(1)

Het bij Verordening (EU) nr. 910/2014 vastgestelde Europees kader voor digitale identiteit is een cruciaal onderdeel van de totstandbrenging van een veilig en interoperabel ecosysteem voor digitale identiteit in de hele Unie. Met de Europese portemonnee voor digitale identiteit (“de portemonnee”) als hoeksteen heeft het kader tot doel de toegang tot diensten in alle lidstaten te vergemakkelijken en de bescherming van persoonsgegevens en de persoonlijke levenssfeer te waarborgen.

(2)

Verordening (EU) 2016/679 van het Europees Parlement en de Raad (2) en, in voorkomend geval, Richtlijn 2002/58/EG van het Europees Parlement en de Raad (3) zijn van toepassing op alle activiteiten betreffende de verwerking van persoonsgegevens uit hoofde van deze verordening.

(3)

In artikel 5 bis, lid 23, van Verordening (EU) nr. 910/2014 wordt de Commissie opgedragen om, waar nodig, de relevante specificaties en procedures vast te stellen. Dit wordt bereikt door middel van vier uitvoeringsverordeningen, die betrekking hebben op protocollen en interfaces: Uitvoeringsverordening (EU) 2024/2982 van de Commissie (4), op integriteit en kernfunctionaliteiten: Uitvoeringsverordening (EU) 2024/2979 van de Commissie (5), op persoonsidentificatiegegevens en elektronische attestering van attributen: Uitvoeringsverordening (EU) 2024/2977 van de Commissie (6), en op de kennisgevingen aan de Commissie: Uitvoeringsverordening (EU) 2024/2980 van de Commissie (7). In deze verordening worden de relevante vereisten vastgesteld voor persoonsidentificatiegegevens en elektronische attesteringen van attributen die moeten worden afgegeven aan Europese portemonnees voor digitale identiteit.

(4)

De Commissie voert regelmatig beoordelingen uit van nieuwe technologieën, praktijken, normen of technische specificaties. Om het hoogste niveau van harmonisatie tussen de lidstaten te waarborgen voor de ontwikkeling en de certificering van de portemonnees, berusten de in deze uitvoeringsverordening vastgestelde technische specificaties op de werkzaamheden die zijn verricht op basis van Aanbeveling (EU) 2021/946 van de Commissie van 3 juni 2021 betreffende een gemeenschappelijke EU-toolbox voor een gecoördineerde aanpak ten behoeve van een Europees kader voor digitale identiteit (8), en met name de architectuur en het referentiekader die er deel van uitmaken. Overeenkomstig overweging 75 van Verordening (EU) 2024/1183 van het Europees Parlement en de Raad (9) moet de Commissie deze uitvoeringsverordening in voorkomend geval evalueren en actualiseren om deze in overeenstemming te houden met de mondiale ontwikkelingen, de architectuur en het referentiekader en om de beste praktijken op de interne markt te volgen.

(5)

Om gegevensbescherming door ontwerp en door standaardinstellingen te waarborgen, moeten de portemonnees worden voorzien van verschillende privacybevorderende kenmerken om te voorkomen dat aanbieders van elektronische identificatiemiddelen en elektronische attestering van attributen persoonsgegevens die zij bij het verlenen van andere diensten hebben verkregen, combineren met de persoonsgegevens die worden verwerkt voor de verlening van diensten die binnen het toepassingsgebied van Verordening (EU) nr. 910/2014 vallen.

(6)

Met het oog op harmonisatie moeten in alle portemonnees bepaalde gemeenschappelijke functionaliteiten beschikbaar zijn, waaronder de mogelijkheid om op een veilige manier, onder de uitsluitende controle van de portemonneegebruiker, persoonsidentificatiegegevens en elektronische attesteringen van attributen op te vragen, te verkrijgen, te selecteren, te combineren, op te slaan, te verwijderen, te delen en te presenteren. Om ervoor te zorgen dat persoonsidentificatiegegevens en elektronische attesteringen van attributen via elke portemonnee-eenheid kunnen worden verwerkt, moeten de technische specificaties met betrekking tot de attributen van persoonsidentificatiegegevens, het gegevensformaat en de infrastructuur die nodig zijn om een passende betrouwbaarheid van persoonsidentificatiegegevens te waarborgen, worden ondersteund door alle portemonnee-oplossingen. Voorts hebben gemeenschappelijke specificaties met betrekking tot de attributen van persoonsidentificatiegegevens tot doel ervoor te zorgen dat deze gegevens waar nodig kunnen worden gebruikt voor identiteitsmatching.

(7)

De lidstaten moeten ervoor zorgen dat de portemonnees vertrouwende partijen, verstrekkers van persoonsidentificatiegegevens en verleners van elektronische attesteringen van attributen kunnen authenticeren, ongeacht waar zij in de Unie zijn gevestigd. Daartoe moeten die entiteiten toegangscertificaten voor op portemonnees vertrouwende partijen gebruiken wanneer zij zich bij hun portemonnees identificeren. Om de interoperabiliteit van die certificaten te waarborgen voor alle portemonnees binnen de Unie, moeten de toegangscertificaten voor op portemonnees vertrouwende partijen aan gemeenschappelijke normen voldoen. De Commissie moet, in samenwerking met de lidstaten, nauwlettend toezien op de ontwikkeling van nieuwe of alternatieve normen op basis waarvan toegangscertificaten voor op portemonnees vertrouwende partijen kunnen worden opgesteld. Met name moeten vertrouwensmodellen die hun doeltreffendheid en veiligheid in de lidstaten hebben bewezen, worden beoordeeld.

(8)

Om de transparantie ten aanzien van portemonneegebruikers te waarborgen, moeten de lidstaten informatie publiceren waaruit blijkt welke portemonnee-oplossingen worden ondersteund door verstrekkers van persoonsidentificatiegegevens die op hun grondgebied zijn gevestigd. Omdat de identiteit van de gebruiker zo betrouwbaar mogelijk moet zijn, moet er een gemeenschappelijk betrouwbaarheidsniveau “hoog” worden opgelegd aan het bewijzen van de identiteit van portemonneegebruikers voorafgaand aan de afgifte van persoonsidentificatiegegevens, overeenkomstig het betrouwbaarheidsniveau “hoog” voor elektronische identificatiemiddelen in de zin van Verordening (EU) nr. 910/2014. Op die manier bieden de portemonnee-eenheden de hoogst mogelijke mate van betrouwbaarheid voor identificatiemiddelen in de hele Unie. Tijdens de registratie van gebruikers van portemonnees met een hoog betrouwbaarheidsniveau zijn verschillende beveiligde processen mogelijk, bijvoorbeeld als is geverifieerd dat de portemonneegebruiker in het bezit is van een foto- of biometrisch identificatiebewijs dat is erkend maar niet is afgegeven door de lidstaat waar de aanvraag voor het elektronische identificatiemiddel is ingediend en dat bewijs de beweerde identiteit vertegenwoordigt, moet het bewijs worden gecontroleerd om na te gaan of het geldig is op basis van een relevante gezaghebbende bron.

(9)

Om de interoperabiliteit te ondersteunen, moeten elektronische attesteringen van attributen voldoen aan geharmoniseerde voorschriften inzake het formaat.

(10)

Om de gegevens van portemonneegebruikers te beschermen en de authenticiteit van elektronische attesteringen van attributen te waarborgen, moeten mechanismen voor de authenticatie van aanbieders van elektronische attesteringen van attributen en voor de verificatie van de authenticiteit en geldigheid van portemonnee-eenheden door die aanbieder van toepassing zijn voordat de attesteringen worden afgegeven aan portemonnee-eenheden.

(11)

Om te voorkomen dat er gebruik wordt gemaakt van en vertrouwd wordt op persoonsidentificatiegegevens en elektronische attesteringen van attributen die na afgifte aan een portemonnee-eenheid hun rechtsgeldigheid hebben verloren, moeten verstrekkers van persoonsidentificatiegegevens en van elektronische attesteringen van attributen een beleid publiceren waarin de voorwaarden en de procedures voor intrekking worden uiteengezet.

(12)

Om ervoor te zorgen dat de persoonsidentificatiegegevens de portemonneegebruiker op unieke wijze vertegenwoordigen, moeten de lidstaten, naast de verplichte attributen in de in deze verordening vastgestelde persoonsidentificatiegegevens, facultatieve attributen verstrekken die nodig zijn om ervoor te zorgen dat de persoonsidentificatiegegevens uniek zijn.

(13)

De Europese Toezichthouder voor gegevensbescherming is overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (10) geraadpleegd en heeft op 30 september 2024 een advies uitgebracht.

(14)

De in deze verordening vervatte maatregelen zijn in overeenstemming met het advies van het in artikel 48 van Verordening (EU) nr. 910/2014 bedoelde comité,

1)

“portemonneegebruiker”: een gebruiker die de controle heeft over de portemonnee-eenheid;

2)

“portemonnee-eenheid”: een unieke configuratie van een portemonnee-oplossing die bestaat uit portemonnee-instanties, beveiligde cryptografische toepassingen voor portemonnees en beveiligde cryptografische middelen voor portemonnees die door een portemonneeaanbieder aan een individuele portemonneegebruiker worden verstrekt;

3)

“portemonnee-oplossing”: een combinatie van software, hardware, diensten, instellingen en configuraties, met inbegrip van portemonnee-instanties, een of meer beveiligde cryptografische toepassingen voor portemonnees en een of meer beveiligde cryptografische middelen voor portemonnees;

4)

“verstrekker van persoonsidentificatiegegevens”: een natuurlijke of rechtspersoon die verantwoordelijk is voor de afgifte en de intrekking van persoonsidentificatiegegevens en die ervoor zorgt dat de persoonsidentificatiegegevens van een gebruiker cryptografisch verbonden zijn met een portemonnee-eenheid;

5)

“portemonnee-eenheidsattestering”: een gegevensobject dat de componenten van de portemonnee-eenheid beschrijft en authenticatie en validering van die componenten mogelijk maakt;

6)

“portemonnee-instantie”: de toepassing die is geïnstalleerd en geconfigureerd op het apparaat of in de omgeving van een portemonneegebruiker, die deel uitmaakt van een portemonnee-eenheid, en die de portemonneegebruiker gebruikt voor de interactie met de portemonnee-eenheid;

7)

“beveiligde cryptografische toepassing voor portemonnees”: een toepassing die kritieke activa beheert door middel van koppeling aan en gebruikmaking van de cryptografische en niet-cryptografische functies van het beveiligd cryptografisch middel voor portemonnees;

8)

“beveiligd cryptografisch middel voor portemonnees”: een manipulatiebestendig apparaat dat een omgeving biedt die gekoppeld is aan en wordt gebruikt door de beveiligde cryptografische toepassing voor portemonnees om kritieke activa te beschermen en cryptografische functies te bieden voor de veilige uitvoering van kritieke activiteiten;

9)

“aanbieder van portemonnees”: een natuurlijke of rechtspersoon die portemonnee-oplossingen aanbiedt;

10)

“kritieke activa”: activa in of met betrekking tot een portemonnee-eenheid die van dermate groot belang zijn dat, als de beschikbaarheid, de authenticiteit of de integriteit ervan in gevaar zou komen, dat een zeer ernstig, verzwakkend effect zou hebben op het vermogen om de portemonnee-eenheid te kunnen gebruiken;

11)

“op portemonnees vertrouwende partij”: een vertrouwende partij die voornemens is portemonnee-eenheden te gebruiken voor het verlenen van publieke of private diensten door middel van digitale interactie;

12)

“toegangscertificaat voor een op portemonnees vertrouwende partij”: een certificaat voor elektronische zegels of handtekeningen ter authenticatie en validering van de op portemonnees vertrouwende partij, afgegeven door een aanbieder van toegangscertificaten voor op portemonnees vertrouwende partijen;

13)

“aanbieder van toegangscertificaten voor op portemonnees vertrouwende partijen”: een natuurlijke of rechtspersoon die door een lidstaat is gemachtigd om toegangscertificaten voor op portemonnees vertrouwende partijen af te geven aan in die lidstaat geregistreerde op portemonnees vertrouwende partijen.