Parecer do Comité das Regiões Europeu — Identidade Digital Europeia

(2022/C 61/09)

Relator:

Mark WEINMEISTER (DE-PPE), secretário de Estado dos Assuntos Europeus do estado federado do Hesse

Texto de referência:

Proposta de regulamento do Parlamento Europeu e do Conselho que altera o Regulamento (UE) n.o 910/2014 no respeitante à criação de um Quadro Europeu para a Identidade Digital

COM(2021) 281 final

I. RECOMENDAÇÕES DE ALTERAÇÃO

Alteração 1

COM(2021) 281

Artigo 1.o, n.o 4

Regulamento (UE) n.o 910/2014

Artigo 5.o

Texto da proposta da Comissão Europeia

Alteração proposta pelo CR

Pseudónimos em transações eletrónicas

Sem prejuízo dos efeitos legais conferidos aos pseudónimos nos termos das legislações nacionais, não é proibido utilizar pseudónimos em transações eletrónicas.

Pseudónimos em transações eletrónicas

Sem prejuízo dos efeitos legais conferidos aos pseudónimos nos termos das legislações nacionais, não é proibido utilizar pseudónimos em transações eletrónicas ou nas redes sociais .

Justificação

As redes sociais não podem proibir, no momento do registo, a utilização de pseudónimos com referência à carteira europeia de identidade digital.

Alteração 2

COM(2021) 281

Artigo 1.o, n.o 7

Regulamento (UE) n.o 910/2014

Artigo 6.o-A, n.o 1

Texto da proposta da Comissão Europeia	Alteração proposta pelo CR
A fim de assegurar que todas as pessoas singulares e coletivas na União dispõem de acesso seguro, contínuo e de confiança a serviços públicos e privados transfronteiriços, cada Estado-Membro emite uma carteira europeia de identidade digital no prazo de 12 meses após a entrada em vigor do presente regulamento.	A fim de assegurar que todas as pessoas singulares e coletivas na União dispõem de acesso seguro, contínuo e de confiança a serviços públicos e privados transfronteiriços, cada Estado-Membro emite uma carteira europeia de identidade digital no prazo de 24 meses após a entrada em vigor do presente regulamento.

Justificação

A experiência demonstra que as carteiras europeias de identidade digital serão um alvo proeminente de ataques informáticos. Num ambiente tão sensível como os dados pessoais de identificação, a qualidade prevalece sobre a rapidez. Os prazos fixados para a aplicação a nível nacional são demasiado curtos (em parte, porque dependem também das disposições da Diretiva Segurança das Redes e da Informação revista — Diretiva SRI 2). Por conseguinte, é necessário um período de transição alargado.

Alteração 3

COM(2021) 281 final — Parte 1

Artigo 1.o, n.o 7

Regulamento (UE) n.o 910/2014

Artigo 6.o-A, n.o 12 (novo)

Texto da proposta da Comissão Europeia	Alteração proposta pelo CR
	A carteira europeia de identidade digital só será disponibilizada a menores de 18 anos se a sua identidade tiver sido autenticada através do documento de identificação eletrónico do representante legal responsável pelos menores.

Justificação

Uma carteira europeia de identidade digital servirá de prova de identidade em linha e fora de linha. Os menores não podem ser plenamente responsabilizados e responder pelas consequências dos seus atos.

Alteração 4

COM(2021) 281 final — Parte 1

Artigo 1.o, n.o 7

Regulamento (UE) n.o 910/2014

Artigo 6.o-C, n.o 5

Texto da proposta da Comissão Europeia	Alteração proposta pelo CR
Os Estados-Membros comunicam à Comissão a denominação e o endereço das entidades públicas ou privadas a que se refere o n.o 3. A Comissão põe a informação à disposição dos Estados-Membros.	Os Estados-Membros comunicam à Comissão a denominação e o endereço das entidades públicas ou privadas a que se refere o n.o 3. A Comissão põe a informação à disposição dos Estados-Membros no prazo máximo de seis meses a contar da entrada em vigor do presente regulamento .

Justificação

Pretende-se alterar o artigo 6.o-C, n.o 5, do Regulamento (UE) n.o 910/2014, pois é pertinente estabelecer um prazo máximo para a informação.

Alteração 5

COM(2021) 281

Artigo 1.o, n.o 9

Regulamento (UE) n.o 910/2014

Artigo 7.o

Texto da proposta da Comissão Europeia	Alteração proposta pelo CR
[…] no prazo de 12 meses após a entrada em vigor […]	[…] no prazo de 24 meses após a entrada em vigor […]

Justificação

Alteração 6

COM(2021) 281

Artigo 1.o, n.o 11

Regulamento (UE) n.o 910/2014

Artigo 10.o-A, n.o 4

Texto da proposta da Comissão Europeia	Alteração proposta pelo CR
A Comissão publica no Jornal Oficial da União Europeia, sem demora indevida, as alterações correspondentes à lista a que se refere o artigo 6.o-D.	A Comissão publica no Jornal Oficial da União Europeia, sem demora indevida, as alterações correspondentes à lista a que se refere o artigo 6.o-D e disponibiliza-as numa lista à parte .

Justificação

Uma lista separada será mais clara e deverá facilitar a utilização.

Alteração 7

COM(2021) 281 — Parte 1

Artigo 1.o, n.o 12

Regulamento (UE) n.o 910/2014

Artigo 11.o-A, n.o 4 (novo)

Texto da proposta da Comissão Europeia	Alteração proposta pelo CR
	Os Estados-Membros devem assegurar, através de meios de identificação únicos, que nenhum cidadão é titular de duas ou mais carteiras europeias de identidade digital, mesmo nos casos em que tenha dupla ou múltiplas nacionalidades ou seja residente em dois ou mais Estados-Membros.

Justificação

Há que garantir que os cidadãos e cidadãs com dupla ou múltiplas nacionalidades e/ou residentes em Estados-Membros diferentes são titulares de uma carteira europeia de identidade digital única.

Alteração 8

COM(2021) 281 — Parte 1

Artigo 1.o, n.o 14

Regulamento (UE) n.o 910/2014

Artigo 12.o-A, n.o 3

Texto da proposta da Comissão Europeia	Alteração proposta pelo CR
Os Estados-Membros comunicam à Comissão a denominação e o endereço da entidade pública ou privada por eles designada, referida no n.o 1. A Comissão põe a informação à disposição dos Estados-Membros.	Os Estados-Membros comunicam à Comissão a denominação e o endereço da entidade pública ou privada por eles designada, referida no n.o 1. A Comissão põe a informação à disposição dos Estados-Membros no prazo máximo de seis meses a contar da entrada em vigor do presente regulamento .

Justificação

Pretende-se alterar o artigo 12.o-A, n.o 3, do Regulamento (UE) n.o 910/2014, pois é pertinente estabelecer um prazo máximo para a informação.

Alteração 9

COM(2021) 281

Artigo 1.o, n.o 29

Regulamento (UE) n.o 910/2014

Artigo 30.o, n.o 3-A

Texto da proposta da Comissão Europeia	Alteração proposta pelo CR
A certificação a que se refere o n.o 1 é válida pelo período de cinco anos, e sujeita a uma avaliação periódica das vulnerabilidades a cada dois anos. Sempre que sejam identificadas vulnerabilidades e as mesmas não sejam sanadas, a certificação é retirada.	A certificação a que se refere o n.o 1 é válida pelo período de cinco anos, e sujeita a uma avaliação periódica das vulnerabilidades a cada dois anos. Sempre que sejam identificadas vulnerabilidades e as mesmas não sejam sanadas, a certificação é retirada. Uma reatribuição só pode ocorrer após um período de espera de 2 anos e uma nova avaliação das vulnerabilidades.

Justificação

Faz sentido estabelecer um prazo de espera para a reatribuição da certificação, uma vez que deve continuar a ser possível corrigir as vulnerabilidades, eventualmente após uma reestrutura técnica de fundo.

II. RECOMENDAÇÕES POLÍTICAS

O COMITÉ DAS REGIÕES EUROPEU

Introdução

apoia a ideia de uma «carteira europeia de identidade digital», que deverá permitir aos cidadãos comprovarem a sua identidade também através de dispositivos móveis, a fim de aceder aos serviços da administração pública em linha, enviar e receber documentos por via digital ou simplesmente provar características próprias e distintas, como por exemplo a sua idade, o que é possível fazer sem revelar a sua identidade ou outros dados pessoais;

congratula-se com as propostas da Comissão Europeia no sentido de criar uma identidade digital europeia, tendo em vista uma carteira europeia de identidade digital mais abrangente, e com a necessária alteração ao Regulamento eIDAS. Neste contexto, a carteira europeia de identidade digital não se limita aos dados de identificação pessoal em sentido estrito, devendo também conter outros documentos (incluindo documentos oficiais) em formato eletrónico, como a carta de condução ou as qualificações académicas;

apoia o objetivo da Comissão Europeia de continuar a desenvolver o Regulamento eIDAS, face à evolução das exigências do mercado, de modo a permitir a sua utilização pelos operadores económicos e, ao mesmo tempo, prosseguir com a utilização dos meios de identificação nacionais já notificados. A existência de meios seguros de identificação eletrónica é particularmente importante para a digitalização dos procedimentos administrativos;

solicita que a proposta da Comissão Europeia sobre uma identidade digital europeia inclua disposições claras relativas à proteção de dados, devendo aderir aos princípios estabelecidos no Regulamento Geral sobre a Proteção de Dados (RGPD), nomeadamente a economia dos dados, a privacidade dos dados e a justificação adequada, para além de assegurar que os utilizadores serão capazes de controlar quais os dados que pretendem partilhar e com quem os partilham;

considera que, pela sua possibilidade de utilização universal e, em particular, pela sua utilização móvel, a carteira europeia de identidade digital é um instrumento que deve facilitar a participação social; ao ser aplicado em toda a UE, pode tornar-se um elemento de identidade europeia na consciência individual de cada cidadão da UE;

Utilidade para os cidadãos

encara a criação de uma carteira europeia de identidade digital como uma excelente oportunidade para estabelecer também entre os cidadãos no mercado único uma identidade da UE palpável e de utilidade prática. Esta carteira cria um meio de identificação comum e de conexão inequívoca para todas as partes envolvidas, cujo simbolismo vai muito além da utilidade puramente técnica;

observa que a carteira europeia de identidade digital é, essencialmente, uma tecnologia de utilização móvel, que pode manter a sua funcionalidade mesmo face à evolução dos dispositivos atualmente habituais (telemóveis ou relógios inteligentes, etc.). Outros dispositivos mais evoluídos, como óculos digitais (por exemplo, óculos de realidade aumentada ou avatares digitais) ou aparelhos digitais semelhantes utilizados no dia a dia, devem poder utilizar a carteira europeia de identidade digital através de uma interface adequada (eventualmente, com tecnologia ótica);

recomenda, neste contexto, que o desenvolvimento e a aplicação da identidade digital europeia e da carteira europeia de identidade digital visem a prestação de serviços com um verdadeiro valor acrescentado de caráter transfronteiriço para os cidadãos;

salienta a necessidade de assegurar a soberania e a não discriminação de todos os utilizadores e, por conseguinte, recomenda a clarificação, na comunicação, de que não pode haver coerção indireta à utilização da carteira europeia de identidade digital na oferta de serviços a pessoas singulares. A utilização é, por princípio, um ato voluntário;

10.

salienta que a carteira europeia de identidade digital deve ser entendida como uma oferta aos cidadãos para ser bem aceite pela sociedade civil;

11.

apela para a formulação de recomendações de conceção simples que vão além da mera proteção de dados e da acessibilidade, equivalentes a um conjunto de ferramentas que permita às pessoas com certas limitações, linguísticas ou de outra natureza, participarem também na carteira europeia de identidade digital (por exemplo, aumentando a utilização de pictogramas);

12.

apela para o estabelecimento de regras que regulem a utilização de identidades digitais por menores, ou em casos de tutela ou curatela, bem como de regras para lidar com a identidade digital de uma pessoa em caso de morte;

Participação dos operadores económicos

13.

considera que, atendendo à abertura das regras atuais em relação aos operadores económicos, a participação estreita dos líderes tecnológicos é um fator essencial para o êxito. Só uma solução orientada para o mercado garante uma utilização adequada na UE;

14.

recorda o aspeto essencial da capacidade de utilização pelos operadores económicos através de interfaces de pagamento eletrónico (Paypal, Google/Apple-Pay, SWIFT, etc.), que se baseiam atualmente em contas de utilizador patenteadas. Uma carteira europeia de identidade digital deve ter em conta as regras pertinentes relativas ao «branqueamento de capitais» e ao «dinheiro eletrónico» (Bitcoin, Ethereum, euro digital, etc.);

15.

solicita que, no contexto da utilização da carteira europeia de identidade digital pelos operadores económicos, se tenham em conta dois modelos de negócio já existentes e cujo conteúdo concorre entre si.

Por um lado, as principais redes sociais a nível mundial têm um interesse legítimo em ter as suas contas sob pseudónimo validadas, eventualmente, por uma instituição pública. No entanto, tal comprometeria a liberdade de utilização da Internet e afastaria ainda mais os utilizadores da área protegida da Internet, empurrando-os para a Internet obscura. O Comité das Regiões entende que não pode haver esse interesse.

Por outro lado, existem fornecedores de serviços de identidade que oferecem serviços concorrentes com a carteira europeia de identidade digital, pretendendo para tal utilizar também uma identidade validada por uma instituição pública;

16.

recomenda que, para permitir o acesso dos operadores económicos através do comprovativo da sua identidade, a metodologia de verificação da legitimidade seja concebida por meio de um certificado seguro, cuja validade seja de duração limitada ou verificada ciclicamente. O Comité das Regiões considera positivas as reflexões semelhantes sobre os prestadores de serviços de confiança, mas salienta que o direito das instituições ou organizações de solicitarem dados da carteira europeia de identidade digital também tem de ser protegido de abusos;

17.

salienta que, em vários Estados-Membros, já se desenvolveram e aplicaram soluções digitais para os cidadãos, quer no domínio público quer na esfera privada. É importante que a identidade digital europeia integre estas características nacionais tanto quanto possível, por dois motivos: em primeiro lugar, a realização de grandes adaptações dos sistemas existentes exige recursos avultados, tanto administrativos como financeiros; em segundo lugar, os cidadãos destes Estados-Membros desenvolveram ao longo de vários anos um elevado nível de confiança nos sistemas existentes e é essencial que a introdução da identidade digital europeia não coloque em causa essa confiança;

Aplicação e participação dos Estados-Membros

18.

apela vivamente, por conseguinte, para que os conhecimentos especializados a nível nacional sejam estreitamente associados à recomendação constante da proposta legislativa da Comissão no sentido de que os Estados-Membros desenvolvam um conjunto de instrumentos comuns para uma abordagem coordenada com vista à criação do quadro técnico necessário para a identidade digital europeia.

Há que integrar exemplos de boas práticas existentes, como, por exemplo, os resultados e as experiências dos projetos nacionais «Digitale Identitäten» [Identidades Digitais] e «Schaufenster Sichere Digitale Identitäten» [Exemplo de Identidades Digitais Seguras];

19.

considera necessário, no que toca aos custos e às despesas decorrentes do planeamento, recolher também os parâmetros nacionais e fundi-los num plano global da UE, que corresponda ao esforço desenvolvido. Em particular, para além dos calendários na UE, há que registar e incorporar os calendários nacionais de aplicação;

20.

solicita que o planeamento global tenha em conta as despesas com os recursos humanos e financeiros para a aplicação a nível nacional, regional e local. A carteira europeia de identidade digital só será um êxito se puder ser utilizada com a frequência suficiente.

Para além dos operadores económicos, também aqui as administrações nacionais desempenham a todos os níveis um papel fundamental e a sua participação é cada vez maior, não só graças à sua própria ação, mas também através de iniciativas da Comissão. A Diretiva Serviços ou o portal da UE dão contributos valiosos para a digitalização do mercado único da UE;

21.

propõe que a aplicação seja progressiva, em especial na fase inicial. Este aspeto é importante uma vez que muitos operadores económicos — alguns dos quais não regulados até agora — participam pela primeira vez na utilização de identidades eletrónicas com um nível de confiança «considerável» a «elevado» no contexto do desenvolvimento do Regulamento eIDAS em vigor;

Proteção de dados e cibersegurança

22.

adverte contra a aplicação precipitada da solução de uma carteira europeia de identidade digital, devido aos riscos de ordem técnica relacionados com o armazenamento centralizado de dados de identificação numa aplicação maioritariamente móvel. Esta solução é, sem dúvida, vista como um alvo proeminente dos mais diversos ciberataques e deve, por conseguinte, ser resistente às ameaças existentes em qualquer momento;

23.

chama a atenção para a importância de uma definição adequada dos sistemas de certificação para as carteiras de identidade digital e os sistemas de identificação eletrónica, que não devem ser desenvolvidos por uma entidade comercial, mas pela Agência da União Europeia para a Cibersegurança (ENISA), em estreita colaboração com grupos de peritos, incluindo representantes dos órgãos de poder local e regional;

24.

chama a atenção para o risco de agrupar centralmente os tipos de identidade dos diferentes graus de confidencialidade numa única componente técnica. Se estes forem objeto de utilização ilegítima por terceiros, os utilizadores legítimos correm riscos significativos. Para além do prejuízo financeiro, tal poderá também resultar em danos de reputação e de honra. Uma ciberiscagem personalizada (spear-phishing) também pode causar danos consideráveis;

25.

solicita, porém, que a aplicação técnica da carteira europeia de identidade digital seja suficientemente protegida contra ciberataques e que os utilizadores legítimos possam efetuar uma reinstalação segura através dispositivos de bloqueio adequados e sistemas de salvaguarda seguros específicos.

A proteção da carteira europeia de identidade digital deve ser um processo permanente. A segurança desde a conceção constitui a base para uma boa utilização duradoura, além de ser indispensável para os operadores económicos que a utilizam, pelo que deve ser disponibilizada já no conjunto de instrumentos comuns;

26.

considera que, para além dos requisitos da proteção de dados, da acessibilidade e da cibersegurança, um fator essencial para o êxito é uma solução com informação e documentação que use métodos correntes e seja adaptada ao grupo-alvo dos utilizadores;

27.

propõe a prescrição de regras vinculativas que, por princípio, permitam o acesso dos prestadores de serviços aos dados da carteira europeia de identidade digital de forma simples e transparente, através de instrumentos uniformes (por exemplo, painel de comandos), prevendo-se uma indicação visível para os utilizadores;

28.

solicita que o projeto de carteira europeia de identidade digital seja concebido para ser consentâneo com o objetivo de resiliência digital da Europa e para promover o objetivo da soberania digital da Europa;

29.

apela para que se analise em que medida, recorrendo a um conjunto de ferramentas de fonte aberta, certificadas e disponibilizadas pela UE, se pode criar uma base técnica geral para as funcionalidades básicas da carteira europeia de identidade digital; a manutenção e o desenvolvimento desse conjunto de ferramentas seriam coordenados pela UE;

Participação nos processos de utilização

30.

recomenda que, ao traduzir a carteira europeia de identidade digital em aplicações concretas, se exija um processo de utilização que seja corrente e intuitivo para o grupo-alvo de utilizadores.

A carteira europeia de identidade digital deve ser incorporada nos cenários de utilização como uma componente homogénea com interfaces óbvias para a transferência de dados e deve ser apresentada de forma visível como produto da UE através de uma linguagem pictórica e visual inequívoca;

31.

propõe, em contrapartida, a uniformização dos acessos à carteira europeia de identidade digital, de modo que os utilizadores possam quase intuitivamente recorrer a ela ou autorizar o acesso à mesma. Importa aqui ter em consideração os requisitos de minimização dos dados. Por um lado, tal facilita a sua utilização e, por outro lado, permite evitar a utilização incorreta mesmo por pessoas menos propensas à tecnologia;

Comunicação e aceitação

32.

considera necessário alcançar a população da UE através de uma comunicação intensiva sobre a carteira europeia de identidade digital e as oportunidades que daí advêm para a sua utilização no mercado interno da UE, bem como sobre as salvaguardas aplicadas para a proteção de dados e a segurança dos dados; salienta que a conectividade de alta velocidade para todos na União Europeia, incluindo nas zonas rurais e remotas, é uma condição para que os cidadãos utilizem e aceitem a carteira europeia de identidade digital;

33.

defende que a utilização original da carteira europeia de identidade digital seja alargada a uma identidade da UE reconhecida em todo o mundo, nomeadamente com as funções de um passaporte (depósito digital, por exemplo, de vistos) ou de um certificado de vacinação oficial da UE. Neste sentido, deverão celebrar-se acordos que permitam também a utilização fora da UE da carteira europeia de digital com as credenciais nela contidas;

34.

insta a Comissão Europeia a encetar intensos debates e negociações com os fornecedores de equipamento para a disponibilização técnica da carteira europeia de identidade digital aos utilizadores finais. O objetivo é disponibilizar quanto antes a base técnica, inclusive nos dispositivos de baixo preço.

Atualmente, estão disponíveis as primeiras famílias de dispositivos com preços de gama alta e média que dispõem de certificação suficiente para o nível de confiança «considerável» nos termos do Regulamento eIDAS. Com vista à difusão da carteira europeia de identidade digital, afigura-se útil assegurar a maior participação possível dos operadores económicos enquanto prestadores de serviços;

Subsidiariedade

35.

constata que a proposta é consentânea com o princípio da subsidiariedade. Uma construção técnica deste tipo à escala da UE só produzirá os efeitos adequados se as regras forem suficientemente uniformes. A conceção concreta está reservada às respetivas regulamentações nacionais. Apenas terão de ser avaliados os elementos de aplicação geral que constam do conjunto de instrumentos comuns.

Bruxelas, 12 de outubro de 2021.

O Presidente do Comité das Regiões Europeu

Apostolos TZITZIKOSTAS