(1)

Krachtens Verordening (EU) nr. 910/2014 moeten er Europese portemonnees voor digitale identiteit (“portemonnees”) en aangemelde elektronische identificatiemiddelen als optie voor authenticatie beschikbaar zijn om toegang te krijgen tot door de lidstaten verleende grensoverschrijdende online overheidsdiensten. Voor die grensoverschrijdende authenticatie zijn er voor de vertrouwende partij soms al bestanden met informatie over de gebruiker van de portemonnee of de gebruiker van aangemelde elektronische identificatiemiddelen beschikbaar via het eigen register van de vertrouwende partij of een extern register, en vaak in de vorm van een gebruikersaccount. In die gevallen kan bepaalde informatie met betrekking tot de gebruiker, afkomstig van de portemonnees of van de aangemelde elektronische identificatiemiddelen, door of namens die vertrouwende partij worden gematcht. Dit kan bijvoorbeeld worden verwezenlijkt via een door een openbare instantie beheerde gecentraliseerde oplossing, middels een vergelijking met informatie waarover die vertrouwende partij al beschikt of met een door de vertrouwende partij vertrouwd register, bijvoorbeeld een bevolkingsregister of een database met informatie over gebruikersaccounts.

(2)

De Commissie voert regelmatig beoordelingen uit van nieuwe technologieën, praktijken, normen en technische specificaties. Om het hoogste niveau van harmonisatie tussen de lidstaten te waarborgen voor de ontwikkeling en de certificering van de portemonnees, berusten de in deze uitvoeringsverordening vastgestelde technische specificaties op de werkzaamheden op basis van Aanbeveling (EU) 2021/946 van de Commissie (2), en met name het architectuur- en referentiekader dat daar deel van uitmaakt. Overeenkomstig overweging 75 van Verordening (EU) 2024/1183 van het Europees Parlement en de Raad (3) moet de Commissie deze uitvoeringsverordening evalueren en in voorkomend geval actualiseren om deze in overeenstemming te houden met de mondiale ontwikkelingen, het architectuur- en referentiekader en om de beste praktijken op de interne markt te volgen.

(3)

Opdat het identiteitsmatchingproces in alle lidstaten betrouwbaar functioneert, moeten de als vertrouwende partijen optredende lidstaten de initiële identiteitsmatching uitvoeren indien een natuurlijke persoon voor het eerst om toegang verzoekt tot een door de vertrouwende partij beheerde dienst, op basis van hetzij de minimale gegevens zoals vastgesteld in Uitvoeringsverordening (EU) 2015/1501 van de Commissie (4), hetzij de in Uitvoeringsverordening (EU) 2024/2977 van de Commissie (5) vastgestelde persoonsidentificatiegegevens. Hoewel deze verordening gericht is op lidstaten die als vertrouwende partijen optreden, laat Verordening (EU) nr. 910/2014 het aan de lidstaten over om te beslissen of het identiteitsmatchingsysteem ook aan particuliere vertrouwende partijen ter beschikking wordt gesteld. Indien de lidstaten identiteitsmatching openstellen voor vertrouwende partijen die geen openbaar lichaam zijn, moeten zij zo veel mogelijk de in deze verordening vastgestelde mechanismen en procedures toepassen.

(4)

Met het oog op de grensoverschrijdende identiteitsmatching bij het gebruik van de portemonnees moet de voor ondubbelzinnige identiteitsmatching gebruikte informatie de verplichte gegevensidentificatie zijn van de in punt 1 van de bijlage bij Uitvoeringsverordening (EU) 2024/2977 opgenomen persoonsidentificatiegegevens, samen met eventuele facultatieve gegevens die moeten waarborgen dat de persoonsidentificatiegegevens uniek zijn.

(5)

Met het oog op grensoverschrijdende identiteitsmatching bij het gebruik van aangemelde elektronische identificatiemiddelen moeten de verplichte attributen van de minimale gegevens voor een natuurlijke persoon als bedoeld in punt 1 van de bijlage bij Uitvoeringsverordening (EU) 2015/1501 de voor ondubbelzinnige identiteitsmatching gebruikte informatie zijn. De verwijzing naar de verplichte attributen van de minimale gegevens voor een natuurlijke persoon moet worden begrepen in de context van Uitvoeringsverordening (EU) 2015/1501, waarin een attribuut wordt beschreven als een onderdeel van het minimale pakket persoonsidentificatiegegevens, en niet volgens de definitie van attributen in artikel 3, punt 43, van Verordening (EU) nr. 910/2014, zoals gewijzigd bij Verordening (EU) 2024/1183.

(6)

Vanwege de afhankelijkheid van reeds bestaande informatie die door de vertrouwende partij wordt gebruikt voor ondubbelzinnige identiteitsmatching is het mogelijk dat het identiteitsmatchingproces niet altijd succesvol verloopt. Om vertrouwende partijen een bepaalde mate van flexibiliteit te bieden, kunnen de lidstaten aanvullende processen invoeren die een gelijkwaardig niveau van vertrouwen in de uitkomst van het proces van identiteitsmatching bieden.

(7)

Indien het identiteitsmatchingsproces overeenkomstig deze verordening succesvol wordt geacht, moet de vertrouwende partij of de namens haar optredende partij, of een door de vertrouwende partijen vertrouwd register of het gecentraliseerde systeem, waarborgen dat de gebruiker onder meer wordt ingelicht over de succesvolle registratie, onder meer door de gebruikersnaam of het pseudoniem weer te geven en, indien van toepassing, onder andere over de beschikbare opties voor de opslag van het resultaat van het identiteitsmatchingsproces. Die opties kunnen omvatten: de opslag van een associatie in een door de vertrouwende partij beheerd register en/of in een door de vertrouwende partij vertrouwd register en/of de afgifte van een specifieke elektronische attestering van attributen met een associatie die in de toekomst kan worden hergebruikt, en/of het gebruik van alternatieve opties die door of namens de vertrouwende partij worden geboden. In voorkomend geval moet de gebruiker tussen opties kunnen kiezen en moet de bewaartermijn onder controle van de gebruiker staan zodat gebruikers voltooide identiteitsmatchingprocessen in de toekomst kunnen hergebruiken.

(8)

Met het oog op de transparantie en gebruikerscontrole moet de gebruiker, indien hij niet met succes kon worden gematcht, duidelijke redenen krijgen waarom de match niet succesvol was. Daarnaast moet de gebruiker worden geïnformeerd over mogelijke volgende stappen. Dit moet de informatie omvatten die in het proces voor identiteitsmatching is gebruikt en eventuele discrepanties die zijn vastgesteld, waarbij de gebruikers duidelijke uitleg en instructies moeten krijgen over mogelijke verhaalsmogelijkheden en aanvullende processen.

(9)

Om bij identiteitsmatching verhaalsmechanismen beschikbaar te stellen, moeten vertrouwende partijen, de namens hen optredende partijen of door de vertrouwende partijen vertrouwd registers passende logbestanden bijhouden met betrekking tot het identiteitsmatchingproces, de voor de matching gebruikte informatie en andere door de natuurlijke persoon verstrekte bewijsstukken, alsook het resultaat van het identiteitsmatchingproces. Die logbestanden moeten minimaal zes en maximaal twaalf maanden worden bewaard om de registratie en de behandeling van klachten van gebruikers mogelijk te maken. De bewaartermijn kan krachtens het Unierecht of het nationale recht worden verlengd.

(10)

Om te voorkomen dat portemonneegebruikers het identiteitsmatchingsproces meermaals moeten doorlopen, kunnen de lidstaten verlangen dat identiteitsmatchingsystemen een elektronische attestering van attributen kunnen afgeven met een link tussen de portemonneegebruiker en een register waarin die gebruiker als bekende gebruiker is geregistreerd. Als alternatief kunnen de lidstaten een associatie opslaan als verwijzing naar een voor de vertrouwende partij toegankelijk register, of andere ondersteunende maatregelen treffen.

(11)

Om te waarborgen dat de overeenkomstig artikel 5 bis, lid 1, van Verordening (EU) nr. 910/2014 aan te bieden portemonnees, en de aangemelde stelsels voor elektronische identificatie van de voordelen van operationele identiteitsmatchingsystemen profiteren, moet een langere termijn voor de toepassing van de respectieve bepalingen van deze verordening worden vastgesteld. Inzake portemonnees moet elke lidstaat ten minste één portemonnee verstrekken binnen 24 maanden na de datum van inwerkingtreding van de in de artikel 5 bis, lid 23, en artikel 5 quater, lid 6, van Verordening (EU) nr. 910/2014 bedoelde uitvoeringshandelingen. Daarom moet de toepassing van de relevante bepalingen van deze verordening inzake identiteitsmatching op basis van portemonnees met het bovengenoemde tijdschema samenvallen. Inzake aangemelde stelsels voor elektronische identificatie moet er voldoende tijd voor de vervanging van de functionaliteiten voor identiteitsmatching zijn.

(12)

Omdat het gebruik van de portemonnee vrijwillig moet zijn, moeten de lidstaten alternatieve methoden aanbieden voor gebruikers om toegang te krijgen tot de diensten die zij aanbieden in hun functie als vertrouwende partij.

(13)

Bij een poging tot authenticatie bij een elektronische dienst kan een nieuwe gebruikersregistratie naadloos verlopen en dus voor een gebruiker visueel en technisch hetzelfde lijken als een hernieuwd bezoek van een elektronische dienst. Daarom moet een nieuwe gebruikersregistratie bij een elektronische dienst voor de toepassing van deze verordening als gelijkwaardig aan een succesvol identiteitsmatchingsproces worden beschouwd.

(14)

De lidstaten moeten waarborgen dat het identiteitsmatchingsproces naadloos functioneert en dat de gebruiker niet wordt geconfronteerd met meervoudige sessiewijzigingen en repetitieve stappen, zelfs als het identiteitsmatchingsproces in eerste instantie niet succesvol is en aanvullende processen worden uitgevoerd.

(15)

De lidstaten hebben de vrijheid om hun gebruikersinterfaces en kennisgevingen zo te ontwerpen dat die bij hun nationale context aansluit, met inachtneming van de gedachten achter deze verordening.

(16)

Verordening (EU) 2016/679 van het Europees Parlement en de Raad (6) en, in voorkomend geval, Richtlijn 2002/58/EG van het Europees Parlement en de Raad (7) zijn van toepassing op activiteiten betreffende de verwerking van persoonsgegevens uit hoofde van deze verordening.

(17)

De Europese Toezichthouder voor gegevensbescherming is overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (8) geraadpleegd en heeft op 31 januari 2025 een advies uitgebracht.

(18)

De in deze verordening vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 48 van Verordening (EU) nr. 910/2014 ingestelde comité,