(1)

A 910/2014/EU rendelettel létrehozott európai digitális személyazonossági keret kulcsfontosságú alapeleme a digitális személyazonosság Unió-szerte létrehozandó biztonságos és interoperábilis ökoszisztémájának. Az európai digitális személyiadat-tárcák (a továbbiakban: adattárcák) az egyik sarokkövét képezik ennek a keretnek, amelynek célja megkönnyíteni a természetes és jogi személyek számára a szolgáltatásokhoz való hozzáférést a tagállamokban, és egyúttal biztosítani a személyes adatok és a magánélet védelmét.

(2)

Az (EU) 2016/679 európai parlamenti és tanácsi rendelet (2) és adott esetben a 2002/58/EK európai parlamenti és tanácsi irányelv (3) az e rendelet szerinti valamennyi személyesadat-kezelési tevékenységre alkalmazandó.

(3)

A 910/2014/EU rendelet 5a. cikkének (23) bekezdése felhatalmazza a Bizottságot, hogy szükség esetén megállapítsa a releváns specifikációkat és eljárásokat. E célból négy végrehajtási rendelet kerül elfogadásra, amelyek a protokollok és interfészek a 2024/2982 bizottsági végrehajtási rendelet (4), az integritás és az alapvető funkciók: az (EU) 2024/2979 bizottsági végrehajtási rendelet (5), a személyazonosító adatok és az elektronikus attribútumtanúsítványok, az (EU) 2024/2977 bizottsági végrehajtási rendelet (6), illetve a Bizottságnak küldendő bejelentések az (EU) 2024/2980 bizottsági végrehajtási rendelet (7) aspektusait szabályozzák. Ez a rendelet a protokollokra és interfészekre vonatkozó releváns követelményeket határozza meg.

(4)

A Bizottság rendszeresen értékeli az új technológiákat, gyakorlatokat, szabványokat és technikai specifikációkat. Az adattárcák fejlesztése és tanúsítása terén a tagállamok közötti lehető legmagasabb szintű harmonizáció biztosítása érdekében az e rendeletben meghatározott technikai specifikációk az európai digitális személyazonossági keretre irányuló összehangolt megközelítés közös uniós eszköztáráról szóló, 2021. június 3-i (EU) 2021/946 bizottsági ajánlás (8) nyomán elvégzett munkára támaszkodnak, különösen az architektúra és a referenciakeret tekintetében. Az (EU) 2024/1183 európai parlamenti és tanácsi rendelet (9) (75) preambulumbekezdése értelmében a Bizottságnak rendszeresen felül kell vizsgálnia, és szükség esetén aktualizálnia kell ezt a végrehajtási rendeletet, hogy az megfeleljen a globális fejleményeknek, az architektúrának és a referenciakeretnek, valamint igazodjon a belső piaci bevált gyakorlatokhoz.

(5)

Az adattárca-igénybevevők átláthatóságának biztosítása érdekében, valamint azért, hogy az adattárca-felhasználók megbízhassanak az adattárca-igénybevevőkben, az adattárca-megoldások által használt protokolloknak és interfészeknek megbízható mechanizmust kell biztosítaniuk az adattárca-felhasználók számára az adattárca-igénybevevők és más adattárcaegységek hitelességének ellenőrzésére. Ugyanakkor az adattárca-szolgáltatóknak is biztosítaniuk kell egy mechanizmust az adattárcaegységek hitelességének ellenőrzésére és érvényesítésére annak érdekében, hogy az adattárca-igénybevevők biztosítékokat kaphassanak az adattárcaegységek megbízhatóságára és hitelességére vonatkozóan. Ezenkívül az adattárcák technikai infrastruktúráját úgy kell kialakítani, hogy csak a szükséges minimális mennyiségű adatot továbbítsák és csak a felhatalmazott igénybe vevő feleknek, ügyelve a különböző ügyletek összekapcsolhatósága kizárására. A személyazonosító adatok kiállításának és az elektronikus attribútumtanúsítványok kibocsátásának megkönnyítése érdekében valamennyi adattárca-megoldásnak támogatnia kell a protokollok és interfészek egy minimális készletét.

(6)

Az adattárca-megoldások tagállamok közötti használhatóságának biztosítása érdekében valamennyi adattárca-megoldásnak közös technikai specifikációkat kell támogatnia, amikor az adattárcákon keresztül személyazonosító adatokat és elektronikus attribútumtanúsítványokat jelenítenek meg – akár online térben, akár fizikai térben történő használat során – az igénybe vevő feleknek. Emellett az adattárcaegységek a felhasználások meghatározott eseteiben más protokollokat és interfészeket is támogathatnak.

(7)

A beépített és alapértelmezett adatvédelem biztosítása érdekében az adattárcákat több, a magánélet védelmét erősítő funkcióval kell ellátni annak megakadályozására, hogy az elektronikus azonosító eszközök és az elektronikus attribútumtanúsítványok szolgáltatói más szolgáltatások nyújtása során szerzett személyes adatokat kombináljanak a 910/2014/EU rendelet hatálya alá tartozó szolgáltatások nyújtása céljából kezelt személyes adatokkal. A 910/2014/EU rendelet értelmében az igénybe vevő felek nem kérhetik a felhasználóktól más adatok szolgáltatását, mint amelyeket a nyilvántartásba vétel során az adattárcák tervezett felhasználására vonatkozóan megjelöltek. Az adattárca-felhasználók számára lehetővé kell tenni, hogy bármikor ellenőrizhessék az igénybevevők nyilvántartási adatait. Ezenkívül az adattárcaegységeknek képesnek kell lenniük arra, hogy egy attribútumkérés részeként az adattárca-igénybevevői nyilvántartási tanúsítványokat – amennyiben azok rendelkezésre állnak – megjelenítsék a felhasználók számára. Ennek lehetővé kell tennie az adattárca-felhasználók számára annak ellenőrzését, hogy az adattárca-igénybevevő által kért attribútumok a nyilvántartásban általa megjelölt attribútumok körébe tartoznak-e, biztosítékot nyújtva arra, hogy a kérelem jogszerű és megbízható.

(8)

Az adattárca-felhasználók adatainak védelme érdekében az adattárca-szolgáltatóknak biztosítaniuk kell, hogy az adattárcaegységek az adatok rendelkezésre bocsátása előtt érvényesítsék az adattárca-igénybevevők vagy más adattárcaegységek kérelmeit. Ugyanezen okból és a 910/2014/EU rendelet 5a. cikke (4) bekezdése d) pontjának ii. alpontjával összhangban az adattárca-szolgáltatóknak biztosítaniuk kell, hogy az adattárcaegységek lehetővé tegyék az adattárca-felhasználók számára, hogy az adattárca-igénybevevőktől az adatok törlését kérjék.

(9)

A 910/2014/EU rendelet 5a. cikke (4) bekezdése d) pontjának iii. alpontjával kapcsolatos adatvédelmi aggályok esetén a gyors reagálás lehetővé tétele érdekében az adattárca-szolgáltatóknak gondoskodniuk kell arról, hogy az adattárca-megoldások mechanizmusokat biztosítsanak az igénybe vevő fél illetékes nemzeti adatvédelmi hatóságnak történő bejelentésére. A tagállamok adatvédelmi hatóságaival való interakció megfelelő mechanizmusainak kialakítása tekintetében az adattárca-szolgáltatók és az adatvédelmi hatóságok számára megfelelő rugalmasságot kell biztosítani.

(10)

Az (EU) 2018/1725 európai parlamenti és tanácsi rendelet (10) 42. cikkének (1) bekezdésével összhangban konzultációra került sor az európai adatvédelmi biztossal, aki 2024. szeptember 30-án véleményt nyilvánított.

(11)

Az e rendeletben előírt intézkedések összhangban vannak a 910/2014/EU rendelet 48. cikkében említett bizottság véleményével,

1.

személyazonosító adatok kiállítása és elektronikus attribútumtanúsítványok kibocsátása az adattárcaegységek részére;

2.

a személyazonosító adatok attribútumainak és az elektronikus attribútumtanúsítványoknak az adattárca-igénybevevők és más adattárcaegységek részére történő megjelenítése;

3.

adattörlési kérelmek közlése az adattárca-igénybevevőkkel;

4.

az adattárca-igénybevevők bejelentése az (EU) 2016/679 rendelet 51. cikke alapján létrehozott felügyeleti hatóságoknak;

e szabályokat rendszeresen aktualizálni kell annak érdekében, hogy összhangban legyenek a technológia és a szabványok fejlődésével, valamint az (EU) 2021/946 ajánlás és különösen az architektúra és a referenciakeret alapján végzett munkával.

1.

„adattárca-igénybevevő”: olyan igénybe vevő fél, amely digitális interakció útján köz- vagy magánszolgáltatások nyújtása céljából adattárcaegységeket szándékozik igénybe venni;

2.

„adattárca-felhasználó”: az a felhasználó, aki az adattárcaegység felett ellenőrzést és irányítást gyakorol;

3.

„adattárca-megoldás”: szoftverek, hardverek, szolgáltatások, beállítások és konfigurációk kombinációja, beleértve az adattárcapéldányokat, egy vagy több adattárca-biztonsági kriptográfiai alkalmazást és egy vagy több adattárca-biztonsági kriptográfiai eszközt;

4.

„adattárcaegység”: az adattárca-megoldás egyedi konfigurációja, amely olyan adattárcapéldányokat, adattárca-biztonsági kriptográfiai alkalmazásokat és adattárca-biztonsági kriptográfiai eszközöket foglal magában, amelyeket az adattárca-szolgáltató nyújt egy adott adattárca-felhasználónak;

5.

„adattárca-szolgáltató”: adattárca-megoldásokat kínáló természetes vagy jogi személy;

6.

„adattárca-példány”: az adattárca-felhasználó eszközére vagy környezetére telepített és konfigurált alkalmazás, amely egy adattárcaegység részét képezi, és amelyet az adattárca-felhasználó az adattárcaegységgel folytatott interakcióhoz használ;

7.

„adattárca-biztonsági kriptográfiai alkalmazás”: olyan alkalmazás, amely kritikus eszközöket kezel az adattárca-biztonsági kriptográfiai eszközhöz kapcsolódva és az eszköz kriptográfiai és nem kriptográfiai funkcióinak használatával;

8.

„adattárca-biztonsági kriptográfiai eszköz”: olyan, illetéktelen módosítás ellen védett eszköz, amely egy, az adattárca-biztonsági kriptográfiai alkalmazáshoz kapcsolódó és általa használt környezetet biztosít a kritikus eszközök védelme és a kritikus műveletek biztonságos végrehajtásához szükséges kriptográfiai funkciók biztosítása érdekében;

9.

„kritikus eszközök”: az adattárcaegységen belüli vagy azzal kapcsolatban álló olyan rendkívüli jelentőségű adatok, eszközök, amelyek rendelkezésre állásának, titkosításának és integritásának sérülése nagyon súlyosan károsítaná az adattárcaegység megbízhatóságát;

10.

„adattárca-igénybevevői hozzáférési tanúsítvány”: az adattárca-igénybevevő hozzáférési tanúsítványának szolgáltatója által kibocsátott elektronikusbélyegző- vagy elektronikusaláírás-tanúsítvány, amely ellenőrzi és érvényesíti az adattárca-igénybevevő hitelességét;

11.

„adattárca-igénybevevői hozzáférési tanúsítvány szolgáltatója”: az a természetes vagy jogi személy, akit vagy amelyet valamely tagállam megbíz azzal, hogy az adattárca-igénybevevői hozzáférési tanúsítványokat az adott tagállamban nyilvántartásba vett adattárca-igénybevevők számára kibocsássa;

12.

„adattárcaegység-tanúsítvány”: olyan adatobjektum, amely leírja az adattárca összetevőit, vagy lehetővé teszi ezen összetevők hitelességének ellenőrzését és érvényesítését;

13.

„beágyazott közzétételi szabályzat”: a szolgáltató által elektronikus attribútumtanúsítványba ágyazva közzétett szabályrendszer, amely leírja, hogy mely feltételeknek kell eleget tennie az adattárca-igénybevevőnek az elektronikus attribútumtanúsítványhoz való hozzáféréshez;

14.

„adattárca-igénybevevői nyilvántartási tanúsítvány”: olyan adatobjektum, amely megjelöli azokat az attribútumokat, amelyeket az igénybe vevő fél a nyilvántartás szerint a felhasználóktól kérni szándékozik;

15.

„személyazonosítóadat-szolgáltató”: az a természetes vagy jogi személy, aki vagy amely felelős a személyazonosító adatok kiállításáért és visszavonásáért, és garantálja azt, hogy a felhasználó személyazonosító adatai kriptográfiai eszközökkel egy adattárcaegységgel legyenek összekötve;

16.

„kriptográfiai összeköttetés”: a személyazonosító adatok vagy az elektronikus attribútumtanúsítványok adattárcaegységekkel való, kriptográfiai eszközökkel történő összekapcsolásának módszere.

1.

az adattárca-igénybevevőkkel folyatott interakciók során ellenőrizzék és érvényesítsék az adattárca-igénybevevői hozzáférési tanúsítványok hitelességét;

2.

más adattárcaegységekkel folyatott interakciók során ellenőrizzék és érvényesítsék a más adattárcaegységek adattárcaegység-tanúsítványainak hitelességét;

3.

ellenőrizzék és érvényesítsék az adattárca-igénybevevői hozzáférési tanúsítványok vagy adott esetben más adattárcákból származó adattárcaegység-tanúsítványok felhasználásával benyújtott kérelmek hitelességét;

4.

adott esetben ellenőrizzék és érvényesítsék az adattárca-igénybevevői nyilvántartási tanúsítvány hitelességét;

5.

az adattárca-felhasználók számára megjelenítsék az adattárca-igénybevevői hozzáférési tanúsítványokban vagy az adattárcaegység-tanúsítványokban szereplő információkat;

6.

adott esetben az adattárca-felhasználók számára megjelenítsék azokat az attribútumokat, amelyeket az adattárca-felhasználóknak be kell mutatniuk;

7.

adott esetben az adattárca-felhasználók számára megjelenítsék az adattárca-igénybevevői nyilvántartási tanúsítványban szereplő információkat;

8.

megjelenítsék az adattárcaegység-tanúsítványokat az azt kérő adattárca-igénybevevők vagy adattárcaegységek számára;

9.

ne jelenítsék meg a kért attribútumokat az adattárca-igénybevevőknek vagy adattárcaegységeknek, amíg a következő követelmények nem teljesülnek:

10.

lehetővé tegyék a magánélet védelmét szolgáló olyan technikák használatát, amelyek biztosítják az összekapcsolhatóság kizárását, amennyiben az elektronikus attribútumtanúsítványok nem teszik szükségessé az adattárca-felhasználók azonosítását, amikor különböző adattárca-igénybevevőknek tanúsítványokat vagy személyazonosító adatokat jelenítenek meg.