(1)

O Regulamento (UE) n.o 910/2014 exige que as carteiras europeias de identidade digital («carteiras») e os meios de identificação eletrónica notificados estejam disponíveis como opção de autenticação para a obtenção de acesso a serviços públicos transfronteiriços em linha prestados pelos Estados-Membros. Nesses casos de autenticação transfronteiriça, por vezes, os registos que contêm informações relativas ao utente da carteira ou ao utente de meios de identificação eletrónica notificados já estão à disposição do utilizador através do seu próprio registo ou de um registo externo, amiúde sob a forma de uma conta de utente. Nestes casos, a correspondência de certas informações relativas ao utente, obtidas a partir das carteiras ou dos meios de identificação eletrónica notificados, pode ser determinada por esse utilizador ou em seu nome. Por exemplo, tal poderá ser efetuado recorrendo a uma solução centralizada gerida por um organismo público, para com ela confrontar informações já detidas por esse utilizador ou por um registo utilizado pelo utilizador, a título indicativo, um registo da população ou uma base de dados com informações sobre a conta de utente.

(2)

A Comissão avalia periodicamente as novas tecnologias, práticas, normas e especificações técnicas. A fim de assegurar o mais elevado nível de harmonização entre os Estados-Membros para o desenvolvimento e a certificação das carteiras, as especificações técnicas estabelecidas no presente regulamento baseiam-se nos trabalhos realizados nos termos da Recomendação (UE) 2021/946 (2) e, em especial, na arquitetura e no regime de referência que dela fazem parte. Em conformidade com o considerando 75 do Regulamento (UE) 2024/1183 do Parlamento Europeu e do Conselho (3), a Comissão deve rever e, se necessário, atualizar o presente regulamento, para assegurar que o mesmo acompanha a evolução mundial e a arquitetura e o regime de referência, bem como para seguir as boas práticas no mercado interno.

(3)

A fim de assegurar que o processo de correspondência de identidade funciona de forma fiável em todos os Estados-Membros, os Estados-Membros que atuem como utilizadores devem determinar a correspondência de identidade inicial quando uma pessoa singular solicita pela primeira vez que lhe seja concedido acesso a um serviço gerido pelo utilizador, com base no conjunto mínimo de dados previsto no Regulamento de Execução (UE) 2015/1501 da Comissão (4) ou no conjunto de dados de identificação pessoal previsto no Regulamento de Execução (UE) 2024/2977 da Comissão (5). Embora o presente regulamento se centre nos Estados-Membros que atuam como utilizadores, o Regulamento (UE) n.o 910/2014 deixa ao critério dos Estados-Membros a decisão de colocar ou não o sistema de correspondência de identidade também disposição de utilizadores privados. Sempre que os Estados-Membros previrem a correspondência de identidade para utilizadores que não sejam organismos públicos, devem aplicar, tanto quanto possível, os mecanismos e procedimentos estabelecidos no presente regulamento.

(4)

Para efeitos de correspondência de identidade a nível transfronteiriço aquando da utilização de carteiras, as informações utilizadas para a determinação da correspondência inequívoca de identidade devem ser os identificadores de dados obrigatórios do conjunto de dados de identificação pessoal estabelecido no ponto 1 do anexo do Regulamento de Execução (UE) 2024/2977, juntamente com quaisquer dados facultativos necessários para assegurar que o conjunto de dados de identificação pessoal é único.

(5)

Para efeitos de correspondência de identidade a nível transfronteiriço aquando da utilização de meios de identificação eletrónica notificados, as informações utilizadas para a determinação da correspondência inequívoca de identidade devem ser os atributos obrigatórios do conjunto mínimo de dados para uma pessoa singular, tal como estabelecido no ponto 1 do anexo do Regulamento de Execução (UE) 2015/1501. A referência aos atributos obrigatórios do conjunto mínimo de dados para uma pessoa singular deve ser entendida no contexto do Regulamento de Execução (UE) 2015/1501, que descreve um atributo como um componente do conjunto mínimo de dados de identificação pessoal, por oposição à definição de atributos estabelecida no artigo 3.o, ponto 43), do Regulamento (UE) n.o 910/2014, com a redação que lhe foi dada pelo Regulamento (UE) 2024/1183.

(6)

Uma vez que o utilizador depende de informações preexistentes para assegurar a determinação da correspondência inequívoca de identidade, o processo de correspondência de identidade pode não ser bem-sucedido em todos os casos. A fim de proporcionar um grau adequado de flexibilidade aos utilizadores, os Estados-Membros podem instituir processos complementares que permitam alcançar um nível equivalente de confiança no resultado do processo de correspondência de identidade.

(7)

Se o processo de correspondência de identidade for considerado bem-sucedido de acordo com as disposições do presente regulamento, o utilizador, ou a parte que atua em seu nome, ou um registo utilizado pelos utilizadores ou o sistema centralizado deve assegurar que o utente é informado sobre a conclusão do registo, incluindo mediante a exibição do nome ou pseudónimo do utente e, nomeadamente, se for caso disso, sobre as opções disponíveis para armazenar o resultado do processo de correspondência de identidade. Essas opções podem incluir o armazenamento de uma associação num registo gerido pelo utilizador e/ou num registo utilizado pelo utilizador, e/ou a emissão de um certificado eletrónico de atributos específico que contenha uma associação e que possa ser reutilizado no futuro e/ou a utilização de opções alternativas oferecidas pelo utilizador ou pela parte que atua em seu nome. Se for caso disso, o utente deve ter a possibilidade de escolha entre diferentes opções e controlar o período de conservação, a fim de assegurar que os utentes possam reutilizar os processos de correspondência de identidade concluídos no futuro.

(8)

Para reforçar a transparência e o controlo pelo utente, sempre que não tenha sido possível estabelecer, com êxito, a correspondência bem-sucedida do utente, devem ser-lhe claramente indicadas as razões pelas quais a correspondência foi infrutífera. Além disso, o utente deve ser informado de eventuais etapas seguintes. Tal deve incluir as informações utilizadas no processo de correspondência de identidade e quaisquer discrepâncias detetadas, fornecendo aos utentes explicações e instruções claras sobre possíveis soluções e processos complementares.

(9)

Para disponibilizar mecanismos de recurso adequados sempre que se procure determinar a correspondência de identidade, os utilizadores, as partes que atuam em seu nome ou os registos utilizados pelos utilizadores devem conservar registos adequados relativos ao processo de correspondência de identidade, às informações utilizadas para a correspondência e a qualquer outra documentação de apoio fornecida pela pessoa singular, bem como o resultado do processo de correspondência de identidade. Estes registos devem ser conservados durante um período mínimo de seis meses e máximo de 12 meses, a fim de permitir o registo e o tratamento de queixas dos utentes. O período de conservação pode ser prorrogado se exigido pelo direito da União ou pelo direito nacional.

(10)

A fim de evitar que os utentes das carteiras tenham de executar repetidamente o processo de correspondência de identidade, os Estados-Membros podem exigir que os sistemas de correspondência de identidade sejam capazes de emitir um certificado eletrónico de atributos com uma ligação entre o utente da carteira e um registo em que esse utente esteja registado como utente conhecido. Em alternativa, os Estados-Membros podem armazenar uma associação como referência a um registo acessível ao utilizador ou adotar outras medidas de assistência.

(11)

A fim de assegurar que as carteiras a fornecer em conformidade com os requisitos do artigo 5.o-A, n.o 1, do Regulamento (UE) n.o 910/2014 e os sistemas de identificação eletrónica notificados beneficiam das vantagens de dispor de sistemas de correspondência de identidade operacionais, é necessário fixar um prazo mais longo para a aplicação das disposições correspondentes do presente regulamento. No que diz respeito às carteiras, cada Estado-Membro deve fornecer, pelo menos, uma carteira no prazo de 24 meses a contar da data de entrada em vigor dos atos de execução a que se referem o artigo 5.o-A, n.o 23, e o artigo 5.o-C, n.o 6, do Regulamento (UE) n.o 910/2014. Por conseguinte, a aplicação das disposições pertinentes do presente regulamento relativas à determinação da correspondência de identidade com base em carteiras deve coincidir com o prazo acima referido. No que diz respeito aos sistemas de identificação eletrónica notificados, deve ser concedido tempo suficiente para a substituição das funcionalidades de correspondência de identidade.

(12)

Uma vez que a utilização da carteira deve ser voluntária, os Estados-Membros devem prever métodos alternativos que permitam aos utentes aceder aos serviços que fornecem quando atuam como utilizadores.

(13)

Ao tentar autenticar-se junto de um serviço eletrónico, um novo registo de utente pode ser contínuo e, por conseguinte, apresentar-se a um utente, visual e tecnicamente, como uma visita de retorno a um serviço eletrónico. Por esse motivo, um novo registo de utente num serviço eletrónico deverá, para efeitos do presente regulamento, ser considerado equivalente a um processo de correspondência de identidade bem-sucedido.

(14)

Os Estados-Membros devem assegurar que o processo de correspondência de identidade funciona sem descontinuidades e que o utente não se vê confrontado com múltiplas alterações de sessão e etapas repetitivas, mesmo se o processo de correspondência de identidade não for inicialmente bem-sucedido e forem executados processos complementares.

(15)

Os Estados-Membros têm liberdade para conceber as suas interfaces de utente e notificações de uma forma adaptada ao contexto nacional, tendo em conta o espírito dos requisitos constantes do presente regulamento.

(16)

O Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (6) e, se for caso disso, a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho (7) aplicam-se às atividades de tratamento de dados pessoais ao abrigo do presente regulamento.

(17)

A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (8) e emitiu o seu parecer em 31 de janeiro de 2025.

(18)

As medidas previstas no presente regulamento estão em conformidade com o parecer do comité instituído pelo artigo 48.o do Regulamento (UE) n.o 910/2014,