(1)

A 910/2014/EU rendelettel létrehozott európai digitális személyazonossági keret kulcsfontosságú alapeleme a digitális személyazonosság Unió-szerte létrehozandó biztonságos és interoperábilis ökoszisztémájának. Az európai digitális személyiadat-tárcák (a továbbiakban: adattárcák) az egyik sarokkövét képezik ennek a keretnek, amelynek célja megkönnyíteni a szolgáltatásokhoz való hozzáférést a tagállamokban, és egyúttal biztosítani a személyes adatok és a magánélet védelmét.

(2)

Az (EU) 2016/679 európai parlamenti és tanácsi rendelet (2) és adott esetben a 2002/58/EK európai parlamenti és tanácsi irányelv (3) az e rendelet szerinti valamennyi személyesadat-kezelési tevékenységre alkalmazandó.

(3)

A 910/2014/EU rendelet 5a. cikkének (23) bekezdése felhatalmazza a Bizottságot, hogy szükség esetén megállapítsa a releváns specifikációkat és eljárásokat. E célból négy végrehajtási rendelet kerül elfogadásra, amelyek a protokollok és interfészek az (EU) 2024/2982 bizottsági végrehajtási rendelet (4), az integritás és az alapvető funkciók az (EU) 2024/2979 bizottsági végrehajtási rendelet (5), a személyazonosító adatok és az elektronikus attribútumtanúsítványok az (EU) 2024/2977 bizottsági végrehajtási rendelet (6), illetve a Bizottságnak küldendő bejelentések az (EU) 2024/2980 bizottsági végrehajtási rendelet (7) aspektusait szabályozzák. Ez a rendelet az európai digitális személyiadat-tárcák részére kiállítandó személyazonosító adatokra és elektronikus attribútumtanúsítványokra vonatkozó releváns követelményeket határozza meg.

(4)

A Bizottság rendszeresen értékeli az új technológiákat, gyakorlatokat, szabványokat és technikai specifikációkat. Az adattárcák fejlesztése és tanúsítása terén a tagállamok közötti lehető legmagasabb szintű harmonizáció biztosítása érdekében az e végrehajtási rendeletben meghatározott technikai specifikációk az európai digitális személyazonossági keretre irányuló összehangolt megközelítés közös uniós eszköztáráról szóló, 2021. június 3-i (EU) 2021/946 bizottsági ajánlás (8) nyomán elvégzett munkára támaszkodnak, különösen a keret részét képező architektúra és referenciakeret tekintetében. Az (EU) 2024/1183 európai parlamenti és tanácsi rendelet (9) (75) preambulumbekezdése értelmében a Bizottságnak rendszeresen felül kell vizsgálnia, és szükség esetén aktualizálnia kell ezt a végrehajtási rendeletet, hogy az megfeleljen a globális fejleményeknek, az architektúrának és a referenciakeretnek, valamint igazodjon a belső piaci bevált gyakorlatokhoz.

(5)

A beépített és alapértelmezett adatvédelem biztosítása érdekében az adattárcákat több, a magánélet védelmét erősítő funkcióval kell ellátni annak megakadályozására, hogy az elektronikus azonosító eszközök és az elektronikus attribútumtanúsítványok szolgáltatói más szolgáltatások nyújtása során szerzett személyes adatokat kombináljanak a 910/2014/EU rendelet hatálya alá tartozó szolgáltatások nyújtása céljából kezelt személyes adatokkal.

(6)

A harmonizáció érdekében bizonyos közös funkcióknak minden adattárcában rendelkezésre kell állniuk, beleértve – az adattárca-felhasználó kizárólagos ellenőrzése mellett – a személyazonosító adatok és az elektronikus attribútumtanúsítványok biztonságos kérelmezését, megszerzését, kiválasztását, kombinálását, tárolását, törlését, megosztását és megjelenítését. Annak érdekében, hogy a személyazonosító adatok és az elektronikus attribútumtanúsítványok minden egyes adattárcaegységen keresztül feldolgozhatók legyenek, a személyazonosító adatok attribútumaira vonatkozó technikai specifikációkat, az adatok formátumát és a személyazonosító adatok megfelelő megbízhatóságának biztosításához szükséges infrastruktúrát valamennyi adattárca-megoldásnak támogatnia kell. A személyazonosító adatok attribútumaira vonatkozó közös specifikációk célja továbbá annak biztosítása, hogy ezeket az adatokat szükség szerint a személyazonosság megfeleltetésére lehessen használni.

(7)

A tagállamoknak biztosítaniuk kell, hogy az adattárcák képesek legyenek az igénybe vevő feleknek, valamint a személyazonosító adatok vagy elektronikus attribútumtanúsítványok szolgáltatóinak a hitelesítésére, függetlenül azok Unión belüli letelepedési helyétől. Ennek érdekében ezeknek a feleknek adattárca-igénybevevői hozzáférési tanúsítványokat kell használniuk, amikor az adattárcaegységekkel szemben azonosítják magukat. Annak érdekében, hogy ezek a tanúsítványok az Unión belül rendelkezésre álló valamennyi adattárca tekintetében interoperábilisak legyenek, az adattárca-igénybevevők hozzáférési tanúsítványainak meg kell felelniük bizonyos közös szabványoknak. A Bizottságnak a tagállamokkal együttműködve szorosan nyomon kell követnie az olyan új vagy alternatív szabványok kidolgozását, amelyekre az igénybe vevő felek hozzáférési tanúsítványai épülhetnek. Ennek keretében különösen azokat a megbízhatósági modelleket kell megvizsgálni, amelyek hatékonysága és biztonságossága a tagállamokban már bizonyítást nyert.

(8)

Az adattárca-felhasználók számára biztosítandó átláthatóság érdekében a tagállamoknak információkat kell közzétenniük arról, hogy a területükön letelepedett személyazonosítóadat-szolgáltatók mely adattárca-megoldásokat támogatják. Mivel a felhasználók személyazonosságának a lehető legmegbízhatóbbnak kell lennie, a személyazonosító adatok kiállítása előtt „magas” közös biztonsági szintet kell előírni az adattárca-felhasználók személyazonosságának igazolására, a 910/2014/EU rendeletben az elektronikus azonosító eszközökre vonatkozóan meghatározott „magas” biztonsági szintnek megfelelően. Ez Unió-szerte az adattárcaegységek lehető legmagasabb szintű megbízhatóságát garantálja az azonosító eszközök részére. Az adattárca-felhasználók „magas” biztonsági szinten történő nyilvántartásba vétele során különböző biztonságos folyamatok lehetségesek, például abban az esetben, ha beigazolódott, hogy az adattárca-felhasználó birtokában van egy, azon tagállam által elismert – de nem általa kibocsátott – fényképes vagy biometriai azonosító bizonyítéknak, ahol az elektronikus azonosító eszköz igénylése történik, és a bizonyíték igazolja az állítólagos személyazonosságot, akkor a bizonyítékot ellenőrizni kell annak megállapítása céljából, hogy az releváns hiteles forrás szerint érvényes-e.

(9)

Az interoperabilitás támogatása érdekében az elektronikus attribútumtanúsítványoknak meg kell felelniük a formátumokra vonatkozó harmonizált követelményeknek.

(10)

Az adattárca-felhasználók adatainak védelme és az elektronikus attribútumtanúsítványok hitelességének biztosítása érdekében a tanúsítványok adattárcaegységek részére történő kibocsátása előtt mechanizmusokat kell alkalmazni az elektronikus attribútumtanúsítványok szolgáltatóinak hitelesítésére, továbbá az érintett szolgáltató által biztosított adattárcaegységek hitelességének és érvényességének ellenőrzésére.

(11)

Annak érdekében, hogy az adattárcaegységek részére kiállított, de időközben jogi érvényességüket vesztett személyazonosító adatokat és elektronikus attribútumtanúsítványokat már ne lehessen felhasználni és igénybe venni, a személyazonosító adatok és az elektronikus attribútumtanúsítványok szolgáltatóinak közzé kell tenniük egy szabályrendszert, amely meghatározza a visszavonás feltételeit és eljárásait.

(12)

Annak érdekében, hogy az adattárca-felhasználó a személyazonosító adatok alapján egyedileg azonosítható legyen, a tagállamoknak a személyazonosító adatok e rendeletben meghatározott kötelező attribútumai mellett fakultatív attribútumokat is biztosítaniuk kell, amelyek szükségesek a személyazonosító adatok egyediségének biztosításához.

(13)

Az európai adatvédelmi biztossal az (EU) 2018/1725 európai parlamenti és tanácsi rendelet (10) 42. cikkének (1) bekezdésével összhangban konzultációra került sor, és a biztos 2024. szeptember 30-án véleményt nyilvánított.

(14)

Az e rendeletben előírt intézkedések összhangban vannak a 910/2014/EU rendelet 48. cikkében említett bizottság véleményével,

1.

„adattárca-felhasználó”: az a felhasználó, aki az adattárcaegység felett ellenőrzést és irányítást gyakorol;

2.

„adattárcaegység”: az adattárca-megoldás egyedi konfigurációja, amely olyan adattárcapéldányokat, adattárca-biztonsági kriptográfiai alkalmazásokat és adattárca-biztonsági kriptográfiai eszközöket foglal magában, amelyeket az adattárca-szolgáltató nyújt egy adott adattárca-felhasználónak;

3.

„adattárca-megoldás”: szoftverek, hardverek, szolgáltatások, beállítások és konfigurációk kombinációja, beleértve az adattárcapéldányokat, egy vagy több adattárca-biztonsági kriptográfiai alkalmazást és egy vagy több adattárca-biztonsági kriptográfiai eszközt;

4.

„személyazonosítóadat-szolgáltató”: az a természetes vagy jogi személy, aki vagy amely felelős a személyazonosító adatok kiállításáért és visszavonásáért, és garantálja azt, hogy a felhasználó személyazonosító adatai kriptográfiai eszközökkel egy adattárcaegységgel legyenek összekötve;

5.

„adattárcaegység-tanúsítvány”: olyan adatobjektum, amely leírja az adattárca összetevőit, vagy lehetővé teszi ezen összetevők hitelességének ellenőrzését és érvényesítését;

6.

„adattárcapéldány”: az adattárca-felhasználó eszközére vagy környezetére telepített és konfigurált alkalmazás, amely egy adattárcaegység részét képezi, és amelyet az adattárca-felhasználó az adattárcaegységgel folytatott interakcióhoz használ;

7.

„adattárca-biztonsági kriptográfiai alkalmazás”: olyan alkalmazás, amely kritikus eszközöket kezel az adattárca-biztonsági kriptográfiai eszközhöz kapcsolódva és az eszköz kriptográfiai és nem kriptográfiai funkcióinak használatával;

8.

„adattárca-biztonsági kriptográfiai eszköz”: olyan, illetéktelen módosítás ellen védett eszköz, amely egy, az adattárca-biztonsági kriptográfiai alkalmazáshoz kapcsolódó és általa használt környezetet biztosít a kritikus eszközök védelme és a kritikus műveletek biztonságos végrehajtásához szükséges kriptográfiai funkciók biztosítása érdekében;

9.

„adattárca-szolgáltató”: adattárca-megoldásokat kínáló természetes vagy jogi személy;

10.

„kritikus eszközök”: az adattárcaegységen belüli vagy azzal kapcsolatban álló olyan rendkívüli jelentőségű adatok, eszközök, amelyek rendelkezésre állásának, titkosításának és integritásának sérülése nagyon súlyosan károsítaná az adattárcaegység megbízhatóságát;

11.

„adattárca-igénybevevő”: olyan igénybe vevő fél, amely digitális interakció útján köz- vagy magánszolgáltatások nyújtása céljából adattárcaegységeket szándékozik igénybe venni;

12.

„adattárca-igénybevevői hozzáférési tanúsítvány”: az adattárca-igénybevevő hozzáférési tanúsítványának szolgáltatója által kibocsátott elektronikusbélyegző- vagy aláírás-tanúsítvány, amely ellenőrzi és érvényesíti az adattárca-igénybevevő hitelességét;

13.

„adattárca-igénybevevői hozzáférési tanúsítvány szolgáltatója”: az a természetes vagy jogi személy, akit vagy amelyet valamely tagállam megbíz azzal, hogy az igénybe vevő felek hozzáférési tanúsítványait az adott tagállamban nyilvántartásba vett adattárca-igénybevevők számára kibocsássa.