla he voivat käyttää oikeuksiaan digitaalisessa ympäristössä ja osallistua digitaalitalouteen. Tämän tavoitteen saavuttamiseksi olisi vahvistettava eurooppalainen digitaalisen identiteetin kehys, jonka avulla unionin kansalaiset ja unionissa asuvat henkilöt voivat käyttää julkisia ja yksityisiä verkkopalveluja ja verkon ulkopuolisia palveluja kaikkialla unionissa.

(6)

Yhdenmukaistetun digitaalisen identiteetin kehyksen olisi tuettava digitaalisesti yhdentyneemmän unionin luomista vähentämällä digitaalisia esteitä jäsenvaltioiden väliltä ja antamalla unionin kansalaisille ja unionissa asuville henkilöille mahdollisuuden hyötyä digitalisaation eduista lisäten samalla avoimuutta ja heidän oikeuksiensa suojelua.

(7)

Omaksumalla yhdenmukaisempi lähestymistapa sähköiseen tunnistamiseen voitaisiin vähentää riskejä ja kustannuksia, joita aiheutuu toisistaan poikkeavien kansallisten ratkaisujen käytöstä tai joissakin jäsenvaltioissa tällaiseen sähköiseen tunnistamiseen liittyvien ratkaisujen puutteesta johtuvasta nykyisestä hajanaisuudesta. Tällaisen lähestymistavan olisi vahvistettava sisämarkkinoita antamalla unionin kansalaisille, kansallisessa lainsäädännössä määritellyille unionissa asuville henkilöille sekä yrityksille mahdollisuus tunnistautua ja todentaa henkilöllisyytensä verkossa ja verkon ulkopuolella turvallisella, luotettavalla, käyttäjäystävällisellä, helppokäyttöisellä, saavutettavalla ja yhdenmukaisella tavalla kaikkialla unionissa. Eurooppalaisen digitaalisen identiteetin lompakon olisi tarjottava luonnollisille henkilöille ja oikeushenkilöille kaikkialla unionissa yhdenmukaistettu sähköisen tunnistamisen menetelmä, jonka avulla nämä voivat todentaa ja jakaa henkilöllisyyteensä liittyviä tietoja. Kaikilla olisi oltava julkisten ja yksityisten palvelujen turvallinen käyttömahdollisuus, joka perustuu parannettuun luottamuspalvelujen ekosysteemiin sekä varmennettuihin todisteisiin henkilöllisyydestä ja sähköisiin attribuuttitodistuksiin, kuten akateemisiin tutkintotodistuksiin, mukaan lukien yliopistotutkinnot, tai muihin koulutuksesta tai ammattipätevyydestä annettuihin asiakirjoihin. Eurooppalaisessa digitaalisen identiteetin kehyksessä pyritään siirtymään pelkästään kansallisten digitaalisten identiteettiratkaisujen käytöstä kaikkialla unionissa voimassa oleviin ja oikeudellisesti tunnustettuihin sähköisiin attribuuttitodistuksiin. Sähköisten attribuuttitodistusten tarjoajilla olisi oltava selkeät ja yhdenmukaiset säännöt, samalla kun julkishallintojen olisi voitava luottaa tietyssä muodossa oleviin sähköisiin asiakirjoihin.

(8)

Useat jäsenvaltiot ovat toteuttaneet ja käyttävät sähköisen tunnistamisen menetelmiä, jotka unionissa toimivat palveluntarjoajat hyväksyvät. Lisäksi on tehty investointeja sekä kansallisiin että rajatylittäviin ratkaisuihin asetuksen (EU) N:o 910/2014 perusteella, mukaan lukien ilmoitettujen sähköisen tunnistamisen järjestelmien yhteentoimivuus kyseisen asetuksen nojalla. Jotta voidaan varmistaa eurooppalaisten digitaalisen identiteetin lompakoiden täydentävyys ja nopea käyttöönotto ilmoitettujen sähköisen tunnistamisen menetelmien nykyisten käyttäjien keskuudessa ja minimoida nykyisiin palveluntarjoajiin kohdistuvat vaikutukset, eurooppalaisten digitaalisen identiteetin lompakoiden odotetaan käyttävän hyväksi nykyisistä sähköisen tunnistamisen menetelmistä saatuja kokemuksia sekä unionin ja kansallisella tasolla käyttöönotettua ilmoitettujen sähköisen tunnistamisen järjestelmien infrastruktuuria.

(9)

Kaikkiin asetuksen (EU) N:o 910/2014 mukaisiin henkilötietojen käsittelytoimiin sovelletaan Euroopan parlamentin ja neuvoston asetusta (EU) 2016/679 (7) ja tarvittaessa Euroopan parlamentin ja neuvoston direktiiviä 2002/58/EY (8). Tässä asetuksessa säädetyn yhteentoimivuuskehyksen mukaiset ratkaisut ovat myös kyseisten sääntöjen mukaisia. Unionin tietosuojalainsäädännössä säädetään tietosuojaperiaatteista, kuten tietojen minimoinnin ja käyttötarkoituksen rajoittamisen periaatteesta, sekä velvoitteista, joita ovat esimerkiksi sisäänrakennettu ja oletusarvoinen tietosuoja.

(10)

Unionin yritysten kilpailukyvyn tukemiseksi sekä verkkopalvelujen että verkon ulkopuolisten palvelujen tarjoajien olisi voitava käyttää kaikkialla unionissa tunnustettuja digitaalisia identiteettiratkaisuja riippumatta siitä, missä jäsenvaltiossa ne on tarjottu, ja hyötyä näin yhdenmukaisesta unionin lähestymistavasta luottamukseen, turvallisuuteen ja yhteentoimivuuteen. Sekä käyttäjien että palveluntarjoajien olisi voitava hyötyä siitä, että sähköisille attribuuttitodistuksille annetaan sama oikeudellinen arvo kaikkialla unionissa. Yhdenmukaistetun digitaalisen identiteetin kehyksen tarkoituksena on luoda taloudellista arvoa parantamalla tavaroiden ja palvelujen saatavuutta ja vähentämällä merkittävästi sähköisiin tunnistus- ja todentamismenettelyihin liittyviä toimintakustannuksia, joita syntyy esimerkiksi aloitettaessa uusia käyttösuhteita, sekä vähentämällä identiteettivarkauksien, tietovarkauksien ja verkkopetosten kaltaisen kyberrikollisuuden mahdollisuuksia, mikä edistää tehokkuutta ja unionin mikroyritysten ja pienten ja keskisuurten yritysten (pk-yritysten) turvallista digitalisaatiota.

(11)

Eurooppalaisten digitaalisen identiteetin lompakoiden olisi helpotettava yhden kerran periaatteen soveltamista, mikä vähentää unionin kansalaisille ja unionissa asuville henkilöille sekä kaikkialla unionissa toimiville yrityksille aiheutuvaa hallinnollista taakkaa ja tukee näiden rajatylittävää liikkumista sekä edistää yhteentoimivien sähköisten viranomaispalvelujen kehittämistä kaikkialla unionissa.

(12)

Tämän asetuksen täytäntöönpanon yhteydessä tapahtuvaan henkilötietojen käsittelyyn sovelletaan Euroopan parlamentin ja neuvoston asetuksia (EU) 2016/679 ja (EU) 2018/1725 (9) sekä direktiiviä 2002/58/EY. Sen vuoksi tässä asetuksessa olisi säädettävä erityisistä suojatoimista, joilla estetään sähköisen tunnistamisen menetelmien ja sähköisten attribuuttitodistusten tarjoajia yhdistämästä muiden palvelujen tarjoamisen yhteydessä saatuja henkilötietoja tämän asetuksen soveltamisalaan kuuluvien palvelujen tarjoamista varten käsiteltäviin henkilötietoihin. Eurooppalaisten digitaalisen identiteetin lompakoiden tarjoamiseen liittyvät henkilötiedot olisi pidettävä loogisesti erillään kaikista muista tiedoista, joita eurooppalaisen identiteetin lompakon tarjoajan hallussa on. Tämän asetuksen ei olisi estettävä eurooppalaisten digitaalisen identiteetin lompakoiden tarjoajia soveltamasta henkilötietojen suojaa parantavia teknisiä lisätoimenpiteitä, kuten eurooppalaisten digitaalisen identiteetin lompakoiden tarjoamiseen liittyvien henkilötietojen fyysistä erottamista kaikista muista lompakon tarjoajan hallussa olevista tiedoista. Tässä asetuksessa täsmennetään myös käyttötarkoituksen rajoittamista, tietojen minimointia sekä sisäänrakennettua ja oletusarvoista tietosuojaa koskevien periaatteiden soveltamista, sanotun kuitenkaan rajoittamatta asetuksen (EU) 2016/679 soveltamista.

(13)

Eurooppalaisissa digitaalisen identiteetin lompakoissa olisi oltava sisäänrakennettuna toimintona yhteinen ohjauspaneeli, jotta varmistetaan suurempi avoimuus ja yksityisyys ja se, että käyttäjät voivat hallita henkilötietojaan. Kyseisen toiminnon olisi tarjottava helppo ja käyttäjäystävällinen rajapinta, joka antaa yleiskuvan kaikista luottavista osapuolista, joiden kanssa käyttäjä jakaa tietoja, mukaan lukien attribuutit, sekä kunkin luottavan osapuolen kanssa jaettujen tietojen tyypistä. Sen avulla käyttäjien olisi voitava jäljittää kaikki eurooppalaisia digitaalisen identiteetin lompakkoja käyttäen toteutetut transaktiot ja saamaan niistä vähintään seuraavat tiedot: transaktion aika ja päivämäärä, vastapuolen tunnistetiedot, pyydetyt henkilötiedot ja jaetut tiedot. Nämä tiedot olisi tallennettava, vaikka transaktio ei toteutuisi. Transaktiohistorian sisältämien tietojen aitoutta ei saisi olla mahdollista kiistää. Tällaisen toiminnon olisi oltava aktivoituna oletusarvoisesti. Sen olisi mahdollistettava se, että käyttäjät voivat helposti pyytää, että luottava osapuoli poistaa henkilötietoja välittömästi asetuksen (EU) 2016/679 17 artiklan mukaisesti ja raportoida vaivattomasti luottavasta osapuolesta sen jäsenvaltion kansalliselle toimivaltaiselle tietosuojaviranomaiselle, jossa väitetysti lainvastainen tai epäilyttävä henkilötietopyyntö on saatu, suoraan eurooppalaisen digitaalisen identiteetin lompakon kautta.

(14)

Jäsenvaltioiden olisi sisällytettävä eurooppalaiseen digitaalisen identiteetin lompakkoon erilaisia yksityisyyttä suojaavia tekniikoita, kuten nollatietotodiste. Tällaisten salausmenetelmien ansiosta luottava osapuoli voi validoida henkilön tunnistetietoihin ja attribuuttitodistukseen perustuvan lausuman totuudenmukaisuuden paljastamatta mitään kyseisen lausuman perustana olevia tietoja ja säilyttäen siten käyttäjän yksityisyyden.

(15)

Tässä asetuksessa määritellään yhdenmukaistetut edellytykset kehyksen vahvistamiseksi jäsenvaltioiden tarjoamia eurooppalaisia digitaalisen identiteetin lompakoita varten. Kaikille unionin kansalaisille ja kansallisessa lainsäädännössä määritellyille unionissa asuville henkilöille olisi annettava mahdollisuus pyytää, valita, yhdistää, tallentaa, poistaa, jakaa ja esittää turvallisesti henkilöllisyyteensä liittyviä tietoja ja pyytää henkilötietojensa poistamista käyttäjäystävällisellä ja helppokäyttöisellä tavalla käyttäjän yksinomaisessa valvonnassa siten, että samalla mahdollistetaan henkilötietojen valikoiva luovuttaminen. Tässä asetuksessa otetaan huomioon yhteiset eurooppalaiset arvot ja kunnioitetaan perusoikeuksia, oikeudellisia takeita ja vastuuta ja suojellaan siten demokraattisia yhteiskuntia, unionin kansalaisia ja unionissa asuvia henkilöitä. Kyseisten tavoitteiden saavuttamiseksi käytettäviä tekniikoita olisi kehitettävä siten, että tavoitteena on mahdollisimman korkeatasoinen turvallisuus, yksityisyys, käyttäjäystävällisyys, saavutettavuus, laaja käytettävyys ja saumaton yhteentoimivuus. Jäsenvaltioiden olisi varmistettava, että kaikilla niiden kansalaisilla ja asukkailla on yhtäläinen mahdollisuus käyttää sähköistä tunnistamista. Jäsenvaltioiden ei olisi suoraan eikä välillisesti rajoitettava julkisten tai yksityisten palvelujen saatavuutta sellaisten luonnollisten henkilöiden tai oikeushenkilöiden osalta, jotka päättävät olla käyttämättä eurooppalaisia digitaalisen identiteetin lompakoita, ja niiden olisi asetettava saataville asianmukaisia vaihtoehtoisia ratkaisuja.

(16)

Jäsenvaltioiden olisi hyödynnettävä tämän asetuksen tarjoamia mahdollisuuksia tarjotakseen omalla vastuullaan eurooppalaisia digitaalisen identiteetin lompakoita alueellaan asuvien luonnollisten henkilöiden ja oikeushenkilöiden käyttöön. Jotta jäsenvaltioille voitaisiin tarjota joustavuutta ja hyödyntää uusinta teknologiaa, tämän asetuksen olisi mahdollistettava se, että jäsenvaltio tarjoaa eurooppalaisia digitaalisen identiteetin lompakoita suoraan, niitä tarjotaan jäsenvaltion toimeksiannosta tai niitä tarjotaan jäsenvaltiosta riippumatta, mutta kyseinen jäsenvaltio tunnustaa ne.

(17)

Luottavien osapuolten olisi toimitettava rekisteröintiä varten tarvittavat tiedot niiden sähköistä tunnistamista ja todentamista varten eurooppalaisiin digitaalisen identiteetin lompakoihin. Ilmoittaessaan eurooppalaisen digitaalisen identiteetin lompakon suunnitellusta käytöstään luottavien osapuolten olisi annettava tiedot mahdollisista tiedoista, joita ne pyytävät palvelujensa tarjoamiseksi, ja pyynnön syy. Luottavan osapuolen rekisteröinti helpottaa jäsenvaltioiden suorittamia tarkastuksia, jotka koskevat luottavien osapuolten toiminnan lainmukaisuutta unionin oikeuden mukaisesti. Tässä asetuksessa säädetty rekisteröintivelvollisuus ei saisi vaikuttaa muussa unionin oikeudessa tai kansallisessa lainsäädännössä säädettyihin velvollisuuksiin, kuten tietoihin, jotka on asetuksen (EU) 2016/679 nojalla annettava rekisteröidyille. Luottavien osapuolten olisi noudatettava kyseisen asetuksen 35 ja 36 artiklan tarjoamia suojatoimia erityisesti tekemällä tietosuojaa koskevia vaikutustenarviointeja ja kuulemalla toimivaltaisia tietosuojaviranomaisia ennen tietojen käsittelyä, jos tietosuojaa koskevat vaikutustenarvioinnit osoittavat, että käsittely aiheuttaisi suuren riskin. Tällaisten suojatoimien olisi tuettava luottavien osapuolten toteuttamaa henkilötietojen laillista käsittelyä etenkin erityisten tietoryhmien, kuten terveystietojen, osalta. Luottavien osapuolten rekisteröinnin tarkoituksena on lisätä avoimuutta ja luottamusta eurooppalaisten digitaalisen identiteetin lompakoiden käyttöön. Rekisteröinnin olisi oltava kustannustehokasta ja oikeassa suhteessa siihen liittyviin riskeihin, jotta varmistetaan, että palveluntarjoajat ottavat sen käyttöön. Tässä yhteydessä rekisteröinnissä olisi mahdollistettava automatisoitujen menettelyjen käyttö, mukaan lukien se, että jäsenvaltiot luottavat olemassa oleviin rekistereihinsä ja käyttävät niitä, eikä siihen saisi sisältyä ennakkohyväksyntämenettelyä. Rekisteröintimenettelyn olisi mahdollistettava erilaiset käyttötapaukset, jotka voivat vaihdella toimintatavan (joko verkossa tai verkon ulkopuolella) tai niiden laitteiden todentamisvaatimuksen osalta, jotka pystyvät toimimaan yhdessä eurooppalaisen digitaalisen identiteetin lompakon kanssa. Rekisteröinnin olisi koskettava yksinomaan luottavia osapuolia, jotka tarjoavat palveluja digitaalisen vuorovaikutuksen keinoin.

(18)

Unionin kansalaisten ja unionissa asuvien henkilöiden suojaaminen eurooppalaisten digitaalisen identiteetin lompakoiden luvattomalta tai vilpilliseltä käytöltä on erittäin tärkeää, jotta voidaan varmistaa luottamus eurooppalaisiin digitaalisen identiteetin lompakoihin ja edistää niiden laajaa käyttöönottoa. Käyttäjät olisi suojattava tehokkaasti tällaista väärinkäyttöä vastaan. Erityisesti silloin, kun kansallinen oikeusviranomainen vahvistaa jonkin toisen menettelyn yhteydessä tosiseikat, jotka muodostavat perustan eurooppalaisen digitaalisen identiteetin lompakon vilpilliselle tai muulla tavoin laittomalle käytölle, eurooppalaisen digitaalisen identiteetin lompakon tarjoajista vastaavien valvontaelinten olisi ilmoituksen saatuaan toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että luottavan osapuolen rekisteröinti ja luottavien osapuolten sisällyttäminen todentamismekanismiin peruutetaan tai keskeytetään, kunnes ilmoittamisesta vastaava viranomainen vahvistaa, että havaitut sääntöjenvastaisuudet on korjattu.

(19)

Kaikkien eurooppalaisten digitaalisen identiteetin lompakoiden olisi annettava käyttäjille mahdollisuus sähköiseen tunnistautumiseen ja todentamiseen verkossa ja verkon ulkopuolella yli rajojen, jotta he voivat käyttää laajaa valikoimaa julkisia ja yksityisiä palveluja. Eurooppalaiset digitaalisen identiteetin lompakot voivat palvella myös julkishallintojen, kansainvälisten järjestöjen ja unionin toimielinten, elinten, laitosten ja virastojen institutionaalisia tarpeita, sanotun kuitenkaan rajoittamatta jäsenvaltioiden oikeuksia siltä osin kuin on kyse niiden kansalaisten ja asukkaiden tunnistamisesta. Verkon ulkopuolinen todentaminen olisi tärkeää monilla aloilla, mukaan lukien terveydenhoitoala, joilla palveluja tarjotaan usein henkilökohtaisen vuorovaikutuksen kautta. Myös sähköisissä lääkemääräyksissä olisi voitava luottaa QR-koodeihin tai vastaaviin teknologioihin aitouden todentamiseksi. Sähköisen tunnistamisen järjestelmiä koskevan korkean varmuustason varmistamiseksi eurooppalaisissa digitaalisen identiteetin lompakoissa olisi hyödynnettävä väärinkäytöltä suojattujen ratkaisujen, kuten turvatekijöiden, tarjoamia mahdollisuuksia tämän asetuksen mukaisten turvallisuusvaatimusten noudattamiseksi. Eurooppalaisten digitaalisen identiteetin lompakoiden olisi myös annettava käyttäjille mahdollisuus luoda ja käyttää hyväksyttyjä sähköisiä allekirjoituksia ja leimoja, jotka hyväksytään kaikkialla unionissa. Kun luonnollisten henkilöiden eurooppalaisen digitaalisen identiteetin lompakon käyttösuhde on aloitettu, heidän olisi voitava käyttää eurooppalaista digitaalisen identiteetin lompakkoa allekirjoittamiseen hyväksytyillä sähköisillä allekirjoituksilla oletusarvoisesti ja maksutta ilman muita hallinnollisia menettelyjä. Käyttäjien olisi voitava allekirjoittaa tai leimata omaehtoisia ilmoituksia tai attribuutteja. Jotta kansalaisille ja yrityksille kaikkialla unionissa voidaan tuottaa yksinkertaistamisesta ja kustannussäästöistä koituvia hyötyjä, myös mahdollistamalla edustusvaltuudet ja sähköiset valtuutukset, jäsenvaltioiden olisi tarjottava yhteisiin standardeihin ja teknisiin eritelmiin perustuvia eurooppalaisia digitaalisen identiteetin lompakkoja saumattoman yhteentoimivuuden varmistamiseksi, tietoturvan parantamiseksi asianmukaisesti ja kyberhyökkäysten sietokyvyn vahvistamiseksi, millä pienennetään digitalisaatiosta unionin kansalaisille, unionissa asuville henkilöille ja yrityksille mahdollisesti koituvia riskejä merkittävästi. Ainoastaan jäsenvaltioiden toimivaltaiset viranomaiset voivat tarjota korkean luottamustason henkilön henkilöllisyyden selvittämisessä ja siten antaa takeet siitä, että henkilö, joka väittää tai esittää olevansa tietty henkilö, on todellisuudessa se, kuka hän väittää olevansa. Siksi eurooppalaisten digitaalisen identiteetin lompakoiden tarjonnan olisi perustuttava unionin kansalaisten, unionissa asuvien henkilöiden tai oikeushenkilöiden oikeudelliseen identiteettiin. Oikeudellisen identiteetin käyttäminen ei saisi estää eurooppalaisten digitaalisen identiteetin lompakkojen käyttäjiä käyttämästä palveluja pseudonyymillä, jos todentamiseen ei liity lakisääteinen vaatimus oikeudellisesta identiteetistä. Luottamusta eurooppalaisiin digitaalisen identiteetin lompakoihin parantaisi se, että niitä tarjoavien ja hallinnoivien osapuolten edellytetään toteuttavan asianmukaisia teknisiä ja organisatorisia toimenpiteitä sen varmistamiseksi, että turvallisuuden taso on mahdollisimman korkea ja oikeassa suhteessa luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuviin riskeihin asetuksen (EU) 2016/679 mukaisesti.

(20)

Hyväksytyn sähköisen allekirjoituksen käytön olisi oltava maksutonta kaikille luonnollisille henkilöille muihin kuin ammatillisiin tarkoituksiin. Jäsenvaltioiden olisi voitava säätää toimenpiteistä, joilla estetään luonnollisia henkilöitä käyttämästä hyväksyttyjä sähköisiä allekirjoituksia ammatillisiin tarkoituksiin maksutta, ja joilla varmistetaan, että tällaiset toimenpiteet ovat oikeassa suhteessa tunnistettuihin riskeihin ja perusteltuja.

(21)

On hyödyllistä helpottaa eurooppalaisten digitaalisen identiteetin lompakoiden käyttöönottoa ja käyttöä integroimalla ne saumattomasti julkisten ja yksityisten digitaalisten palvelujen ekosysteemiin, joka on jo pantu täytäntöön kansallisella, paikallisella tai alueellisella tasolla. Kyseisen tavoitteen saavuttamiseksi jäsenvaltioiden olisi voitava säätää oikeudellisista ja organisatorisista toimenpiteistä, joilla lisätään joustavuutta eurooppalaisten digitaalisen identiteetin lompakoiden tarjoajien näkökulmasta ja luodaan edellytykset muillekin kuin tässä asetuksessa säädetyille eurooppalaisten digitaalisen identiteetin lompakoiden toiminnoille, muun muassa parantamalla yhteentoimivuutta olemassa olevien kansallisten sähköisen tunnistamisen menetelmien kanssa. Tällaiset lisätoiminnot eivät saisi millään tavoin haitata tässä asetuksessa säädettyjen eurooppalaisten digitaalisen identiteetin lompakoiden ydintoimintojen tarjoamista eivätkä antaa olemassa oleville kansallisille ratkaisuille etusijaa eurooppalaisiin digitaalisen identiteetin lompakoihin nähden. Koska tällaiset lisätoiminnot menevät tätä asetusta pidemmälle, niihin ei sovelleta tässä asetuksessa vahvistettuja säännöksiä, jotka koskevat eurooppalaisten digitaalisen identiteetin lompakoiden rajatylittävää käyttöä.

(22)

Eurooppalaisten digitaalisen identiteetin lompakkojen olisi sisällettävä toiminto, jolla muodostetaan käyttäjän valitsemia ja hallinnoimia pseudonyymejä henkilöllisyyden todentamiseksi verkkopalveluja käytettäessä.

(23)

Turvallisuuden ja luotettavuuden korkean tason saavuttamiseksi tässä asetuksessa vahvistetaan eurooppalaisia digitaalisen identiteetin lompakkoja koskevat vaatimukset. Jäsenvaltioiden nimeämien akkreditoitujen vaatimustenmukaisuuden arviointilaitosten olisi sertifioitava se, että eurooppalaiset digitaalisen identiteetin lompakot ovat näiden vaatimusten mukaisia.

(24)

Toisistaan poikkeavien lähestymistapojen välttämiseksi ja tässä asetuksessa säädettyjen vaatimusten täytäntöönpanon yhdenmukaistamiseksi komission olisi eurooppalaisten digitaalisen identiteetin lompakkojen sertifioimiseksi annettava täytäntöönpanosäädöksiä, joissa vahvistetaan luettelo viitestandardeista ja tarvittaessa vahvistetaan eritelmiä ja menettelyjä kyseisten vaatimusten yksityiskohtaisten teknisten eritelmien ilmaisemiseksi. Siltä osin kuin sen sertifiointi, ovatko eurooppalaiset digitaalisen identiteetin lompakot merkityksellisten kyberturvallisuusvaatimusten mukaisia, ei kuulu tässä asetuksessa tarkoitettujen olemassa olevien kyberturvallisuuden sertifiointijärjestelmien piiriin, ja siltä osin kuin on kyse eurooppalaisiin digitaalisen identiteetin lompakoihin liittyvistä muista kuin kyberturvallisuusvaatimuksista, jäsenvaltioiden olisi perustettava kansallisia sertifiointijärjestelmiä tässä asetuksessa vahvistettujen ja sen nojalla hyväksyttyjen yhdenmukaistettujen vaatimusten mukaisesti. Jäsenvaltioiden olisi toimitettava luonnoksensa kansallisiksi sertifiointijärjestelmiksi eurooppalaiselle digitaalisen identiteetin yhteistyöryhmälle, jonka olisi voitava antaa lausuntoja ja suosituksia.

(25)

Tässä asetuksessa vahvistettujen kyberturvallisuusvaatimusten noudattamisen sertifioinnin olisi mahdollisuuksien mukaan perustuttava asiaankuuluviin eurooppalaisiin kyberturvallisuuden sertifiointijärjestelmiin, jotka on perustettu Euroopan parlamentin ja neuvoston asetuksella (EU) 2019/881 (10), jolla perustetaan vapaaehtoinen eurooppalainen kyberturvallisuuden sertifiointikehys tieto- ja viestintätekniikan tuotteille, prosesseille ja palveluille.

(26)

Jotta turvallisuuteen liittyviä riskejä voitaisiin jatkuvasti arvioida ja lieventää, sertifioiduille eurooppalaisille digitaalisen identiteetin lompakoille olisi tehtävä säännöllisesti haavoittuvuusarviointeja, joissa pyritään havaitsemaan mahdolliset haavoittuvuudet eurooppalaisen digitaalisen identiteetin lompakon sertifioiduissa tuote-, prosessi- ja palvelukomponenteissa.

(27)

Tässä asetuksessa säädetyillä olennaisilla kyberturvallisuusvaatimuksilla suojataan käyttäjiä ja yrityksiä kyberturvariskeiltä, joten niillä pyritään myös osaltaan parantamaan henkilötietojen ja yksityisyyden suojaa. Kyberturvanäkökohtien standardoinnin ja sertifioinnin synergioihin olisi pyrittävä yhteistyössä komission, eurooppalaisten standardointiorganisaatioiden, Euroopan unionin kyberturvallisuusviraston (ENISA), asetuksella (EU) 2016/679 perustetun Euroopan tietosuojaneuvoston ja kansallisten tietosuojaviranomaisten välillä.

(28)

Unionin kansalaisten ja unionissa asuvien henkilöiden eurooppalaisen digitaalisen identiteetin lompakon käyttösuhteen aloittamista olisi helpotettava käyttämällä sähköisen tunnistamisen menetelmiä, jotka on myönnetty korkealla varmuustasolla. Korotetulla varmuustasolla myönnettyjä sähköisen tunnistamisen menetelmiä olisi käytettävä ainoastaan, jos yhdenmukaistetut tekniset eritelmät ja menettelyt, joissa käytetään korotetulla varmuustasolla myönnettyjä sähköisen tunnistamisen menetelmiä yhdessä täydentävien henkilöllisyyden todentamismenetelmien kanssa, mahdollistavat tässä asetuksessa säädettyjen korkeaa varmuustasoa koskevien vaatimusten täyttymisen. Tällaisten täydentävien menetelmien olisi oltava luotettavia ja helppokäyttöisiä, ja ne voisivat perustua mahdollisuuteen käyttää käyttösuhteen aloittamisen etämenettelyjä, hyväksyttyjä varmenteita, joita tuetaan hyväksytyillä sähköisillä allekirjoituksilla, hyväksyttyjä sähköisiä attribuuttitodistuksia tai niiden yhdistelmää. Jotta voidaan varmistaa eurooppalaisten digitaalisen identiteetin lompakoiden riittävä käyttöönotto, täytäntöönpanosäädöksissä olisi vahvistettava yhdenmukaistetut tekniset eritelmät ja menettelyt käyttäjien käyttösuhteen aloittamiseksi sähköisen tunnistamisen menetelmiä käyttäen, mukaan lukien korotetulla varmuustasolla myönnetyt menetelmät.

(29)

Tämän asetuksen tavoitteena on tarjota käyttäjälle täysin mobiili, turvallinen ja käyttäjäystävällinen eurooppalainen digitaalisen identiteetin lompakko. Eurooppalaisten digitaalisen identiteetin lompakoiden olisi siirtymätoimenpiteenä siihen saakka, kun saatavilla on sertifioituja väärinkäytöltä suojattuja ratkaisuja, kuten käyttäjien laitteissa olevia turvatekijöitä, voitava käyttää salausaineiston ja muiden arkaluonteisten tietojen suojaamiseksi sertifioituja ulkoisia turvatekijöitä tai ilmoitettuja sähköisiä tunnistamisen menetelmiä, joiden varmuustaso on korkea, osoittaakseen, että tämän asetuksen asiaankuuluvia vaatimuksia eurooppalaisen digitaalisen identiteetin lompakon varmuustason osalta noudatetaan. Tämä asetus ei saisi rajoittaa sertifioidun ulkoisen turvatekijän myöntämistä ja käyttöä koskevien kansallisten edellytysten soveltamista, jos kyseinen siirtymätoimenpide on siitä riippuvainen.

(30)

Eurooppalaisten digitaalisen identiteetin lompakoiden olisi varmistettava julkisiin ja yksityisiin palveluihin pääsyä helpottavan tunnistamisen ja todentamisen korkein tietosuoja- ja turvallisuustaso riippumatta siitä, tallennetaanko kyseiset tiedot paikallisesti vai pilvipohjaisiin ratkaisuihin, ottaen asianmukaisesti huomioon erilaiset riskitasot.

(31)

Eurooppalaisten digitaalisen identiteetin lompakoiden turvallisuuden olisi oltava sisäänrakennettua, ja niissä olisi otettava käyttöön edistyneitä turvaominaisuuksia, jotka suojelevat identiteettivarkauksilta ja muilta tietovarkauksilta, palvelunestolta ja muilta kyberuhkilta. Tällaiseen tietoturvaan olisi sisällytettävä uusimmat salaus- ja tallennusmenetelmät, jotka ovat ainoastaan käyttäjän saatavilla ja ainoastaan hänen purettavissaan, ja jotka perustuvat päästä päähän salattuun viestintään muiden eurooppalaisten digitaalisen identiteetin lompakkojen ja luottavien osapuolten kanssa. Lisäksi eurooppalaisten digitaalisen identiteetin lompakoiden olisi edellytettävä suojattua, nimenomaista ja aktiivista käyttäjän vahvistusta eurooppalaisten digitaalisen identiteetin lompakoiden kautta suoritetuille toimille.

(32)

Eurooppalaisten digitaalisen identiteetin lompakoiden maksuton käyttö ei saisi johtaa muiden tietojen käsittelyyn kuin niiden tietojen, mitä eurooppalaisen digitaalisen identiteetin lompakon palvelujen tarjoaminen edellyttää. Tässä asetuksessa ei olisi sallittava sitä, että eurooppalaisen digitaalisen identiteetin lompakon tarjoaja käyttää eurooppalaiseen digitaalisen identiteetin lompakkoon tallennettuja tai lompakon käytön seurauksena kerättyjä henkilötietoja muihin tarkoituksiin kuin eurooppalaisen digitaalisen identiteetin lompakon palvelujen tarjoamiseen. Yksityisyyden varmistamiseksi eurooppalaisten digitaalisen identiteetin lompakon tarjoajien olisi varmistettava, että lompakon käyttöä ei voi havaita, siten, että tietoja ei kerätä eikä lompakon käyttäjien tapahtumia tarkkailla. Se, että tietoja ei voi havaita, tarkoittaa, että palveluntarjoajat eivät saa pystyä näkemään käyttäjän suorittamien tapahtumien yksityiskohtia. Erityistapauksissa eurooppalaisten digitaalisen identiteetin lompakoiden tarjoajille voitaisiin kuitenkin myöntää pääsy tietoihin, jotka ovat tarpeen jonkin tietyn eurooppalaisiin digitaalisen identiteetin lompakoihin liittyvän palvelun tarjoamiseksi, jos käyttäjä on kussakin erityistapauksessa antanut tähän nimenomaisen etukäteissuostumuksensa ja asetusta (EU) 2016/679 noudatetaan täysimääräisesti.

(33)

Eurooppalaisten digitaalisen identiteetin lompakoiden avoimuus ja niiden tarjoajien vastuuvelvollisuus ovat keskeisiä tekijöitä yhteiskunnallisen luottamuksen luomisessa ja kehyksen hyväksymisen edistämisessä. Eurooppalaisten digitaalisen identiteetin lompakoiden toiminnan olisi näin ollen oltava läpinäkyvää ja sen olisi erityisesti mahdollistettava todennettavissa oleva henkilötietojen käsittely. Tätä varten jäsenvaltioiden olisi luovutettava eurooppalaisten digitaalisen identiteetin lompakoiden käyttäjäsovellusten ohjelmistokomponenttien lähdekoodi, myös sellaisten komponenttien osalta, jotka liittyvät henkilötietojen ja oikeushenkilöiden tietojen käsittelyyn. Tämän lähdekoodin julkaisemisen avoimen lähdekoodin lisenssillä tulisi antaa yhteiskunnalle, mukaan lukien käyttäjät ja kehittäjät, mahdollisuus ymmärtää lähdekoodin toiminta ja tarkistaa koodia. Tämä lisäisi käyttäjien luottamusta lompakon ekosysteemiin ja parantaisi eurooppalaisten digitaalisen identiteetin lompakoiden turvallisuutta, koska kaikki voisivat ilmoittaa koodien haavoittuvuuksista ja virheistä. Näin on tarkoitus kannustaa toimittajia toimittamaan ja ylläpitämään erittäin turvallisia tuotteita. Tietyissä tapauksissa jäsenvaltiot voisivat kuitenkin asianmukaisesti perustelluista syistä, erityisesti yleisen turvallisuuden nimissä, rajoittaa sellaisten käytettyjen kirjastojen, viestintäkanavien tai muiden sellaisten elementtien lähdekoodin julkistamista, joita ei säilytetä käyttäjän laitteessa.

(34)

Käyttäjän olisi voitava vapaasti päättää eurooppalaisen digitaalisen identiteetin lompakon käytöstä ja sen lopettamisesta. Jäsenvaltioiden olisi kehitettävä yksinkertaisia ja turvallisia menettelyjä, joiden avulla käyttäjä voi pyytää eurooppalaisen digitaalisen identiteetin lompakon voimassaolon välitöntä peruuttamista esimerkiksi katoamis- tai varkaustapauksissa. Sellaisia tapauksia varten, joissa käyttäjä kuolee tai oikeushenkilön toiminta lakkaa, olisi perustettava mekanismi, jonka avulla luonnollisen henkilön pesänselvityksestä tai oikeushenkilön omaisuuden selvittämisestä vastaava viranomainen voi pyytää eurooppalaisten digitaalisen identiteetin lompakkojen välitöntä peruuttamista.

(35)

Jotta edistettäisiin eurooppalaisten digitaalisen identiteetin lompakkojen käyttöönottoa ja digitaalisten identiteettien laajempaa käyttöä, jäsenvaltioiden olisi edistettävä asiaankuuluvien palvelujen etuja, ja sen lisäksi niiden olisi yhteistyössä yksityisen sektorin, tutkijoiden ja tiedemaailman kanssa kehitettävä koulutusohjelmia, joilla pyritään vahvistamaan jäsenvaltioiden kansalaisten ja asukkaiden, erityisesti muita heikommassa asemassa olevien ryhmien, kuten vammaisten henkilöiden ja ikääntyneiden henkilöiden, digitaalisia taitoja. Jäsenvaltioiden olisi myös lisättävä tiedotuskampanjoiden avulla tietoisuutta eurooppalaisen digitaalisen identiteetin lompakon hyödyistä ja riskeistä.

(36)

Sen varmistamiseksi, että eurooppalainen digitaalisen identiteetin kehys on avoin innovoinnille ja tekniikan kehitykselle ja pystyy mukautumaan tulevaisuuden vaatimuksiin, jäsenvaltioita kannustetaan perustamaan yhdessä testausympäristöjä innovatiivisten ratkaisujen testaamiseksi valvotussa ja turvallisessa ympäristössä, jotta voidaan erityisesti parantaa ratkaisujen toimivuutta, turvallisuutta ja yhteentoimivuutta ja niiden tarjoamaa henkilötietojen suojaa sekä vaikuttaa teknisten viitetietojen ja oikeudellisten vaatimusten tuleviin päivityksiin. Tämän ympäristön olisi edistettävä pk-yritysten, startup-yritysten, yksittäisten innovoijien ja tutkijoiden sekä asiaankuuluvien toimialan sidosryhmien osallisuutta. Tällaisten aloitteiden on tarkoitus edistää ja vahvistaa unionin kansalaisille ja unionin muille asukkaille tarjottavien eurooppalaisten digitaalisen identiteetin lompakoiden vaatimustenmukaisuutta ja teknistä vakautta ja estää siten sellaisten ratkaisujen kehittäminen, jotka eivät ole unionin tietosuojalainsäädännön mukaisia tai joissa on tietoturvariskejä.

(37)

Euroopan parlamentin ja neuvoston asetuksella (EU) 2019/1157 (11) lisättiin henkilökorttien turvallisuutta parannetuilla turvaominaisuuksilla elokuuhun 2021 mennessä. Jäsenvaltioiden olisi harkittava mahdollisuutta ilmoittaa näistä turvaominaisuuksista sähköisen tunnistamisen järjestelmien yhteydessä sähköisen tunnistamisen menetelmien rajatylittävän saatavuuden laajentamiseksi.

(38)

Sähköisen tunnistamisen järjestelmien ilmoitusmenettelyä olisi yksinkertaistettava ja nopeutettava, jotta voidaan edistää helppokäyttöisten, luotettavien, turvallisten ja innovatiivisten todentamis- ja tunnistusratkaisujen saatavuutta ja tarvittaessa kannustaa yksityisiä tunnistustietojen tarjoajia tarjoamaan sähköisen tunnistamisen järjestelmiä jäsenvaltioiden viranomaisille, jotta niistä voidaan ilmoittaa asetuksen (EU) N:o 910/2014 mukaisina kansallisina sähköisen tunnistamisen järjestelminä.

(39)

Nykyisten ilmoitus- ja vertaisarviointimenettelyjen virtaviivaistaminen estää erilaisten ilmoitettujen sähköisen tunnistamisen järjestelmien arvioinnin epäyhtenäiset mallit ja helpottaa luottamuksen rakentamista jäsenvaltioiden välillä. Uusien yksinkertaisempien mekanismien on tarkoitus edistää jäsenvaltioiden yhteistyötä niiden ilmoittamien sähköisen tunnistamisen järjestelmien turvallisuuden ja yhteentoimivuuden alalla.

(40)

Jäsenvaltiot hyötyvät uusista joustavista välineistä, joilla varmistetaan tämän asetuksen ja sen mukaisesti annettujen asiaa koskevien täytäntöönpanosäädösten vaatimusten noudattaminen. Tämän asetuksen on tarkoitus antaa jäsenvaltioille mahdollisuus käyttää akkreditoitujen vaatimustenmukaisuuden arviointilaitosten tekemiä raportteja ja arviointeja, kuten asetuksen (EU) 2019/881 nojalla unionin tasolla perustettavien sertifiointijärjestelmien yhteydessä edellytetään, tukeakseen väitteitään siitä, että järjestelmät tai niiden osat ovat asetuksen (EU) N:o 910/2014 mukaisia.

(41)

Julkiset palveluntarjoajat käyttävät henkilöiden tunnistetietoja, jotka ovat saatavilla asetuksen (EU) N:o 910/2014 mukaisissa sähköisen tunnistamisen menetelmissä yhdistääkseen toisesta jäsenvaltiosta tulevien käyttäjien sähköisen identiteetin niihin tunnistetietoihin, jotka heille on annettu rajatylittävää henkilöllisyyden linkittämistä suorittavassa jäsenvaltiossa. Ilmoitettujen sähköisen tunnistamisen järjestelmien mukaisten vähimmäistietokokonaisuuksien käytöstä huolimatta henkilöllisyyden tarkan linkittämisen varmistaminen silloin, kun jäsenvaltiot toimivat luottavina osapuolina, edellyttää kuitenkin monissa tapauksissa lisätietoja käyttäjästä ja erityisiä täydentäviä yksilöllisiä tunnistusmenettelyjä, jotka on toteutettava kansallisella tasolla. Jotta voidaan edelleen tukea sähköisen tunnistamisen menetelmien käytettävyyttä, tarjota parempia julkisia verkkopalveluja ja lisätä käyttäjien sähköistä henkilöllisyyttä koskevaa oikeusvarmuutta, asetuksessa (EU) N:o 910/2014 olisi edellytettävä, että jäsenvaltiot toteuttavat erityisiä verkkotoimenpiteitä yksiselitteisen henkilöllisyyden linkittämisen varmistamiseksi, kun käyttäjät aikovat käyttää verkossa olevia rajatylittäviä julkisia palveluja.

(42)

Eurooppalaisia digitaalisen identiteetin lompakoita kehitettäessä on olennaisen tärkeää ottaa huomioon käyttäjien tarpeet. Saatavilla olisi oltava mielekkäitä käyttötapauksia ja verkkopalveluja, jotka perustuvat eurooppalaisiin digitaalisen identiteetin lompakoihin. Käyttömukavuuden lisäämiseksi ja tällaisten palvelujen rajatylittävän saatavuuden varmistamiseksi on tärkeää toteuttaa toimia, joilla edistetään samanlaista lähestymistapaa verkkopalvelujen suunnitteluun, kehittämiseen ja toteuttamiseen kaikissa jäsenvaltioissa. Eurooppalaisiin digitaalisen identiteetin lompakoihin perustuvien verkkopalvelujen suunnittelua, kehittämistä ja toteuttamista koskevista ei-sitovista suuntaviivoista voi tulla hyödyllinen väline tämän tavoitteen saavuttamiseksi. Näitä suuntaviivoja laadittaessa olisi otettava asianmukaisesti huomioon unionin yhteentoimivuuskehys. Jäsenvaltioilla olisi oltava johtava rooli niiden hyväksymisessä.

(43)

Euroopan parlamentin ja neuvoston direktiivin (EU) 2019/882 (12) mukaisesti vammaisten henkilöiden olisi voitava käyttää eurooppalaisia digitaalisen identiteetin lompakkoja, luottamuspalveluja ja niiden tarjoamiseksi tarvittavia loppukäyttäjätuotteita tasavertaisesti muiden käyttäjien kanssa.

(44)

Tämän asetuksen tehokkaan täytäntöönpanon varmistamiseksi olisi vahvistettava sekä hyväksyttyjen että ei-hyväksyttyjen luottamuspalvelujen tarjoajien hallinnollisten sakkojen enimmäismäärän vähimmäismäärä. Jäsenvaltioiden olisi säädettävä tehokkaista, oikeasuhteisista ja varoittavista seuraamuksista. Seuraamuksia määritettäessä olisi otettava asianmukaisesti huomioon asianomaisten yhteisöjen koko, niiden liiketoimintamallit ja rikkomusten vakavuus.

(45)

Jäsenvaltioiden olisi vahvistettava säännöt, jotka koskevat seuraamuksia rikkomuksista, kuten suorista tai epäsuorista käytännöistä, jotka johtavat sekaannukseen ei-hyväksyttyjen ja hyväksyttyjen luottamuspalvelujen välillä tai siihen, että ei-hyväksytyt luottamuspalvelun tarjoajat käyttävät EU:n luotettavuusmerkkiä väärin. EU:n luotettavuusmerkkiä ei saisi käyttää tavoin, jotka suoraan tai välillisesti johtavat käsitykseen, jonka mukaan kyseisten palveluntarjoajien tarjoamat ei-hyväksytyt luottamuspalvelut olisivat hyväksyttyjä.

(46)

Tämän asetuksen ei olisi katettava näkökohtia, jotka liittyvät sellaisten sopimusten tai muiden oikeudellisten velvoitteiden vahvistamiseen ja pätevyyteen, joihin sisältyy unionin oikeudessa tai kansallisessa lainsäädännössä säädettyjä muotovaatimuksia. Sen ei saisi myöskään vaikuttaa kansallisiin muotovaatimuksiin, jotka koskevat julkisia rekistereitä, erityisesti kauppa- ja kiinteistörekistereitä.

(47)

Luottamuspalvelujen tarjoamisesta ja käytöstä sekä niiden tarjoamasta käyttömukavuudesta ja oikeusvarmuudesta rajatylittävien liiketoimien yhteydessä erityisesti silloin, kun käytetään hyväksyttyjä luottamuspalveluja, on tulossa yhä tärkeämpää kansainväliselle kaupalle ja yhteistyölle. Unionin kansainväliset kumppanit ovat luomassa luottamuskehyksiä, jotka ovat saaneet innoituksensa asetuksesta (EU) N:o 910/2014. Hyväksyttyjen luottamuspalvelujen ja niiden tarjoajien tunnustamisen helpottamiseksi komissio voi hyväksyä täytäntöönpanosäädöksiä sellaisten edellytysten vahvistamiseksi, joiden täyttyessä kolmansien maiden luottamuskehysten voidaan katsoa vastaavan tässä asetuksessa säädettyä hyväksyttyjä luottamuspalveluja ja niiden tarjoajia koskevaa kehystä. Tällaisella lähestymistavalla täydennettäisiin mahdollisuutta unioniin ja kolmansiin maihin sijoittautuneiden luottamuspalvelujen ja niiden tarjoajien vastavuoroiseen tunnustamiseen Euroopan unionin toiminnasta tehdyn sopimuksen 218 artiklan mukaisesti. Vahvistettaessa edellytyksiä, joiden täyttyessä kolmansien maiden luottamuskehysten voitaisiin katsoa vastaavan asetuksessa (EU) N:o 910/2014 säädettyä hyväksyttyjen luottamuspalvelujen ja niiden tarjoajien luottamuskehystä, olisi varmistettava Euroopan parlamentin ja neuvoston direktiivin (EU) 2022/2555 (13) ja asetuksen (EU) 2016/679 asiaankuuluvien säännösten noudattaminen sekä luotettujen luetteloiden käyttö oleellisena tekijänä luottamuksen rakentamisessa.

(48)

Tämän asetuksen on tarkoitus edistää valinnanvaraa ja mahdollisuutta vaihdella eurooppalaisten digitaalisten identiteetin lompakoiden välillä, jos jäsenvaltio on hyväksynyt useamman kuin yhden eurooppalaisen digitaalisen identiteetin lompakon ratkaisun alueellaan. Jotta vältetään lukkiutumisvaikutukset tällaisissa tilanteissa, jos se on teknisesti mahdollista, eurooppalaisten digitaalisen identiteetin lompakoiden tarjoajien olisi varmistettava tietojen tosiasiallinen siirrettävyys eurooppalaisen digitaalisen identiteetin lompakon käyttäjän pyynnöstä, eikä niiden olisi voitava käyttää sopimusperusteisia, taloudellisia tai teknisiä esteitä ehkäistäkseen sujuvan siirtymisen yhdestä eurooppalaisen digitaalisen identiteetin lompakosta toiseen eikä tehdä ajatusta siirtymisestä liian vaikeaksi.

(49)

Eurooppalaisten digitaalisen identiteetin lompakoiden asianmukaisen toiminnan varmistamiseksi eurooppalaisten digitaalisen identiteetin lompakoiden tarjoajat tarvitsevat tehokkaan yhteentoimivuuden sekä oikeudenmukaiset, kohtuulliset ja syrjimättömät ehdot, jotta eurooppalaiset digitaalisen identiteetin lompakot voivat käyttää mobiililaitteiden tiettyjä laitteisto- ja ohjelmisto-ominaisuuksia. Näihin komponentteihin voisi kuulua erityisesti lähitiedonsiirron antenneja ja suojattuja elementtejä, mukaan lukien UICC-kortit, sulautetut turvaelementit, mikroSD-kortit ja Bluetooth Low Energy – tekniikka. Näiden komponenttien käyttömahdollisuus voisi olla matkaviestinoperaattoreiden ja laitevalmistajien valvonnassa. Sen vuoksi mobiililaitteiden alkuperäiset laitevalmistajat tai sähköisten viestintäpalvelujen tarjoajat eivät saisi evätä pääsyä tällaisiin komponentteihin, jos se on tarpeen eurooppalaisten digitaalisen identiteetin lompakoiden palvelujen tarjoamiseksi. Lisäksi yrityksiin, jotka on nimetty ydinalustapalvelujen portinvartijoiksi ja jotka komissio on sisällyttänyt Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/1925 (14) mukaiseen luetteloon, olisi edelleen sovellettava mainitun asetuksen erityissäännöksiä, jotka perustuvat sen 6 artiklan 7 kohtaan.

(50)

Jotta voidaan virtaviivaistaa luottamuspalvelun tarjoajille asetettuja kyberturvallisuusvelvoitteita ja antaa näille palveluntarjoajille ja niistä vastaaville toimivaltaisille viranomaisille mahdollisuus hyötyä direktiivillä (EU) 2022/2555 vahvistetusta oikeudellisesta kehyksestä, luottamuspalvelujen edellytetään toteutettavan kyseisen direktiivin mukaiset asianmukaiset tekniset ja organisatoriset toimenpiteet, kuten toimenpiteet, joilla puututaan järjestelmän toimintahäiriöihin, inhimillisiin virheisiin, vihamielisiin toimiin tai luonnonilmiöihin, jotta voidaan hallita niiden verkko- ja tietojärjestelmien turvallisuuteen kohdistuvia riskejä, joita kyseiset palveluntarjoajat käyttävät palvelujensa tarjoamisessa, sekä ilmoittaa merkittävistä poikkeamista ja kyberuhkista kyseisen direktiivin mukaisesti. Poikkeamista ilmoittamisen osalta luottamuspalvelun tarjoajien olisi ilmoitettava kaikista poikkeamista, joilla on merkittävä vaikutus niiden palvelujen tarjoamiseen, mukaan lukien häiriöt, jotka johtuvat laitteiden varastamisesta tai katoamisesta, verkkokaapeleille aiheutuneista vahingoista tai henkilöiden tunnistamisen yhteydessä tapahtuneista turvapoikkeamista. Direktiivin (EU) 2022/2555 mukaisten kyberturvallisuusriskien hallintaa koskevien vaatimusten ja raportointivelvoitteiden olisi katsottava täydentävän tämän asetuksen nojalla luottamuspalvelujen tarjoajille asetettuja vaatimuksia. Direktiivin (EU) 2022/2555 mukaisesti nimettyjen toimivaltaisten viranomaisten olisi tarvittaessa sovellettava edelleen vakiintuneita kansallisia käytäntöjä tai ohjeita, jotka liittyvät turvallisuus- ja raportointivaatimusten täytäntöönpanoon ja tällaisten vaatimusten noudattamisen valvontaan asetuksen (EU) N:o 910/2014 mukaisesti. Tämä asetus ei vaikuta velvoitteeseen ilmoittaa henkilötietojen tietoturvaloukkauksista asetuksen (EU) 2016/679 nojalla.

(51)

Olisi kiinnitettävä asianmukaista huomiota tehokkaan yhteistyön varmistamiseen asetuksen (EU) N:o 910/2014 46 b artiklan nojalla nimettyjen valvontaelinten ja direktiivin (EU) 2022/2555 8 artiklan 1 kohdan nojalla nimettyjen tai perustettujen toimivaltaisten viranomaisten välillä. Jos kyseinen valvontaelin on muu kuin kyseinen toimivaltainen viranomainen, niiden olisi tehtävä tiivistä ja oikea-aikaista yhteistyötä vaihtamalla asiaankuuluvia tietoja, jotta voidaan varmistaa tehokas valvonta ja se, että luottamuspalvelun tarjoajat noudattavat asetuksessa (EU) N:o 910/2014 ja direktiivissä (EU) 2022/2555 säädettyjä vaatimuksia. Asetuksen (EU) N:o 910/2014 nojalla nimetyillä valvontaelimillä olisi erityisesti oltava oikeus pyytää direktiivin (EU) 2022/2555 nojalla nimettyjä tai perustettuja toimivaltaisia viranomaisia antamaan hyväksytyn aseman myöntämiseksi tarvittavat tiedot ja toteuttamaan valvontatoimia sen varmistamiseksi, että luottamuspalvelun tarjoajat noudattavat direktiivin (EU) 2022/2555 mukaisia asiaankuuluvia vaatimuksia, tai vaatimaan niitä korjaamaan vaatimusten noudattamatta jättämisen.

(52)

On olennaisen tärkeää säätää oikeudellisesta kehyksestä, jolla edistetään rajat ylittävää tunnustamista sähköisiin rekisteröityihin jakelupalveluihin liittyvien olemassa olevien kansallisten oikeusjärjestelmien välillä. Tämä kehys voisi myös avata unionin luottamuspalvelun tarjoajille uusia markkinamahdollisuuksia uusien unionin laajuisten sähköisten rekisteröityjen jakelupalvelujen tarjoamiseksi. Sen varmistamiseksi, että hyväksyttyä sähköistä rekisteröityä jakelupalvelua käytettäessä tiedot toimitetaan oikealle vastaanottajalle, hyväksyttyjen sähköisten rekisteröityjen jakelupalvelujen olisi varmistettava täysin varmasti vastaanottajan tunnistaminen, kun taas lähettäjän tunnistamiseen riittää korkea luottamustaso. Jäsenvaltioiden olisi kannustettava hyväksyttyjen sähköisten rekisteröityjen jakelupalvelujen tarjoajia varmistamaan, että niiden palvelut ovat yhteentoimivia muiden hyväksyttyjen luottamuspalvelun tarjoajien tarjoamien hyväksyttyjen sähköisten rekisteröityjen jakelupalvelujen kanssa, jotta sähköisesti rekisteröidyt tiedot voidaan siirtää helposti kahden tai useamman hyväksytyn luottamuspalvelun tarjoajan välillä ja jotta oikeudenmukaisia käytäntöjä voidaan edistää sisämarkkinoilla.

(53)

Useimmissa tapauksissa unionin kansalaiset ja muut asukkaat eivät voi vaihtaa valtioiden rajojen yli turvallisesti ja korkeatasoisella tietosuojatasolla henkilöllisyyteensä liittyviä digitaalisia tietoja, kuten osoitetta, ikää, ammattipätevyyttä, ajokorttia ja muita lupia sekä maksutietoja.

(54)

Olisi oltava mahdollista antaa ja käsitellä luotettavia sähköisiä attribuutteja ja auttaa vähentämään hallinnollista taakkaa antamalla unionin kansalaisille ja muille asukkaille mahdollisuus käyttää niitä yksityisissä ja julkisissa transaktioissaan. Unionin kansalaisten ja muiden asukkaiden olisi esimerkiksi voitava osoittaa, että heillä on hallussaan jonkin jäsenvaltion viranomaisen myöntämä voimassa oleva ajokortti, jonka muiden jäsenvaltioiden asianomaiset viranomaiset voivat todentaa ja johon ne voivat luottaa, tai käyttää sosiaaliturvaan liitettyjä tietojaan tai tulevia sähköisiä matkustusasiakirjoja rajatylittävässä yhteydessä.

(55)

Palveluntarjoaja, joka myöntää sähköisessä muodossa olevia todistettuja attribuutteja, kuten tutkintotodistuksia, lisenssejä, syntymätodistuksia tai valtuuksia ja valtuutuksia edustaa luonnollisia henkilöitä tai oikeushenkilöitä tai toimia heidän taikka niiden puolesta, olisi pidettävä luottamuspalvelun tarjoajana, joka myöntää sähköisiä attribuuttitodistuksia. Sähköisen attribuuttitodistuksen oikeusvaikutuksia ei saisi kieltää sillä perusteella, että se on sähköisessä muodossa tai että se ei täytä hyväksytyn sähköisen attribuuttitodistuksen vaatimuksia. Olisi vahvistettava yleiset vaatimukset sen varmistamiseksi, että hyväksytyllä sähköisellä attribuuttitodistuksella on samanlaiset oikeusvaikutukset kuin laillisesti annetuilla paperimuotoisilla todistuksilla. Näitä vaatimuksia olisi kuitenkin sovellettava rajoittamatta sellaisen unionin oikeuden tai kansallisen lainsäädännön soveltamista, jossa määritellään muotoa koskevia alakohtaisia lisävaatimuksia, joilla on oikeusvaikutuksia, ja tarvittaessa erityisesti rajoittamatta hyväksytyn sähköisen attribuuttitodistuksen rajatylittävää tunnustamista.

(56)

Eurooppalaisten digitaalisen identiteetin lompakoiden laajan saatavuuden ja käytettävyyden olisi lisättävä niiden hyväksyntää ja niihin kohdistuvaa luottamusta sekä yksityishenkilöiden että yksityisten palveluntarjoajien keskuudessa. Tästä syystä yksityisten luottavien osapuolten, jotka tarjoavat palveluja esimerkiksi liikenteen, energian, pankki- ja rahoituspalvelujen, sosiaaliturvan, terveydenhuollon, juomaveden, postipalvelujen, digitaalisen infrastruktuurin, televiestinnän tai koulutuksen aloilla, olisi hyväksyttävä eurooppalaisten digitaalisen identiteetin lompakoiden käyttö sellaisten palvelujen tarjoamisessa, joissa unionin oikeuden tai kansallisen lainsäädännön tai sopimusvelvoitteiden mukaisesti edellytetään käyttäjien vahvaa todentamista verkossa tapahtuvaa tunnistamista varten. Luottavan osapuolen eurooppalaisen digitaalisen identiteetin lompakon käyttäjälle tekemien tietopyyntöjen olisi oltava tarpeellisia ja oikeassa suhteessa aiottuun käyttöön tietyssä tapauksessa, niiden olisi oltava tietojen minimoinnin periaatteen mukaisia ja niiden olisi varmistettava avoimuus sen suhteen, mitä tietoja jaetaan ja mihin tarkoituksiin. Eurooppalaisen digitaalisen identiteetin lompakon käytön ja hyväksymisen helpottamiseksi sen käyttöönotossa olisi otettava huomioon toimialan laajalti hyväksytyt standardit ja eritelmät.

(57)

Jos Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2065 (15) 33 artiklan 1 kohdassa määritellyt erittäin suuret verkkoalustat vaativat käyttäjien todentautuvan verkkopalveluihin pääsyä varten, kyseiset alustat olisi velvoitettava hyväksymään eurooppalaisten digitaalisen identiteetin lompakoiden käyttö käyttäjän vapaaehtoisesta pyynnöstä. Käyttäjillä ei saisi olla velvollisuutta käyttää eurooppalaista digitaalisen identiteetin lompakkoa yksityisten palvelujen saamiseksi, eikä heidän pääsyään palveluihin saisi rajoittaa tai estää sillä perusteella, että he eivät käytä eurooppalaista digitaalisen identiteetin lompakkoa. Jos käyttäjät kuitenkin niin haluavat, erittäin suurten verkkoalustojen olisi hyväksyttävä ne tähän tarkoitukseen noudattaen tietojen minimoinnin periaatetta ja käyttäjien oikeutta käyttää vapaasti valittuja pseudonyymejä. Velvoite hyväksyä eurooppalainen digitaalisen identiteetin lompakko on tarpeen, jotta voidaan paremmin suojata käyttäjiä petoksilta ja varmistaa korkeatasoinen tietosuoja, kun otetaan huomioon erittäin suurten verkkoalustojen merkitys, mikä johtuu niiden kattavuudesta, erityisesti palvelun käyttäjien ja taloudellisten transaktioiden lukumääränä ilmaistuna.

(58)

Unionin tasolla olisi kehitettävä käytännesääntöjä, jotta edistettäisiin sähköisen tunnistamisen menetelmien, myös eurooppalaisten digitaalisen identiteetin lompakoiden, laajaa saatavuutta ja käytettävyyttä tämän asetuksen soveltamisalalla. Käytännesäännöillä olisi helpotettava sitä, että palveluntarjoajat, joita ei voida pitää erittäin suurina verkkoalustoina ja jotka käyttävät kolmannen osapuolen tarjoamia sähköisiä tunnistuspalveluja käyttäjien todentamisessa, hyväksyvät laajasti sähköisen tunnistamisen menetelmät, myös eurooppalaiset digitaalisen identiteetin lompakot.

(59)

Valikoiva luovuttaminen tarkoittaa, että tietojen omistajalle annetaan valtuudet luovuttaa vain tietyt laajemman tietokokonaisuuden osat, jotta vastaanottava yhteisö saa ainoastaan käyttäjän pyytämän palvelun tarjoamiseen tarvittavat tiedot. Eurooppalaisen digitaalisen identiteetin lompakon olisi teknisesti mahdollistettava attribuuttien valikoiva luovuttaminen luottaville osapuolille. Käyttäjälle olisi oltava teknisesti mahdollista valikoivasti luovuttaa attribuutit, myös useista erillisistä sähköisistä todistuksista, ja yhdistää ja esittää ne saumattomasti luottaville osapuolille. Tästä ominaisuudesta olisi tultava eurooppalaisen digitaalisen identiteetin lompakon perusominaisuus, mikä lisää käyttömukavuutta ja henkilötietojen suojaa, johon kuuluu tietojen minimointi.

(60)

Ellei unionin oikeuden tai kansallisen lainsäädännön erityisissä säännöissä edellytetä, että käyttäjät tunnistautuvat, palvelujen käyttöä pseudonyymillä ei saisi kieltää.

(61)

Hyväksyttyjen luottamuspalvelun tarjoajien osana hyväksyttyä sähköistä attribuuttitodistusta tarjoamat attribuutit olisi tarkastettava virallisista lähteistä joko suoraan hyväksytyn luottamuspalvelun tarjoajan toimesta tai sellaisten nimettyjen välittäjien avulla, jotka on unionin oikeuden tai kansallisen lainsäädännön mukaisesti tunnustettu kansallisella tasolla harjoittamaan todistettujen attribuuttien suojattua vaihtoa tunnistuspalvelun tai attribuuttitodistusten tarjoajien ja luottavien osapuolten välillä. Jäsenvaltioiden olisi otettava käyttöön asianmukaiset kansallisen tason mekanismit sen varmistamiseksi, että hyväksyttyjä sähköisiä attribuuttitodistuksia myöntävät hyväksytyt luottamuspalvelun tarjoajat voivat sen henkilön suostumuksella, jolle todistus on myönnetty, todentaa attribuuttien aitouden virallisten lähteiden perusteella. Asianmukaisiin mekanismeihin olisi voitava kuulua erityisten välittäjien tai teknisten ratkaisujen käyttö kansallisen lainsäädännön mukaisesti, mahdollistaen virallisten lähteiden saatavuuden. Varmistamalla, että saatavilla on attribuuttien todentamisen virallisista lähteistä mahdollistava mekanismi, on tarkoitus helpottaa hyväksyttyjen sähköisten attribuuttitodistusten hyväksyttyjen luottamuspalvelujen tarjoajien asetuksessa (EU) N:o 910/2014 säädettyjen velvoitteiden noudattamista. Kyseisen asetuksen uudessa liitteessä olisi oltava luettelo attribuuttiluokista, joiden osalta jäsenvaltioiden olisi varmistettava, että toteutetaan toimenpiteitä, jotta sähköisten attribuuttitodistusten hyväksytyt tarjoajat voivat käyttäjän pyynnöstä tarkistaa sähköisesti niiden aitouden asianomaisesta virallisesta lähteestä.

(62)

Turvallisessa sähköisessä tunnistamisessa ja attribuuttitodistusten antamisessa olisi tarjottava rahoituspalvelualalle lisäjoustoa ja -ratkaisuja, jotka mahdollistavat asiakkaiden tunnistamisen ja sellaisten erityisten attribuuttien vaihdon, joita tarvitaan esimerkiksi tulevan, rahanpesuntorjuntaviranomaisen perustamista koskevan asetuksen [viite lisätään ehdotuksen hyväksymisen jälkeen] mukaisten asiakkaan tuntemisvelvollisuutta koskevien vaatimusten ja sijoittajansuojalainsäädännöstä johtuvien soveltuvuusvaatimusten noudattamiseksi tai sähköisenä tunnistamisena tehtävää asiakkaan vahvaa todentamista koskevien vaatimusten noudattamisen tukemiseksi tilille kirjautumista ja maksutapahtumien käynnistämistä varten maksupalvelujen alalla.

(63)

Sähköisen allekirjoituksen oikeusvaikutuksia ei saa kiistää sillä perusteella, että se on sähköisessä muodossa tai että se ei täytä hyväksytyn sähköisen allekirjoituksen vaatimuksia. Sähköisten allekirjoitusten oikeusvaikutukset määritellään kuitenkin kansallisessa lainsäädännössä, lukuun ottamatta tässä asetuksessa säädettyjä vaatimuksia, joiden mukaan hyväksytyn sähköisen allekirjoituksen oikeusvaikutukset on katsottava samanveroisiksi kuin käsin kirjoitetun allekirjoituksen oikeusvaikutukset. Määrittäessään sähköisten allekirjoitusten oikeusvaikutuksia jäsenvaltioiden olisi otettava huomioon suhteellisuusperiaate allekirjoitettavan asiakirjan oikeudellisen arvon sekä sähköisen allekirjoituksen edellyttämän turvallisuustason ja kustannusten välillä. Sähköisten allekirjoitusten saatavuuden ja käytön lisäämiseksi jäsenvaltioita kannustetaan harkitsemaan kehittyneiden sähköisten allekirjoitusten käyttöä päivittäisissä transaktioissa, joille ne takaavat riittävän turvallisuuden ja luotettavuuden tason.

(64)

Jotta voidaan varmistaa sertifiointikäytäntöjen johdonmukaisuus kaikkialla unionissa, komission olisi annettava ohjeet hyväksyttyjen sähköisen allekirjoituksen luontivälineiden ja hyväksyttyjen sähköisen leiman luontivälineiden sertifioinnista ja uudelleensertifioinnista, mukaan lukien niiden voimassaolo ja ajalliset rajoitukset. Tämä asetus ei estä julkisia tai yksityisiä elimiä, joilla on sertifioituja hyväksyttyjä sähköisen allekirjoituksen luontivälineitä, uudelleensertifioimasta väliaikaisesti tällaisia välineitä lyhyeksi sertifiointijaksoksi edellisen sertifiointimenettelyn tulosten perusteella, jos tällaista uudelleensertifiointia ei voida suorittaa laissa määritellyssä määräajassa muusta syystä kuin tietoturvaloukkauksesta tai turvallisuushäiriöstä johtuen, sanotun kuitenkaan rajoittamatta velvoitetta suorittaa haavoittuvuusarviointi ja rajoittamatta sovellettavaa sertifiointikäytäntöä.

(65)

Verkkosivustojen todentamisen varmenteiden myöntämisen on tarkoitus tarjota käyttäjille korkean varmuustason takeet verkkosivuston taustalla olevan tahon identiteetistä, riippumatta siitä, mitä alustaa kyseisen identiteetin näyttämiseen käytetään. Kyseisten varmenteiden olisi lisättävä luottamusta verkossa asiointiin, koska käyttäjät luottaisivat verkkosivustoon, joka on todennettu. Tällaisten varmenteiden käytön olisi oltava vapaaehtoista verkkosivustoille. Jotta verkkosivustojen todentamisesta tulisi keino lisätä luottamusta, parantaa käyttäjän kokemusta ja edistää kasvua sisämarkkinoilla, tässä asetuksessa säädetään luottamuskehyksestä, joka sisältää tietoturvaa ja vastuuta koskevat vähimmäisvelvoitteet hyväksyttyjen verkkosivustojen todentamisen varmenteiden tarjoajien ja kyseisten varmenteiden myöntämisen edellytysten osalta. Kansallisissa luotetuissa luetteloissa olisi vahvistettava verkkosivustojen todentamispalvelujen ja niiden luottamuspalvelun tarjoajien hyväksytty asema, mukaan lukien se, että ne noudattavat kaikilta osin tämän asetuksen vaatimuksia verkkosivustojen todentamisen hyväksyttyjen varmenteiden myöntämisen osalta. Verkkosivustojen todentamisen hyväksyttyjen varmenteiden tunnustamisella tarkoitetaan, että verkkoselainten tarjoajat eivät saisi kieltää verkkosivustojen todentamisen hyväksyttyjen varmenteiden aitoutta ainoastaan verkkosivuston verkkotunnuksen ja sen luonnollisen henkilön tai oikeushenkilön, jolle varmenne on myönnetty, välisen yhteyden todistamiseksi tai kyseisen henkilön henkilöllisyyden vahvistamiseksi. Verkkoselainten tarjoajien olisi esitettävä varmennetut henkilöllisyystiedot ja muut todistetut attribuutit loppukäyttäjälle käyttäjäystävällisellä tavalla selainympäristössä käyttämällä valitsemiaan teknisiä keinoja. Tätä varten verkkoselainten tarjoajien olisi varmistettava tuki verkkosivustojen todentamisen hyväksytyille varmenteille, jotka on myönnetty noudattaen kaikilta osin tätä asetusta, ja yhteentoimivuus niiden kanssa. Verkkosivustojen todentamisen hyväksyttyjen varmenteiden tunnustamista, yhteentoimivuutta ja tukemista koskeva velvoite ei vaikuta verkkoselainten tarjoajien vapauteen varmistaa verkkoturvallisuus, verkkotunnusten todentaminen ja verkkoliikenteen salaus tarkoituksenmukaisimmaksi katsomallaan tavalla ja teknologialla. Jotta voidaan edistää loppukäyttäjien verkkoturvallisuutta, verkkoselainten tarjoajien olisi poikkeuksellisissa olosuhteissa voitava toteuttaa tarpeellisia ja oikeasuhteisia varotoimenpiteitä vastauksena perusteltuihin huolenaiheisiin, jotka koskevat tietoturvaloukkauksia tai yksilöidyn varmenteen tai varmennesarjan eheyden menetystä. Kun verkkoselainten tarjoajat toteuttavat tällaisia varotoimenpiteitä, niiden olisi ilmoitettava ilman aiheetonta viivytystä komissiolle, kansalliselle valvontaelimelle, taholle, jolle todistus on myönnetty, ja kyseisen varmenteen tai varmennesarjan myöntäneelle hyväksytylle luottamuspalvelun tarjoajalle tällaista tietoturvaloukkausta tai eheyden menetystä koskevasta huolenaiheesta sekä toimenpiteistä, jotka on toteutettu kyseisen varmenteen tai varmennesarjan osalta. Nämä toimenpiteet eivät saisi rajoittaa verkkoselainten tarjoajien velvollisuutta tunnustaa verkkosivustojen todentamisen hyväksytyt varmenteet kansallisten luotettujen luetteloiden mukaisesti. Unionin kansalaisten sekä unionissa asuvien henkilöiden suojelun ja verkkosivustojen todentamisen hyväksyttyjen varmenteiden käytön edistämiseksi edelleen jäsenvaltioiden viranomaisten olisi harkittava verkkosivustojen todentamisen hyväksyttyjen varmenteiden sisällyttämistä verkkosivustoihinsa. Tässä asetuksessa säädetyillä toimenpiteillä, joilla pyritään lisäämään johdonmukaisuutta valvontamenettelyihin liittyvien jäsenvaltioiden erilaisten lähestymistapojen ja käytäntöjen välillä, pyritään parantamaan luottamusta verkkosivustojen todentamisen hyväksyttyjen varmenteiden turvallisuuteen, laatuun ja saatavuuteen.

(66)

Monet jäsenvaltiot ovat ottaneet käyttöön kansallisia vaatimuksia turvallista ja luotettavaa sähköistä arkistointia tarjoaville palveluille, jotta sähköisiä tietoja ja sähköisiä asiakirjoja ja niihin liittyviä luottamuspalveluja voidaan säilyttää pitkällä aikavälillä. Jotta oikeusvarmuus, luottamus ja yhdenmukaistaminen voidaan varmistaa kaikissa jäsenvaltioissa, olisi vahvistettava hyväksyttyjä sähköisiä arkistointipalveluja koskeva oikeudellinen kehys, joka perustuu tässä asetuksessa säädettyyn muita luottamuspalveluja koskevaan kehykseen. Hyväksyttyjä sähköisiä arkistointipalveluja koskevan oikeudellisen kehyksen olisi tarjottava luottamuspalvelun tarjoajille ja käyttäjille tehokas välineistö, jossa huomioidaan sähköisen arkistointipalvelun toiminnalliset vaatimukset sekä selkeät oikeusvaikutukset, kun käytetään hyväksyttyä sähköistä arkistointipalvelua. Kyseisiä säännöksiä olisi sovellettava sähköisiin tietoihin ja sähköisessä muodossa luotuihin sähköisiin asiakirjoihin sekä paperiasiakirjoihin, jotka on skannattu ja digitoitu. Kyseisten säännösten olisi tarvittaessa sallittava säilytettyjen sähköisten tietojen ja sähköisten asiakirjojen siirtäminen eri tallennusvälineille tai -muodoille, jotta niiden kestävyyttä ja luettavuutta voidaan jatkaa teknologista voimassaoloaikaa pidemmälle, samalla kun tietojen häviämistä ja muuttumista ehkäistään mahdollisuuksien mukaan. Jos sähköiseen arkistointipalveluun toimitetut sähköiset tiedot ja sähköiset asiakirjat sisältävät yhden tai useamman hyväksytyn sähköisen allekirjoituksen tai hyväksytyn sähköisen leiman, palvelun olisi käytettävä menettelyjä ja teknologioita, joilla voidaan pidentää niiden luotettavuutta tällaisten tietojen säilyttämisajan verran, mahdollisesti käyttämällä muita tällä asetuksella vahvistettuja hyväksyttyjä luottamuspalveluja. Jotta voidaan luoda säilyttämistä koskevaa näyttöä sähköisten allekirjoitusten, sähköisten leimojen tai sähköisten aikaleimojen käytön osalta olisi käytettävä hyväksyttyjä luottamuspalveluja. Siltä osin kuin sähköisiä arkistointipalveluja ei yhdenmukaisteta tällä asetuksella, jäsenvaltioilla olisi oltava mahdollisuus pitää voimassa tai ottaa käyttöön kyseisiä palveluja koskevia unionin oikeuden mukaisia kansallisia säännöksiä, kuten erityissäännöksiä, jotka koskevat organisaatioon integroituja palveluja ja joita käytetään vain kyseisen organisaation sisäisissä arkistoissa. Tässä asetuksessa ei saisi tehdä eroa sähköisten tietojen ja sähköisessä muodossa luotujen sähköisten asiakirjojen ja digitoitujen fyysisten asiakirjojen välillä.

(67)

Kansallisten arkistojen ja muistiorganisaatioiden eli organisaatioiden, jotka on omistettu asiakirjaperinnön säilyttämiselle yleisen edun vuoksi, toimintaa säädellään yleensä kansallisella lainsäädännöllä ja ne eivät välttämättä tarjoa tässä asetuksessa tarkoitettuja luottamuspalveluja. Siltä osin kuin tällaiset laitokset eivät tarjoa tällaisia luottamuspalveluja, tämä asetus ei vaikuta niiden toimintaan.

(68)

Sähköiset tilikirjat ovat sarja sähköisiä tietueita, joilla olisi varmistettava tietojen eheys ja kronologisen järjestyksen oikeellisuus. Sähköisten tilikirjojen olisi muodostettava kronologinen sarja tietueita. Yhdessä muiden teknologioiden kanssa niiden olisi edistettävä ratkaisuja tehokkaampien ja muutosvoimaisempien julkisten palvelujen luomiseksi, kuten sähköinen äänestäminen, tulliviranomaisten rajatylittävä yhteistyö, akateemisten laitosten rajatylittävä yhteistyö ja kiinteistöjen omistusoikeuden kirjaaminen hajautettuihin maarekistereihin. Hyväksyttyjen sähköisten tilikirjojen olisi luotava oikeudellinen olettama tilikirjan tietueiden yksilöllisestä ja oikeellisesta peräkkäisestä kronologisesta järjestyksestä ja eheydestä. Sähköisten tilikirjojen erityisattribuuteista, kuten tietueiden peräkkäisestä kronologisesta järjestyksestä, johtuen sähköiset tilikirjat olisi erotettava muista luottamuspalveluista, kuten sähköisistä aikaleimoista ja sähköisistä rekisteröidyistä jakelupalveluista. Oikeusvarmuuden varmistamiseksi ja innovoinnin edistämiseksi olisi luotava unionin laajuinen oikeudellinen kehys, jossa säädetään luottamuspalvelujen rajatylittävästä tunnustamisesta tietojen tallentamiseksi sähköisiin tilikirjoihin. Tämän olisi riittävällä tavalla estettävä saman digitaalisen omaisuuden kopiointi ja myynti eri osapuolille useammin kuin kerran. Sähköisen tilikirjan laatimis- ja päivittämisprosessi riippuu käytetyn tilikirjan tyypistä eli siitä, onko se keskitetty vai jaettu. Tällä asetuksella olisi varmistettava teknologianeutraalius eli se, ettei suosita eikä syrjitä mitään teknologiaa, jota käytetään uuden sähköisten tilikirjojen luottamuspalvelun toteuttamiseen. Lisäksi komission olisi asianmukaisia menetelmiä käyttäen otettava huomioon ilmastoon kohdistuvia haitallisia vaikutuksia tai muita ympäristöön liittyviä haitallisia vaikutuksia koskevat kestävyysindikaattorit, kun se laatii täytäntöönpanosäädöksiä, joissa täsmennetään hyväksyttyjä sähköisiä tilikirjoja koskevat vaatimukset.

(69)

Sähköisten tilikirjojen luottamuspalvelun tarjoajien tehtävä olisi varmistaa tietojen peräkkäinen kirjaaminen tilikirjaan. Tämä asetus ei vaikuta sähköisten tilikirjojen käyttäjien unionin oikeuden tai kansallisen lainsäädännön mukaisiin oikeudellisiin velvoitteisiin. Esimerkiksi käyttötapauksissa, joihin liittyy henkilötietojen käsittelyä, olisi noudatettava asetusta (EU) 2016/679, ja rahoituspalveluihin liittyvien käyttötapausten olisi oltava asiaankuuluvan unionin rahoituspalvelulainsäädännön mukaisia.

(70)

Jotta voidaan välttää erilaisista standardeista ja teknisistä rajoituksista johtuva sisämarkkinoiden hajanaisuus ja esteet ja varmistaa koordinoitu prosessi ja jotta ei vaikuteta eurooppalaisen digitaalisen identiteetin kehyksen täytäntöönpanoon, tarvitaan komission, jäsenvaltioiden, kansalaisyhteiskunnan, tiedeyhteisön ja yksityisen sektorin välistä tiivistä ja jäsenneltyä yhteistyötä. Tämän tavoitteen saavuttamiseksi jäsenvaltioiden ja komission olisi tehtävä yhteistyötä komission suosituksessa (EU) 2021/946 (16) vahvistetuissa puitteissa, jotta voidaan määrittää välineistö eurooppalaista digitaalisen identiteetin kehystä varten. Jäsenvaltioiden olisi tässä yhteydessä sovittava kattavasta teknisestä arkkitehtuurista ja viitekehyksestä, yhteisistä standardeista ja teknisistä viiteasiakirjoista, mukaan lukien tunnustetut olemassa olevat standardit, sekä parhaita käytäntöjä koskevista suuntaviivoista ja kuvauksista, jotka kattavat vähintään kaikki eurooppalaisten digitaalisen identiteetin lompakoiden toiminnot ja yhteentoimivuuden, sähköiset allekirjoitukset mukaan luettuina, sekä tässä asetuksessa tarkoitettuja sähköisiä attribuuttitodistuksia tarjoavan hyväksytyn luottamuspalvelun. Tässä yhteydessä jäsenvaltioiden olisi myös päästävä sopimukseen eurooppalaisten digitaalisen identiteetin lompakoiden liiketoimintamallin ja maksurakenteen yhteisistä osatekijöistä lompakoiden käyttöönoton helpottamiseksi rajatylittävissä yhteyksissä erityisesti pk-yrityksissä. Välineistön sisältöä olisi kehitettävä rinnakkain eurooppalaista digitaalisen identiteetin kehystä koskevan keskustelun ja hyväksymisprosessin kanssa ja siinä olisi otettava huomioon niiden tulokset.

(71)

Tässä asetuksessa säädetään hyväksyttyjen luottamuspalvelujen laadun, luotettavuuden ja turvallisuuden yhdenmukaisesta tasosta riippumatta siitä, missä toimintaa harjoitetaan. Hyväksytyn luottamuspalvelun tarjoajan olisi voitava ulkoistaa hyväksytyn luottamuspalvelun tarjoamiseen liittyvät toimensa kolmanteen maahan, jos kyseinen kolmas maa antaa riittävät takeet ja varmistaa, että valvontatoimet ja tarkastukset voidaan panna täytäntöön ikään kuin ne suoritettaisiin unionissa. Jos tämän asetuksen noudattamista ei voida täysin varmistaa, valvontaelinten olisi voitava hyväksyä oikeasuhtaisia ja perusteltuja toimenpiteitä, mukaan lukien luottamuspalvelulle annetun hyväksytyn aseman peruuttaminen.

(72)

Kehittyneen ja hyväksyttyyn varmenteeseen perustuvan sähköisen allekirjoituksen pätevyyttä koskevan oikeusvarmuuden varmistamiseksi on tärkeää, että kyseisen hyväksyttyihin varmenteisiin perustuvan kehittyneen sähköisen allekirjoituksen validoinnin suorittavan luottavan osapuolen tekemä arviointi määritellään.

(73)

Luottamuspalvelujen tarjoajien olisi käytettävä salausmenetelmiä nykyisten parhaiden käytäntöjen mukaisesti ja kyseisten algoritmien luotettavaa täytäntöönpanoa voidakseen varmistaa luottamuspalvelujensa turvallisuuden ja luotettavuuden.

(74)

Tässä asetuksessa säädetään hyväksyttyjen luottamuspalvelun tarjoajien velvollisuudesta todentaa sellaisen luonnollisen henkilön tai oikeushenkilön henkilöllisyys, jolle hyväksytty varmenne tai hyväksytty sähköinen attribuuttitodistus on myönnetty, käyttäen unionissa yhdenmukaistettuja eri menetelmiä. Sen varmistamiseksi, että hyväksytyt varmenteet ja hyväksytyt sähköiset attribuuttitodistukset myönnetään henkilölle, jolle ne kuuluvat, ja että niissä todistetaan kyseisen henkilön henkilöllisyyttä kuvaavat oikeat ja yksilölliset tiedot, hyväksyttyjä varmenteita tai hyväksyttyjä sähköisiä attribuuttitodistuksia myöntävien hyväksyttyjen luottamuspalvelun tarjoajien olisi kyseisiä varmenteita ja todistuksia myöntäessään varmistettava, että kyseessä oleva henkilö tunnistetaan täydellä varmuudella. Henkilön henkilöllisyyden pakollisen todentamisen lisäksi ja sovellettavissa tapauksissa, kun on kyse hyväksyttyjen varmenteiden ja hyväksyttyjen sähköisten attribuuttitodistusten myöntämisestä, hyväksyttyjen luottamuspalvelun tarjoajien olisi todennettava täydellä varmuudella sen henkilön varmennettujen attribuuttien oikeellisuus ja paikkansapitävyys, jolle hyväksytty varmenne tai hyväksytty sähköinen attribuuttitodistus on myönnetty. Näitä tulosvelvoitteita ja täydellistä varmuutta todistettujen tietojen todentamisessa olisi tuettava asianmukaisin keinoin, muun muassa käyttämällä yhtä tässä asetuksessa säädettyä menetelmää tai tarvittaessa menetelmien yhdistelmää. Näitä menetelmiä olisi voitava yhdistää, jotta voidaan luoda asianmukainen perusta sen henkilön henkilöllisyyden todentamiselle, jolle hyväksytty varmenne tai hyväksytty sähköinen attribuuttitodistus on myönnetty. Tällaiseen yhdistelmään olisi voitava sisältyä turvautuminen korotetun varmuustason vaatimukset täyttäviin sähköisen tunnistamisen menetelmiin yhdessä muiden henkilöllisyyden todentamiskeinojen kanssa. Tällainen sähköinen tunnistaminen mahdollistaisi tässä asetuksessa säädettyjen yhdenmukaistettujen vaatimusten täyttymisen korkean varmuustason osalta osana yhdenmukaistettuja etämenettelyjä, joilla varmistetaan tunnistamisen korkea luottamustaso. Näihin menetelmiin olisi sisällyttävä hyväksytyn sähköisen attribuuttitodistuksen myöntävän hyväksytyn luottamuspalvelun tarjoajan mahdollisuus todentaa attribuutit, jotka on todennettava sähköisesti käyttäjän pyynnöstä unionin oikeuden tai kansallisen lainsäädännön mukaisesti, myös käyttämällä virallisia lähteitä.

(75)

Jotta voidaan pitää tämä asetus globaalin kehityksen mukaisena ja noudattaa sisämarkkinoiden parhaita käytäntöjä, komission hyväksymiä delegoituja säädöksiä ja täytäntöönpanosäädöksiä olisi säännöllisesti tarkasteltava uudelleen ja tarvittaessa ajantasaistettava. Kyseisten päivitysten tarpeellisuuden arvioinnissa olisi otettava huomioon uudet teknologiat, käytännöt, standardit tai tekniset eritelmät.

(76)

Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa tämän asetuksen tavoitteita, eli unionin laajuisen eurooppalaisen digitaalisen identiteetinkehyksen ja luottamuspalvelukehyksen kehittämistä, vaan ne voidaan sen laajuuden ja vaikutusten vuoksi saavuttaa paremmin unionin tasolla. Sen vuoksi unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Mainitussa artiklassa vahvistetun suhteellisuusperiaatteen mukaisesti tässä asetuksessa ei ylitetä sitä, mikä on tarpeen kyseisten tavoitteiden saavuttamiseksi.

(77)

Euroopan tietosuojavaltuutettua on kuultu asetuksen (EU) 2018/1725 42 artiklan 1 kohdan mukaisesti.

(78)

Asetus (EU) N:o 910/2014 olisi sen vuoksi muutettava vastaavasti,

1)

korvataan 1 artikla seuraavasti:

2)

muutetaan 2 artikla seuraavasti:

3)

muutetaan 3 artikla seuraavasti:

4)

korvataan 5 artikla seuraavasti:

5)

lisätään II lukuun jakso seuraavasti:

(*2)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2019/882, annettu 17 päivänä huhtikuuta 2019, tuotteiden ja palvelujen esteettömyysvaatimuksista (EUVL L 151, 7.6.2019, s. 70)."

(*3)  Euroopan parlamentin ja neuvoston asetus (EU) 2019/881, annettu 17 päivänä huhtikuuta 2019, Euroopan unionin kyberturvallisuusvirasto ENISAsta ja tieto- ja viestintätekniikan kyberturvallisuussertifioinnista sekä asetuksen (EU) N:o 526/2013 kumoamisesta (kyberturvallisuusasetus) (EUVL L 151, 7.6.2019, s. 15)."

(*4)  Komission suositus 2003/361/EY, annettu 6 päivänä toukokuuta 2003, mikroyritysten sekä pienten ja keskisuurten yritysten määritelmästä (EUVL L 124, 20.5.2003, s. 36)."

(*5)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/2065, annettu 19 päivänä lokakuuta 2022, digitaalisten palvelujen sisämarkkinoista ja direktiivin 2000/31/EY muuttamisesta (digipalvelusäädös) (EUVL L 277, 27.10.2022, s. 1).”;"

6)

lisätään ennen 6 artiklaa otsikko seuraavasti:

7)

korvataan 7 artiklan g alakohta seuraavasti:

8)

korvataan 8 artiklan 3 kohdan ensimmäinen alakohta seuraavasti:

9)

korvataan 9 artiklan 2 ja 3 kohta seuraavasti:

10)

korvataan 10 artiklan otsikko seuraavasti:

”Sähköisen tunnistamisen järjestelmien tietoturvaloukkaus”;

11)

lisätään artikla seuraavasti:

12)

muutetaan 12 artikla seuraavasti:

13)

lisätään II lukuun artiklat seuraavasti:

(*6)  Euroopan parlamentin ja neuvoston asetus (EU) 2022/1925, annettu 14 päivänä syyskuuta 2022, kilpailullisista ja oikeudenmukaisista markkinoista digitaalialalla ja direktiivien (EU) 2019/1937 ja (EU) 2020/1828 muuttamisesta (digimarkkinasäädös) (EUVL L 265, 12.10.2022, s. 1).”;"

14)

korvataan 13 artiklan 1 kohta seuraavasti:

15)

korvataan 14, 15 ja 16 artikla seuraavasti:

(*7)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2555, annettu 14 päivänä joulukuuta 2022, toimenpiteistä kyberturvallisuuden yhteisen korkean tason varmistamiseksi kaikkialla unionissa, asetuksen (EU) N:o 910/2014 ja direktiivin (EU) 2018/1972 muuttamisesta sekä direktiivin (EU) 2016/1148 kumoamisesta (NIS 2 -direktiivi) (EUVL L 333, 27.12.2022, s. 80).”;"

16)

korvataan III luvun 2 jakson otsikko seuraavasti:

”Ei-hyväksytyt luottamuspalvelut”;

17)

kumotaan 17 ja 18 artikla;

18)

lisätään III luvun 2 jaksoon artikla seuraavasti:

19)

muutetaan 20 artikla seuraavasti:

20)

muutetaan 21 artikla seuraavasti:

21)

muutetaan 24 artikla seuraavasti:

22)

lisätään III luvun 3 jaksoon artikla seuraavasti:

23)

kumotaan 25 artiklan 3 kohta;

24)

muutetaan 26 artikla seuraavasti:

25)

kumotaan 27 artiklan 4 kohta;

26)

korvataan 28 artiklan 6 kohta seuraavasti:

27)

lisätään 29 artiklaan kohta seuraavasti:

28)

lisätään artikla seuraavasti:

29)

lisätään 30 artiklaan kohta seuraavasti:

30)

korvataan 31 artiklan 3 kohta seuraavasti:

31)

muutetaan 32 artikla seuraavasti:

32)

lisätään artikla seuraavasti:

33)

korvataan 33 artiklan 2 kohta seuraavasti:

34)

muutetaan 34 artikla seuraavasti:

35)

kumotaan 35 artiklan 3 kohta;

36)

muutetaan 36 artikla seuraavasti:

37)

kumotaan 37 artiklan 4 kohta;

38)

korvataan 38 artiklan 6 kohta seuraavasti:

39)

lisätään artikla seuraavasti:

40)

lisätään III luvun 5 jaksoon artikla seuraavasti:

41)

kumotaan 41 artiklan 3 kohta;

42)

muutetaan 42 artikla seuraavasti:

43)

muutetaan 44 artikla seuraavasti:

44)

korvataan 45 artikla seuraavasti:

45)

lisätään artikla seuraavasti:

46)

lisätään III lukuun jaksot seuraavasti:

47)

lisätään luku seuraavasti:

48)

muutetaan 47 artikla seuraavasti:

49)

lisätään VI lukuun artikla seuraavasti:

50)

korvataan 49 artikla seuraavasti:

51)

korvataan 51 artikla seuraavasti:

52)

muutetaan liitteet I–IV tämän asetuksen liitteiden I–IV mukaisesti;

53)

lisätään uudet liitteet V, VI ja VII tämän asetuksen liitteiden V, VI ja VII mukaisesti.