(1)

Jotta voidaan rekisteröidä luottavat osapuolet, jotka aikovat luottaa eurooppalaisiin digitaalisen identiteetin lompakoihin, jäljempänä ’lompakot’, digitaalisten julkisten tai yksityisten palvelujen tarjoamiseksi, kuten asetuksessa (EU) N:o 910/2014 edellytetään, jäsenvaltioiden olisi perustettava ja ylläpidettävä kansallisia rekistereitä alueelleen sijoittautuneista lompakkoon luottavista osapuolista.

(2)

Komissio arvioi säännöllisesti uusia teknologioita, käytäntöjä, standardeja ja teknisiä eritelmiä. Jotta lompakoiden kehittämisessä ja sertifioinnissa voidaan varmistaa mahdollisimman suuri yhdenmukaistaminen jäsenvaltioiden kesken, tässä asetuksessa vahvistetut tekniset eritelmät perustuvat työhön, jota on tehty komission suosituksen (EU) 2021/946 (2) nojalla, ja erityisesti siihen kuuluvaan arkkitehtuuriin ja viitekehykseen. Euroopan parlamentin ja neuvoston asetuksen (EU) 2024/1183 (3) johdanto-osan 75 kappaleen mukaan komission olisi tarkasteltava uudelleen ja tarvittaessa päivitettävä tätä asetusta sen pitämiseksi maailmanlaajuisen kehityksen ja arkkitehtuurin ja viitekehyksen mukaisena sekä sisämarkkinoiden parhaiden käytäntöjen noudattamiseksi.

(3)

Jotta voidaan varmistaa rekisterien laaja käytettävyys ja saavuttaa yhteentoimivuus, jäsenvaltioiden olisi perustettava sekä ihmisen että koneellisesti luettavissa olevia rajapintoja, jotka täyttävät tässä asetuksessa vahvistetut tekniset eritelmät. Lompakkoon luottavan osapuolen pääsyvarmenteiden ja, jos niitä on saatavilla, lompakkoon luottavan osapuolen rekisteröintivarmenteiden tarjoajien olisi myös voitava käyttää näitä rajapintoja kyseisten varmenteiden myöntämiseksi.

(4)

Rekisteröintiperiaatteissa lompakkoon luottaville osapuolille annetaan selkeää ohjeistusta rekisteröintiprosessista, joten jäsenvaltioiden olisi laadittava ja julkaistava alueellaan perustettuihin kansallisiin rekistereihin sovellettavat rekisteröintiperiaatteet.

(5)

Lompakkoon luottavien osapuolten rekisteröinnin tarkoituksena on lisätä luottamusta lompakoiden käyttöön suuremman avoimuuden avulla. Sen vuoksi jäsenvaltioiden olisi asetettava asiaankuuluvat tiedot yleisön saataville sekä ihmisen että koneellisesti luettavassa muodossa. Tätä varten lompakkoon luottavien osapuolten olisi toimitettava kansallisiin rekistereihin tarvittavat tiedot, mukaan lukien valtuutuksensa.

(6)

Lisäksi lompakkoon luottavien osapuolten olisi avoimuuden vuoksi ilmoitettava, aikovatko ne käyttää luonnollisten henkilöiden sähköistä tunnistamista.

(7)

Jotta voidaan varmistaa, että rekisteröintiprosessi on kustannustehokas ja oikeassa suhteessa riskiin, rekisterinpitäjien olisi tarjottava lompakkoon luottaville osapuolille verkossa toteutettuja ja tarvittaessa automatisoituja rekisteröintiprosesseja, joita on helppo käyttää. Rekisterinpitäjien olisi tarkistettava rekisteröintihakemukset ilman aiheetonta viivytystä.

(8)

Jäsenvaltioiden olisi varmistettava, että lompakot voivat todentaa lompakkoon luottavat osapuolet riippumatta siitä, mihin ne ovat sijoittautuneet unionissa. Lompakkoon luottavien osapuolten olisi käytettävä tähän tarkoitukseen lompakkoon luottavan osapuolen pääsyvarmenteita, kun ne tunnistautuvat lompakkoyksiköille. Jotta voidaan taata näiden varmenteiden yhteentoimivuus kaikissa unionissa tarjottavissa lompakoissa, lompakkoon luottavan osapuolen pääsyvarmenteiden olisi oltava liitteessä vahvistettujen yhteisten vaatimusten mukaisia. Komission olisi kehitettävä yhdenmukaistettuja varmennepolitiikkoja ja varmennuskäytäntöjä, jotka jäsenvaltioiden olisi pantava täytäntöön. Komission olisi yhteistyössä jäsenvaltioiden kanssa seurattava tiiviisti sellaisten uusien tai vaihtoehtoisten standardien kehittämistä, joiden pohjalta luottavan osapuolen pääsyvarmenteet voitaisiin toteuttaa. Erityisesti olisi arvioitava luottamusmalleja, joiden toimivuus ja turvallisuus on osoitettu jäsenvaltioissa.

(9)

Kuten asetuksessa (EU) N:o 910/2014 säädetään, lompakkoon luottavat osapuolet saavat pyytää käyttäjiltä ainoastaan niitä tietoja, jotka on ilmoitettu rekisteröintiprosessissa lompakoiden aiottua käyttötarkoitusta varten. Lompakon käyttäjien olisi voitava tarkistaa lompakkoon luottavien osapuolten rekisteröintitiedot. Jotta lompakon käyttäjät voisivat tarkistaa, että lompakkoon luottavan osapuolen pyytämät attribuutit kuuluvat tämän rekisteröityihin attribuutteihin, jäsenvaltiot voivat edellyttää lompakkoon luottavan osapuolen rekisteröintivarmenteiden myöntämistä rekisteröidyille lompakkoon luottaville osapuolille. Lompakkoon luottavan osapuolen rekisteröintivarmenteiden yhteentoimivuuden varmistamiseksi jäsenvaltioiden olisi varmistettava, että kyseiset varmenteet täyttävät liitteessä vahvistetut vaatimukset ja standardit. Avoimuuden vuoksi lompakkoon luottavien osapuolten olisi erityisesti ilmoitettava, aikovatko ne käyttää luonnollisten henkilöiden sähköistä tunnistamista täyttääkseen jonkin Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (4) 6 artiklan 1 kohdassa säädetyistä edellytyksistä. Lisäksi luottavat osapuolet eivät saisi kieltää pseudonyymien käyttöä, jos unionin oikeudessa tai kansallisessa lainsäädännössä ei edellytetä käyttäjän tunnistamista.

(10)

Jotta käyttäjiä voidaan suojella tietojen liialliselta jakamiselta lompakkoon luottavien osapuolten kanssa ja varoittaa heitä tällaisissa tapauksissa, jäsenvaltioiden olisi sisällytettävä varmennepolitiikkoihinsa yhteiset käyttöperiaatteet, joiden mukaisesti lompakkoratkaisu voisi ilmoittaa lompakon käyttäjälle aina, kun lompakkoon luottava osapuoli pyytää enemmän tietoja kuin mitä se on rekisteröinyt tai on saanut luvan käyttää.

(11)

Lompakon käyttäjien suojelemiseksi rekisterinpitäjien olisi voitava keskeyttää tai peruuttaa lompakkoon luottavan osapuolen rekisteröinti ilman ennakkoilmoitusta, jos rekisterinpitäjillä on syytä uskoa, että rekisteröinti sisältää virheellisiä, vanhentuneita tai harhaanjohtavia tietoja, että lompakkoon luottava osapuoli ei noudata rekisteröintiperiaatteita tai että lompakkoon luottava osapuoli muutoin rikkoo unionin tai kansallista lainsäädäntöä tai digitaalisen vuosikymmenen digitaalisia oikeuksia ja periaatteita koskevaa eurooppalaista julistusta (5) tavalla, joka liittyy sen rooliin lompakkoon luottavana osapuolena, esimerkiksi jos lompakkoon luottava osapuoli ei ole oikealla tavalla minimoinut niiden attribuuttien joukkoa, joihin se pyytää pääsyä. Eurooppalaisen digitaalisen identiteetin lompakon ekosysteemin, jäljempänä ’lompakkoekosysteemi’, vakauden turvaamiseksi rekisteröinnin keskeyttämistä tai peruuttamista koskevan päätöksen olisi oltava oikeassa suhteessa keskeyttämisen tai peruuttamisen aiheuttamaan palvelukeskeytykseen ja siihen liittyviin palveluntarjoajalle ja käyttäjälle aiheutuviin kustannuksiin ja haittoihin. Asetuksen (EU) N:o 910/2014 46 a artiklan 4 kohdan f alakohdan mukaisesti valvontaelimillä olisi myös oltava valtuudet keskeyttää ja peruuttaa rekisteröinti tarvittaessa.

(12)

Rekisterinpitäjien olisi säilytettävä kaikki lompakkoon luottavien osapuolten kansallisiin rekistereihin toimittamat tiedot kymmenen vuoden ajan jälkiseurantaa, lainvalvontaviranomaisten suorittamaa tutkintaa ja riitojen käsittelyä varten.

(13)

Tämän asetuksen mukaisiin henkilötietojen käsittelytoimiin sovelletaan asetusta (EU) 2016/679 ja tarvittaessa Euroopan parlamentin ja neuvoston direktiiviä 2002/58/EY (6).

(14)

Euroopan tietosuojavaltuutettua on kuultu Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (7) 42 artiklan 1 kohdan mukaisesti, ja hän antoi lausuntonsa 31 päivänä tammikuuta 2025.

(15)

Tässä asetuksessa säädetyt toimenpiteet ovat asetuksen (EU) N:o 910/2014 48 artiklalla perustetun komitean lausunnon mukaiset,

1)

’lompakkoon luottavalla osapuolella’ luottavaa osapuolta, joka aikoo luottaa lompakkoyksikköihin julkisten tai yksityisten palvelujen tarjoamiseksi digitaalisen vuorovaikutuksen avulla;

2)

’lompakkoyksiköllä’ lompakkoratkaisun ainutlaatuista konfiguraatiota, johon kuuluvat lompakon ilmentymät, lompakon suojatut salaussovellukset ja lompakon suojatut salauslaitteet ja jonka lompakon tarjoaja tarjoaa yksittäiselle lompakon käyttäjälle;

3)

’lompakkoratkaisulla’ ohjelmistojen, laitteiden, palvelujen, asetusten ja konfiguraatioiden yhdistelmää, mukaan lukien lompakon ilmentymät, yksi tai useampi lompakon suojattu salaussovellus ja yksi tai useampi lompakon suojattu salauslaite;

4)

’lompakon ilmentymällä’ sovellusta, joka on asennettu ja konfiguroitu lompakon käyttäjän laitteeseen tai ympäristöön ja on osa lompakkoyksikköä ja jota lompakon käyttäjä käyttää ollakseen vuorovaikutuksessa lompakkoyksikön kanssa;

5)

’lompakon suojatulla salaussovelluksella’ sovellusta, joka hallitsee kriittisiä resursseja linkittymällä lompakon suojatun salauslaitteen tarjoamiin salausteknisiin ja muihin toimintoihin ja käyttämällä näitä toimintoja;

6)

’lompakon suojatulla salauslaitteella’ väärinkäytöltä suojattua laitetta, joka tarjoaa lompakon suojattuun salaussovellukseen liitetyn ja sen käyttämän ympäristön kriittisten resurssien suojaamiseksi ja salaustoimintojen tarjoamiseksi kriittisten toimintojen turvallista suorittamista varten;

7)

’kriittisillä resursseilla’ lompakkoyksikössä olevia tai siihen liittyviä resursseja, jotka ovat niin merkittäviä, että niiden saatavuuden, luottamuksellisuuden tai eheyden vaarantuminen erittäin vakavasti heikentäisi kykyä luottaa lompakkoyksikköön;

8)

’lompakon tarjoajalla’ lompakkoratkaisuja tarjoavaa luonnollista henkilöä tai oikeushenkilöä;

9)

’lompakon käyttäjällä’ käyttäjää, jonka hallinnassa lompakkoyksikkö on;

10)

’lompakkoon luottavien osapuolten kansallisella rekisterillä’ kansallista sähköistä rekisteriä, jota jäsenvaltio käyttää asettaakseen julkisesti saataville kyseisessä jäsenvaltiossa rekisteröityjä lompakkoon luottavia osapuolia koskevat tiedot asetuksen (EU) N:o 910/2014 5 b artiklan 5 kohdan mukaisesti;

11)

’lompakkoon luottavan osapuolen pääsyvarmenteiden tarjoajalla’ luonnollista henkilöä tai oikeushenkilöä, jonka jäsenvaltio on valtuuttanut myöntämään lompakkoon luottavan osapuolen pääsyvarmenteita kyseisessä jäsenvaltiossa rekisteröidyille lompakkoon luottaville osapuolille;

12)

’lompakkoon luottavan osapuolen pääsyvarmenteella’ lompakkoon luottavan osapuolen pääsyvarmenteiden tarjoajan myöntämää sähköisten leimojen tai allekirjoitusten varmennetta, jolla todennetaan ja validoidaan lompakkoon luottava osapuoli;

13)

’henkilön tunnistetietojen tarjoajalla’ luonnollista henkilöä tai oikeushenkilöä, joka on vastuussa henkilön tunnistetietojen myöntämisestä ja peruuttamisesta sekä sen varmistamisesta, että käyttäjälle kuuluvat henkilön tunnistetiedot on salausteknisesti sidottu lompakkoyksikköön;

14)

’lompakkoon luottavien osapuolten rekisterinpitäjällä’ jäsenvaltion nimeämää elintä, joka on vastuussa jäsenvaltion alueelle sijoittautuneiden rekisteröityjen lompakkoon luottavien osapuolten luettelon laatimisesta ja ylläpitämisestä;

15)

’lompakkoon luottavan osapuolen rekisteröintivarmenteella’ dataobjektia, jossa kuvataan luottavan osapuolen aiottu käyttötarkoitus ja joka ilmaisee attribuutit, jotka luottava osapuoli on rekisteröinyt aikoakseen pyytää niitä käyttäjiltä;

16)

’lompakkoon luottavan osapuolen rekisteröintivarmenteiden tarjoajalla’ luonnollista henkilöä tai oikeushenkilöä, jonka jäsenvaltio on valtuuttanut myöntämään lompakkoon luottavan osapuolen rekisteröintivarmenteita kyseisessä jäsenvaltiossa rekisteröidyille lompakkoon luottaville osapuolille.