(1)

Do celów rejestracji stron ufających, które zamierzają polegać na europejskich portfelach tożsamości cyfrowej („portfele”) na potrzeby świadczenia cyfrowych usług publicznych lub prywatnych zgodnie z wymogami rozporządzenia (UE) nr 910/2014, państwa członkowskie powinny ustanowić i prowadzić krajowe rejestry stron ufających portfela mających siedzibę na ich terytorium.

(2)

Komisja regularnie przeprowadza ocenę nowych technologii, praktyk, norm i specyfikacji technicznych. Aby zapewnić maksymalną harmonizację działań państw członkowskich w zakresie opracowywania i certyfikacji portfeli, specyfikacje techniczne określone w niniejszym rozporządzeniu opierają się na pracach przeprowadzonych na podstawie zalecenia Komisji (UE) 2021/946 (2), w szczególności na podstawie architektury i ram odniesienia. Zgodnie z motywem 75 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1183 (3) Komisja powinna poddawać przeglądowi i w razie potrzeby aktualizować niniejsze rozporządzenie, aby zachować jego aktualność względem globalnych zmian, architektury i ram odniesienia oraz przestrzegać najlepszych praktyk na rynku wewnętrznym.

(3)

Aby zapewnić szeroki dostęp do rejestrów i osiągnąć interoperacyjność, państwa członkowskie powinny stworzyć interfejsy nadające się zarówno do odczytu przez człowieka, jak i do odczytu maszynowego, zgodne ze specyfikacjami technicznymi określonymi w niniejszym rozporządzeniu. Dostawcy certyfikatów dostępu strony ufającej portfela i certyfikatów rejestracji strony ufającej portfela, o ile są one dostępne, powinni również – do celów wydawania tych certyfikatów – mieć możliwość polegania na tych interfejsach.

(4)

Ponieważ polityki rejestracji zapewniają stronom ufającym portfela jasne wytyczne dotyczące procesu rejestracji, państwa członkowskie powinny określić i opublikować polityki rejestracji mające zastosowanie do krajowych rejestrów ustanowionych na ich terytorium.

(5)

Celem rejestracji stron ufających portfela jest budowanie zaufania do korzystania z portfeli dzięki większej przejrzystości. Państwa członkowskie powinny zatem podawać adekwatne informacje do wiadomości publicznej w sposób nadający się zarówno do odczytu przez człowieka, jak i do odczytu maszynowego. W związku z tym strony ufające portfela powinny przekazać niezbędne informacje, w tym swoje uprawnienia, w celu włączenia do rejestrów krajowych.

(6)

Oprócz tego, do celów przejrzystości strony ufające portfela powinny oświadczyć, czy zamierzają korzystać z identyfikacji elektronicznej osób fizycznych.

(7)

W celu zapewnienia, aby proces rejestracji był racjonalny pod względem kosztów i proporcjonalny do ryzyka, podmioty rejestrujące powinny ustanowić łatwe w obsłudze, internetowe i, w stosownych przypadkach, zautomatyzowane procesy rejestracji dla stron ufających portfela. Podmioty rejestrujące powinny weryfikować wnioski o rejestrację bez zbędnej zwłoki.

(8)

Państwa członkowskie mają zapewnić, aby portfele były w stanie uwierzytelniać strony ufające portfela, niezależnie od tego, gdzie mają one siedzibę w Unii. W tym celu podczas potwierdzania swojej tożsamości wobec jednostek portfela strony ufające portfela powinny korzystać z certyfikatów dostępu strony ufającej portfela. Aby zagwarantować interoperacyjność tych certyfikatów we wszystkich portfelach zapewnianych w Unii, certyfikaty dostępu stron ufających portfela powinny spełniać wspólne wymagania określone w załączniku. Komisja powinna opracować zharmonizowane polityki dotyczące certyfikacji i oświadczenie dotyczące praktyk certyfikacji, które powinny być wdrażane przez państwa członkowskie. Komisja, we współpracy z państwami członkowskimi, powinna ściśle monitorować opracowywanie nowych lub alternatywnych norm, w oparciu o które można wdrożyć certyfikaty dostępu strony ufającej. W szczególności należy ocenić modele zaufania, które dowiodły swojej skuteczności i bezpieczeństwa w państwach członkowskich.

(9)

Jak określono w rozporządzeniu (UE) nr 910/2014, strony ufające portfela nie mogą zwracać się do użytkowników o udostępnienie jakichkolwiek danych innych niż te, które zostały wskazane do celów zamierzonego użycia portfeli w procesie rejestracji. Użytkownicy portfela powinni mieć możliwość weryfikacji danych rejestracyjnych stron ufających portfela. Aby umożliwić użytkownikom portfela zweryfikowanie, czy atrybuty żądane przez stronę ufającą portfela wchodzą w zakres ich zarejestrowanych atrybutów, państwa członkowskie mogą wymagać wydawania certyfikatów rejestracji strony ufającej portfela zarejestrowanym stronom ufającym portfela. Aby zapewnić interoperacyjność certyfikatów rejestracji strony ufającej portfela, państwa członkowskie powinny dopilnować, aby certyfikaty te spełniały wymogi i normy określone w załączniku. W szczególności strony ufające portfela powinny oświadczyć, czy zamierzają korzystać z identyfikacji elektronicznej osób fizycznych w celu spełnienia jednego z wymogów określonych w art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (4) do celów przejrzystości. Ponadto strony ufające nie mogą odmówić używania pseudonimów, w przypadkach gdy identyfikacja użytkownika nie jest wymagana na podstawie prawa Unii lub prawa krajowego.

(10)

Aby chronić użytkowników przed nadmiernym udostępnianiem informacji stronom ufającym portfela i ostrzegać ich w takich przypadkach, państwa członkowskie powinny włączyć do swojej polityki certyfikacji wspólne polityki dostępu, które umożliwiłyby informowanie użytkownika portfela przez rozwiązanie w zakresie portfela za każdym razem, gdy strona ufająca portfela zwraca się o udostępnienie większej ilości informacji niż te, które zarejestrowała lub do których ma prawo dostępu.

(11)

Aby chronić użytkowników portfela, podmioty rejestrujące powinny mieć możliwość zawieszenia lub cofnięcia rejestracji każdej strony ufającej portfela bez uprzedniego powiadomienia, jeżeli podmioty rejestrujące mają powody, by sądzić, że rejestracja zawiera informacje, które są nieścisłe, nieaktualne lub wprowadzające w błąd; że strona ufająca portfela nie przestrzega polityki rejestracji; lub że strona ufająca portfela w inny sposób narusza prawo Unii lub prawo krajowe lub Europejską deklarację praw i zasad cyfrowych w cyfrowej dekadzie (5) w zakresie, który odnosi się do jej roli jako strony ufającej portfela, na przykład jeżeli strona ufająca portfela nie ograniczyła w sposób właściwy zbioru atrybutów, o dostęp do których występuje. Aby zapewnić stabilność ekosystemu europejskich portfeli tożsamości cyfrowej („ekosystem portfeli”), decyzja o zawieszeniu lub cofnięciu rejestracji powinna być proporcjonalna do zakłócenia usługi spowodowanego jej zawieszeniem lub cofnięciem oraz do związanych z tym kosztów i niedogodności dla dostawcy usług i użytkownika. Organy nadzoru mają być również uprawnione do zawieszania i cofania rejestracji, jeżeli jest to wymagane, zgodnie z art. 46a ust. 4 lit. f) rozporządzenia (UE) nr 910/2014.

(12)

Do celów monitorowania ex post, dochodzeń prowadzonych przez organy ścigania i rozstrzygania sporów podmioty rejestrujące powinny przez okres 10 lat prowadzić ewidencję wszystkich informacji przekazanych przez strony ufające portfela zarejestrowane w ich krajowym rejestrze.

(13)

Rozporządzenie (UE) 2016/679 oraz – w stosownych przypadkach – dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady (6) mają zastosowanie do wszystkich czynności przetwarzania danych osobowych na podstawie niniejszego rozporządzenia.

(14)

Zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 (7) skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię w dniu 31 stycznia 2025 r.

(15)

Środki przewidziane w niniejszym rozporządzeniu są zgodne z opinią komitetu ustanowionego na podstawie art. 48 rozporządzenia (UE) nr 910/2014,

1)

„strona ufająca portfela” oznacza stronę ufającą, która zamierza polegać na jednostkach portfela w celu świadczenia usług publicznych lub prywatnych za pośrednictwem cyfrowej interakcji;

2)

„jednostka portfela” oznacza niepowtarzalną konfigurację rozwiązania w zakresie portfela, która obejmuje instancje portfela, bezpieczne aplikacje kryptograficzne portfela i bezpieczne urządzenia kryptograficzne portfela dostarczane przez dostawcę portfela indywidualnemu użytkownikowi portfela;

3)

„rozwiązanie w zakresie portfela” oznacza połączenie oprogramowania, sprzętu, usług, ustawień i konfiguracji, z uwzględnieniem instancji portfela, co najmniej jednej bezpiecznej aplikacji kryptograficznej portfela oraz co najmniej jednego bezpiecznego urządzenia kryptograficznego portfela;

4)

„instancja portfela” oznacza aplikację zainstalowaną i skonfigurowaną na urządzeniu lub w środowisku użytkownika portfela, która jest częścią jednostki portfela i z której użytkownik portfela korzysta do interakcji z daną jednostką portfela;

5)

„bezpieczna aplikacja kryptograficzna portfela” oznacza aplikację, która zarządza aktywami krytycznymi, łącząc się z funkcjami kryptograficznymi i niekryptograficznymi zapewnianymi przez bezpieczne urządzenie kryptograficzne portfela oraz korzystając z tych funkcji;

6)

„bezpieczne urządzenie kryptograficzne portfela” oznacza urządzenie odporne na manipulacje, które zapewnia otoczenie połączone z bezpieczną aplikacją kryptograficzną portfela i przez nią wykorzystywane, aby chronić aktywa krytyczne i zapewniać funkcje kryptograficzne na potrzeby bezpiecznego wykonywania operacji krytycznych;

7)

„aktywa krytyczne” oznaczają aktywa wewnątrz jednostki portfela lub z nią związane o tak istotnym znaczeniu, że naruszenie ich dostępności, poufności lub integralności miałoby bardzo poważny, szkodliwy wpływ na zdolność do polegania na danej jednostce portfela;

8)

„dostawca portfela” oznacza osobę fizyczną lub prawną, która dostarcza rozwiązania w zakresie portfela;

9)

„użytkownik portfela” oznacza użytkownika, który kontroluje jednostkę portfela;

10)

„krajowy rejestr stron ufających portfela” oznacza krajowy elektroniczny rejestr wykorzystywany przez państwo członkowskie do udostępniania publicznie informacji na temat stron ufających portfela zarejestrowanych w tym państwie członkowskim, jak określono w art. 5b ust. 5 rozporządzenia (UE) nr 910/2014;

11)

„dostawca certyfikatów dostępu strony ufającej portfela” oznacza osobę fizyczną lub prawną upoważnioną przez państwo członkowskie do wydawania certyfikatów dostępu strony ufającej portfela stronom ufającym portfela zarejestrowanym w tym państwie członkowskim;

12)

„certyfikat dostępu strony ufającej portfela” oznacza certyfikat pieczęci lub podpisów elektronicznych uwierzytelniający i walidujący stronę ufającą portfela, wydany przez dostawcę certyfikatów dostępu strony ufającej portfela;

13)

„dostawca danych identyfikujących osobę” oznacza osobę fizyczną lub prawną odpowiedzialną za wydanie i unieważnienie danych identyfikujących osobę oraz za zapewnienie, aby dane identyfikujące osobę odnoszące się do użytkownika były powiązane kryptograficznie z jednostką portfela;

14)

„podmiot rejestrujący strony ufające portfela” oznacza organ odpowiedzialny za sporządzenie i prowadzenie wykazu zarejestrowanych stron ufających portfela, mających siedzibę na jego terytorium i wyznaczony przez państwo członkowskie;

15)

„certyfikat rejestracji strony ufającej portfela” oznacza obiekt danych, który opisuje zamierzone użycie strony ufającej i wskazuje atrybuty, które zarejestrowała strona ufająca w zamiarze żądania od użytkowników;

16)

„dostawca certyfikatów rejestracji strony ufającej portfela” oznacza osobę fizyczną lub prawną upoważnioną przez państwo członkowskie do wydawania certyfikatów rejestracji strony ufającej stronom ufającym portfela zarejestrowanym w tym państwie członkowskim.