(1)

Uredbom (EU) br. 910/2014 zahtijeva se da europska lisnica za digitalni identitet („lisnica”) i prijavljena sredstva elektroničke identifikacije budu mogući načini autentifikacije za dobivanje pristupa prekograničnim internetskim javnim uslugama koje pružaju države članice. U tim su slučajevima prekogranične autentifikacije evidencije s informacijama o korisniku lisnice ili korisniku prijavljenih sredstava elektroničke identifikacije ponekad već dostupne pouzdajućoj strani putem njezina vlastitog registra ili vanjskog registra, a često i u obliku korisničkog računa. U tim slučajevima pouzdajuća strana ili strana koja djeluje u njezino ime može potvrditi jednakost određenih informacija o korisniku koje su preuzete iz lisnica ili prijavljenih sredstava elektroničke identifikacije. To bi se moglo postići, primjerice, primjenom centraliziranog rješenja, kojim bi upravljalo tijelo javnog sektora, za potvrdu informacija koje ta pouzdajuća strana već ima ili su već u registru referentnom za pouzdajuću stranu, što bi mogao biti registar stanovništva ili baza podataka s informacijama o korisničkim računima.

(2)

Komisija redovito ocjenjuje nove tehnologije, prakse, norme i tehničke specifikacije. Kako bi države članice u najvećoj mogućoj mjeri usklađeno razvijale i certificirale lisnice, tehničke specifikacije utvrđene u ovoj Uredbi temelje se na Preporuci Komisije (EU) 2021/946 (2), osobito na njezinu arhitekturnom i referentnom okviru. U skladu s uvodnom izjavom 75. Uredbe (EU) 2024/1183 Europskog parlamenta i Vijeća (3) Komisija bi ovu Uredbu trebala preispitivati i, prema potrebi, ažurirati kako bi bila u skladu s globalnim kretanjima, arhitekturnim i referentnim okvirom te provjerenim praksama na unutarnjem tržištu.

(3)

Kako bi postupak potvrđivanja identiteta funkcionirao pouzdano u svim državama članicama, kad fizička osoba prvi put zatraži pristup usluzi kojom upravlja pouzdajuća strana, države članice koje djeluju kao pouzdajuće strane identitet bi prvi put trebale potvrditi na temelju najmanjeg skupa podataka iz Provedbene uredbe Komisije (EU) 2015/1501 (4) ili skupa osobnih identifikacijskih podataka iz Provedbene uredbe Komisije (EU) 2024/2977 (5). Ova se Uredba odnosi na države članice koje djeluju kao pouzdajuće strane, a Uredbom (EU) br. 910/2014 prepušta se državama članicama da odluče hoće li sustav potvrđivanja identiteta biti dostupan i privatnim pouzdajućim stranama. Ako države članice omoguće dostupnost potvrđivanja identiteta pouzdajućim stranama koje nisu tijela javnog sektora, trebale bi u najvećoj mogućoj mjeri primjenjivati mehanizme i postupke utvrđene u ovoj Uredbi.

(4)

Kad je riječ o prekograničnom potvrđivanju identiteta pri korištenju lisnica, informacije koje se upotrebljavaju za nedvosmisleno potvrđivanje identiteta trebale bi biti obvezne identifikacijske oznake podataka za skup osobnih identifikacijskih podataka iz odjeljka 1. Priloga Provedbenoj uredbi (EU) 2024/2977, zajedno sa svim neobveznim podacima koji su nužni za potvrdu jedinstvenosti tog skupa osobnih identifikacijskih podataka.

(5)

Kad je riječ o prekograničnom potvrđivanju identiteta pri korištenju prijavljenih sredstava elektroničke identifikacije, informacije koje se upotrebljavaju za nedvosmisleno potvrđivanje identiteta trebali bi biti obvezni atributi najmanjeg skupa podataka za fizičku osobu kako je utvrđeno u odjeljku 1. Priloga Provedbenoj uredbi (EU) 2015/1501. Obvezne atribute najmanjeg skupa podataka za fizičku osobu trebalo bi tumačiti u kontekstu Provedbene uredbe (EU) 2015/1501, u kojoj je atribut dio najmanjeg skupa osobnih identifikacijskih podataka, a ne prema definiciji atributa iz članka 3. točke 43. Uredbe (EU) br. 910/2014 kako je izmijenjena Uredbom (EU) 2024/1183.

(6)

Postupak potvrđivanja identiteta možda neće uvijek biti uspješan jer pouzdajuća strana identitet mora nedvosmisleno potvrditi na temelju postojećih informacija. Kako bi se pouzdajućim stranama omogućila odgovarajuća fleksibilnost, države članice mogu uvesti dopunske postupke kojima se postiže jednako pouzdan ishod postupka potvrđivanja identiteta.

(7)

Kad se zaključi da je postupak potvrđivanja identiteta uspješan u skladu s odredbama ove Uredbe, pouzdajuća strana ili strana koja djeluje u njezino ime ili registar referentan za pouzdajuće strane ili centralizirani sustav trebali bi osigurati da je korisnik obaviješten o uspješnoj registraciji, među ostalim prikazivanjem korisničkog imena ili pseudonima i, prema potrebi, o raspoloživim opcijama pohrane rezultata postupka potvrđivanja identiteta. Te opcije mogu biti, među ostalim, pohrana asocijacije u registar kojim upravlja pouzdajuća strana i/ili u registar koji joj je referentan i/ili izdavanje namjenske elektroničke potvrde atributa koja sadržava asocijaciju koja se može ponovno upotrijebiti i/ili alternativne mogućnosti koje pruža pouzdajuća strana ili strana koja djeluje u njezino ime. Ako je primjenjivo, korisnici bi trebali moći odabrati opciju i imati kontrolu nad vremenom čuvanja kako bi dovršene postupke potvrđivanja identiteta mogli ponovno iskoristiti.

(8)

Kad se identitet korisnika ne uspije potvrditi, radi veće transparentnosti i bolje korisničke kontrole korisniku bi trebalo jasno obrazložiti zašto je potvrđivanje bilo neuspješno. Osim toga, korisnika bi trebalo informirati o svim mogućim sljedećim koracima. To bi trebalo uključivati informacije koje su korištene u postupku potvrđivanja identiteta i sva utvrđena nepodudaranja te jasna objašnjenja i upute o mogućim pravnim sredstvima i dopunskim postupcima.

(9)

Kako bi pri svakom potvrđivanju identiteta bili dostupni odgovarajući mehanizmi pravne zaštite, pouzdajuće strane ili strane koje djeluju u njihovo ime ili registri referentni za pouzdajuće strane trebali bi voditi odgovarajuću evidenciju o postupku potvrđivanja identiteta, informacijama koje se upotrebljavaju za potvrđivanje i bilo kojoj drugoj popratnoj dokumentaciji koju je dala fizička osoba te ishodu postupka potvrđivanja identiteta. Ta bi se evidencija trebala čuvati najmanje šest, a najviše 12 mjeseci kako bi se omogućila registracija i obrada pritužbi korisnika. Vrijeme čuvanja može se produljiti ako je tako propisano pravom Unije ili nacionalnim pravom.

(10)

Kako korisnici lisnice ne bi morali ponavljati postupak potvrđivanja identiteta, države članice mogu zahtijevati da sustavi za potvrđivanje identiteta imaju mogućnost izdavanja elektroničke potvrde atributa koja sadržava vezu između korisnika lisnice i registra u kojem je taj korisnik registriran kao poznati korisnik. Druga je mogućnost da države članice pohrane asocijaciju kao upućivanje na registar koji je dostupan pouzdajućoj strani ili upotrijebe druge pomoćne metode.

(11)

Kako bi lisnice koje se stavljaju na raspolaganje u skladu sa zahtjevima iz članka 5.a stavka 1. Uredbe (EU) br. 910/2014 i prijavljeni sustavi elektroničke identifikacije mogli iskoristiti prednosti funkcionalnih sustava za potvrđivanje identiteta, potrebno je odrediti dulji rok za primjenu odgovarajućih odredaba ove Uredbe. Kad je riječ o lisnicama, svaka država članica trebala bi staviti na raspolaganje najmanje jednu lisnicu u roku od 24 mjeseca od datuma stupanja na snagu provedbenih akata iz članka 5.a stavka 23. i članka 5.c stavka 6. Uredbe (EU) br. 910/2014. Stoga bi se primjena relevantnih odredaba ove Uredbe o potvrđivanju identiteta na temelju lisnica trebala podudarati s tim vremenskim okvirom. Kad je riječ o prijavljenim sustavima elektroničke identifikacije, trebalo bi dati dovoljno vremena za zamjenu funkcionalnosti za potvrđivanje identiteta.

(12)

Budući da je korištenje lisnice dobrovoljno, države članice trebale bi korisnicima omogućiti alternativne metode pristupa uslugama koje pružaju kad djeluju kao pouzdajuće strane.

(13)

Kad se novi korisnik želi autentificirati za elektroničku uslugu, registracija tog korisnika može biti izvedena na neprimjetan način, tako da mu vizualno i tehnički može izgledati isto kao kad se u tu uslugu prijavljuje kao postojeći korisnik. Zbog toga bi se za potrebe ove Uredbe registracija novog korisnika za elektroničku uslugu trebala smatrati istovjetnom uspješnom postupku potvrđivanja identiteta.

(14)

Države članice trebale bi se pobrinuti da postupak potvrđivanja identiteta funkcionira neometano i da za korisnika ne bude višestrukih promjena sesije i repetitivnih koraka, čak i ako taj postupak isprva nije uspješan i moraju se provesti dopunski postupci.

(15)

Države članice mogu koncipirati svoja korisnička sučelja i obavijesti na način koji odgovara njihovu nacionalnom kontekstu, uzimajući u obzir smisao zahtjeva sadržanih u ovoj Uredbi.

(16)

Na sve aktivnosti obrade osobnih podataka na temelju ove Uredbe primjenjuju se Uredba (EU) 2016/679 Europskog parlamenta i Vijeća (6) i, prema potrebi, Direktiva 2002/58/EZ Europskog parlamenta i Vijeća (7).

(17)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (8) te je on dao mišljenje 31. siječnja 2025.

(18)

Mjere predviđene u ovoj Uredbi u skladu su s mišljenjem Odbora osnovanog člankom 48. Uredbe (EU) br. 910/2014,