Diretamente por um Estado-Membro;

Por mandato de um Estado-Membro;

De forma independente de um Estado-Membro, mas reconhecida por esse Estado-Membro.

Solicitar, obter, selecionar, combinar, armazenar, apagar, partilhar e apresentar de forma segura, sob o controlo exclusivo do utente, dados de identificação pessoal e, se for caso disso, em combinação com certificados eletrónicos de atributos, autenticar-se em linha aos utilizadores e, se for caso disso, em modo fora de linha, a fim de aceder a serviços públicos e privados, assegurando simultaneamente a possibilidade de divulgação seletiva de dados;

Gerar pseudónimos e armazená-los de forma cifrada e localmente na carteira europeia de identidade digital;

Autenticar de forma segura a carteira europeia de identidade digital de outra pessoa e receber e partilhar dados de identificação pessoal e certificados eletrónicos de atributos de forma segura entre as duas carteiras europeias de identidade digital;

Aceder a um registo de todas as transações realizadas através da carteira europeia de identidade digital, recorrendo a um painel de controlo comum que permita ao utente:

Assinar com assinaturas eletrónicas qualificadas ou apor selos com selos eletrónicos qualificados;

Descarregar, na medida em que tal seja tecnicamente viável, os dados do utente, o certificado eletrónico de atributos e as configurações;

Exercer os direitos do utente à portabilidade dos dados.

Apoiam protocolos e interfaces comuns:

Não facultam quaisquer informações aos prestadores de serviços de confiança de certificados eletrónicos de atributos sobre a utilização desses certificados eletrónicos;

Asseguram que a identidade dos utilizadores possa ser autenticada e identificada através da aplicação de mecanismos de autenticação em conformidade com o artigo 5.o-B;

Cumprem os requisitos estabelecidos no artigo 8.o no que diz respeito ao nível de garantia elevado, em especial à sua aplicação aos requisitos de prova e verificação da identidade, assim como à gestão e autenticação de meios de identificação eletrónica;

No caso do certificado eletrónico de atributos com políticas de divulgação incorporadas, aplicam o mecanismo adequado para informar o utente de que o utilizador ou o utente da carteira europeia de identidade digital que requer esse certificado eletrónico de atributos está autorizado a aceder ao mesmo;

Asseguram que os dados de identificação pessoal, disponíveis a partir do sistema de identificação eletrónica ao abrigo do qual é fornecida a carteira europeia de identidade digital, representam de modo único a pessoa singular ou coletiva ou uma pessoa singular que represente uma pessoa singular ou coletiva, e estão associados a essa carteira europeia de identidade digital;

Oferecem a todas as pessoas singulares a possibilidade de assinar através de assinaturas eletrónicas qualificadas por defeito e gratuitamente.

Garantir que a autenticidade e validade das carteiras europeias de identidade digital podem ser verificadas;

Permitir aos utentes verificar a autenticidade e a validade da identidade dos utilizadores registados em conformidade com o artigo 5.o-B.

Mediante pedido explícito do utente;

Caso a segurança da carteira europeia de identidade digital tenha sido comprometida;

Em caso de morte do utente ou de cessação da atividade da pessoa coletiva.

Não permite que os fornecedores de certificados eletrónicos de atributos ou qualquer outra parte, após a emissão do certificado de atributos, obtenham dados que permitam que as transações ou o comportamento dos utentes sejam seguidos, ligados ou correlacionados, ou que o conhecimento das transações ou o comportamento dos utentes seja obtido de outra forma, salvo autorização explícita do próprio utente;

Permite técnicas de preservação da privacidade que garantam a ausência de associação, sempre que o certificado de atributos não exija a identificação do utente.

O organismo responsável pela elaboração e manutenção da lista dos utilizadores registados que recorrem às carteiras europeias de identidade digital, em conformidade com o artigo 5.o-B, n.o 5, e a localização dessa lista;

Os organismos responsáveis pelo fornecimento das carteiras europeias de identidade digital, em conformidade com o artigo 5.o-A, n.o 1;

Os organismos responsáveis por assegurar que os dados de identificação pessoal estão associados à carteira europeia de identidade digital, em conformidade com o artigo 5.o-A, n.o 5, alínea f);

O mecanismo que permite a validação dos dados de identificação pessoal a que se refere o artigo 5.o-A, n.o 5, alínea f), e sobre a identidade dos utilizadores;

O mecanismo para validar a autenticidade e a validade das carteiras europeias de identidade digital.

As informações necessárias para autenticar as carteiras europeias de identidade digital, que incluem, no mínimo:

Os dados de contacto do utilizador;

A utilização prevista das carteiras europeias de identidade digital, incluindo uma indicação dos dados a solicitar aos utentes pelo utilizador.

O certificado e o relatório de avaliação da certificação da carteira europeia de identidade digital certificada;

A descrição do sistema de identificação eletrónica ao abrigo do qual é fornecida a carteira europeia de identidade digital;

O regime de supervisão aplicável e as informações sobre o regime de responsabilidade no que diz respeito à parte que fornece a carteira europeia de identidade digital;

Os dados da autoridade ou autoridades responsáveis pelo sistema de identificação eletrónica;

As disposições previstas para a suspensão ou a revogação do sistema de identificação eletrónica, da autenticação ou das partes afetadas em causa.

O meio de identificação eletrónica ser produzido por um sistema de identificação eletrónica constante da lista publicada pela Comissão nos termos do artigo 9.o;

O nível de garantia do meio de identificação eletrónica corresponder a um nível de garantia igual ou superior ao exigido pelo organismo público para o acesso ao serviço em linha no primeiro Estado-Membro, desde que o nível de garantia do referido meio de identificação eletrónica corresponda ao nível substancial ou elevado;

O organismo público em causa utilizar o nível de garantia substancial ou elevado para conceder acesso ao referido serviço em linha.

O nível de garantia reduzido corresponde a um meio de identificação eletrónica, no contexto de um sistema de identificação eletrónica, que confere um nível de confiança limitado relativamente à identidade declarada ou reivindicada por determinada pessoa, e que se caracteriza por referência a especificações técnicas, normas e procedimentos conexos, nomeadamente controlos técnicos, cuja finalidade é reduzir o risco de utilização ou alteração indevida da identidade;

O nível de garantia substancial corresponde a um meio de identificação eletrónica, no contexto de um sistema de identificação eletrónica, que confere um nível de confiança substancial relativamente à identidade declarada ou reivindicada por determinada pessoa, e que se caracteriza por referência a especificações técnicas, normas e procedimentos conexos, nomeadamente controlos técnicos, cuja finalidade é reduzir substancialmente o risco de utilização ou alteração indevida da identidade;

O nível de garantia elevado corresponde a um meio de identificação eletrónica, no contexto de um sistema de identificação eletrónica, que confere um nível de confiança relativamente à identidade declarada ou reivindicada por determinada pessoa mais elevado do que os meios de identificação eletrónica com o nível de garantia substancial, e que se caracteriza por referência a especificações técnicas, normas e procedimentos conexos, nomeadamente controlos técnicos, cuja finalidade é evitar a utilização ou a alteração indevida da identidade.

Uma descrição do sistema de identificação eletrónica, nomeadamente dos seus níveis de garantia e do produtor ou produtores dos meios de identificação eletrónica que integram o sistema;

O regime de supervisão e de responsabilidade aplicáveis no que diz respeito:

Os dados da autoridade ou autoridades responsáveis pelo sistema de identificação eletrónica notificado;

Os dados da entidade ou entidades que gerem o registo dos dados únicos de identificação da pessoa singular ou coletiva;

Uma descrição da forma como são cumpridos os requisitos definidos nos atos de execução a que se refere o artigo 12.o, n.o 8;

Uma descrição da autenticação referida no artigo 7.o, alínea f);

As disposições previstas para a suspensão ou a revogação do sistema de identificação eletrónica notificado, da autenticação ou das partes afetadas em causa.

Procurar ser tecnologicamente neutro e não fazer discriminações em relação às soluções técnicas nacionais específicas utilizadas para a identificação eletrónica no Estado-Membro em causa;

Seguir, se possível, as normas europeias e internacionais;

Facilitar o respeito da privacidade e da segurança, desde a conceção;

A referência aos requisitos técnicos mínimos relacionados com os níveis de garantia previstos no artigo 8.o;

A tabela das correspondências entre os níveis de garantia nacionais dos sistemas de identificação eletrónica notificados e os níveis de garantia previstos no artigo 8.o;

A referência aos requisitos técnicos mínimos para a interoperabilidade;

A referência a um conjunto mínimo de dados de identificação necessários para representar de modo único uma pessoa singular ou coletiva, ou uma pessoa singular que represente outra pessoa singular ou uma pessoa coletiva, disponível a partir de sistemas de identificação eletrónica;

As regras processuais;

As disposições em matéria de resolução de litígios; e

As normas comuns de segurança operacional.

5 000 000  EUR se o prestador de serviços de confiança for uma pessoa singular; ou

Se o prestador de serviços de confiança for uma pessoa coletiva, 5 000 000  EUR ou 1 % do volume de negócios anual total a nível mundial da empresa a que o prestador de serviços de confiança pertencia no exercício anterior ao ano em que ocorreu a infração, consoante o que for mais elevado.

Dispõem de políticas adequadas e tomam as medidas correspondentes para gerir riscos jurídicos, comerciais, operacionais e outros riscos diretos ou indiretos relacionados com a prestação de serviços de confiança não qualificados, as quais devem, não obstante o disposto no artigo 21.o da Diretiva (UE) 2022/2555, incluir, pelo menos, as relacionadas com:

Notificam a entidade supervisora, as pessoas afetadas identificáveis, o público, se for de interesse público, e, se for caso disso, outras autoridades competentes, de quaisquer violações da segurança ou perturbações na prestação do serviço ou na aplicação das medidas referidas na alínea a), subalínea i), ii) ou iii), que tenham um impacto significativo no serviço de confiança prestado ou nos dados pessoais nele conservados, sem demora indevida e, em qualquer caso, o mais tardar 24 horas após terem tomado conhecimento de quaisquer violações da segurança ou perturbações.

À acreditação dos organismos de avaliação da conformidade e ao relatório de avaliação da conformidade a que se refere o n.o 1;

Aos requisitos de auditoria para os organismos de avaliação da conformidade efetuarem a avaliação da conformidade, inclusive a avaliação compósita, dos prestadores qualificados de serviços de confiança a que se refere o n.o 1;

Aos sistemas de avaliação da conformidade utilizados pelos organismos de avaliação da conformidade para realizar a avaliação da conformidade dos prestadores qualificados de serviços de confiança e para a apresentação do relatório a que se refere o n.o 1.

Através da carteira europeia de identidade digital ou de um meio de identificação eletrónica notificado que satisfaça os requisitos estabelecidos no artigo 8.o no que diz respeito ao nível de garantia elevado;

Através de um certificado qualificado de assinatura eletrónica ou de um selo eletrónico qualificado emitido em cumprimento da alínea a), c) ou d);

Utilizando outros métodos de identificação que garantam a identificação da pessoa com um elevado nível de certeza, cuja conformidade é atestada por um organismo de avaliação da conformidade;

Pela presença física da pessoa singular ou de um representante autorizado da pessoa coletiva, através de elementos de prova adequados e procedimentos, em conformidade com o direito nacional.

Através da carteira europeia de identidade digital ou de um meio de identificação eletrónica notificado que satisfaça os requisitos estabelecidos no artigo 8.o no que diz respeito ao nível de garantia elevado;

Através de um certificado qualificado de assinatura eletrónica ou de um selo eletrónico qualificado emitido em conformidade com o n.o 1-A, alínea a), c) ou d);

Através de uma validação qualificada de certificados eletrónicos de atributos;

Utilizando outros métodos que garantam a verificação dos atributos com um elevado nível de confiança, cuja conformidade é atestada por um organismo de avaliação da conformidade;

Através da presença física da pessoa singular ou de um representante autorizado da pessoa coletiva, através de elementos de prova adequados e procedimentos, em conformidade com o direito nacional.

Informam a entidade supervisora pelo menos um mês antes de implementar qualquer alteração da prestação dos seus serviços de confiança qualificados ou, pelo menos, três meses antes em caso de intenção de cessar essas atividades;

Empregam pessoal e, eventualmente, subcontratantes que possuam a especialização, a confiança, experiência e as qualificações necessárias e que tenham recebido formação adequada em matéria de regras de segurança e de proteção de dados pessoais e aplicam procedimentos administrativos e de gestão que correspondam às normas europeias ou internacionais;

Face ao risco da responsabilidade por danos prevista no artigo 13.o, conservam recursos financeiros suficientes e/ou adquirem um seguro de responsabilidade adequado, de acordo com a legislação nacional;

Antes de estabelecerem uma relação contratual, informam, de forma clara, completa e facilmente acessível, num espaço acessível ao público e individualmente, as pessoas que pretendam utilizar serviços de confiança qualificados dos termos e condições exatos da utilização de tais serviços, incluindo de qualquer limitação à sua utilização;

Utilizam sistemas e produtos fiáveis que estejam protegidos contra modificações e garantam a segurança e a fiabilidade técnicas dos processos de que são suporte, incluindo a utilização de técnicas criptográficas adequadas;

Utilizam sistemas fiáveis de armazenamento dos dados que lhes são fornecidos, num formato verificável, de modo a que:

Não obstante o disposto no artigo 21.o da Diretiva (UE) 2022/2555, dispõem de políticas adequadas e tomam as medidas correspondentes para gerir riscos jurídicos, comerciais, operacionais e outros riscos diretos ou indiretos relacionados com a prestação de serviços de confiança qualificados, incluindo, pelo menos, medidas relacionadas com:

Notificam a entidade supervisora, as pessoas afetadas identificáveis, outros organismos competentes relevantes, se for caso disso, e, a pedido da entidade supervisora, o público, se tal for de interesse público, de quaisquer violações da segurança ou perturbações na prestação do serviço ou na aplicação das medidas referidas na alínea f-A), subalíneas i), ii) ou iii), que tenham um impacto significativo no serviço de confiança prestado ou nos dados pessoais nele conservados, sem demora indevida e, em qualquer caso, no prazo de 24 horas após o incidente;

Tomam as medidas adequadas contra a falsificação, o roubo ou a apropriação indevida dos dados, ou a eliminação, a alteração ou o impedimento do acesso aos dados, na ausência de direito para tal;

Registam e mantêm acessíveis durante o tempo que for necessário depois de o prestador qualificado de serviços de confiança ter cessado as suas atividades, todas as informações pertinentes relativas aos dados emitidos e recebidos pelo prestador qualificado de serviços de confiança, para efeitos de apresentação de provas em processos judiciais e para garantir a continuidade do serviço. Esse registo poderá ser feito por via eletrónica;

Conservam um plano de cessação de atividades atualizado que garanta a continuidade do serviço de acordo com as disposições verificadas pela entidade supervisora nos termos do artigo 46.o-B, n.o 4, alínea i);

Criam e mantêm atualizada uma base de dados de certificados, quando emitam certificados qualificados.

O certificado qualificado de assinatura eletrónica que tiver sido suspenso temporariamente perder a sua validade durante o período da suspensão.

O período de suspensão ser claramente indicado na base de dados de certificados e, durante o período pertinente, o estatuto de suspensão ser visível para o serviço que presta informações sobre o estatuto dos certificados.

Proceda à geração ou à gestão de dados para a criação de uma assinatura eletrónica em nome do signatário;

Não obstante o disposto no ponto 1, alínea d), do anexo II, duplica os dados para a criação de uma assinatura eletrónica apenas para fins de cópia de segurança, desde que sejam cumpridos os seguintes requisitos:

Cumpra todos os requisitos identificados no relatório de certificação do específico dispositivo qualificado de criação de assinaturas eletrónicas à distância emitido nos termos do artigo 30.o.

Num processo de avaliação de segurança executado de acordo com as normas da avaliação de segurança dos produtos informáticos constantes da lista elaborada nos termos do segundo parágrafo; ou

Num processo diferente do referido na alínea a), desde que esse processo utilize níveis de segurança comparáveis e a entidade pública ou privada referida no n.o 1 notifique esse processo à Comissão. Esse processo só pode ser utilizado na falta das normas constantes da alínea a) ou se estiver em curso um processo de avaliação de segurança referido na alínea a).

No momento da assinatura, o certificado que lhe serve de suporte ser um certificado qualificado de assinatura eletrónica conforme com o disposto no anexo I;

O certificado qualificado ter sido emitido por um prestador qualificado de serviços de confiança e ser válido no momento da assinatura;

Os dados para a validação da assinatura corresponderem aos dados fornecidos ao utilizador;

O conjunto único de dados que representam o signatário no certificado serem corretamente fornecidos ao utilizador;

A utilização de um pseudónimo no momento da assinatura ser claramente indicada ao utilizador;

A assinatura eletrónica ter sido criada por um dispositivo qualificado de criação de assinatura eletrónica;

A integridade dos dados assinados não ter sido afetada;

Os requisitos previstos no artigo 26.o se encontrarem preenchidos no momento da assinatura;

No momento da assinatura, o certificado que lhe serve de suporte seja um certificado qualificado para assinatura eletrónica conforme com o disposto no anexo I;

O certificado qualificado tenha sido emitido por um prestador qualificado de serviços de confiança e tenha sido válido no momento da assinatura;

Os dados para a validação da assinatura correspondam aos dados fornecidos ao utilizador;

O conjunto único de dados que representam o signatário no certificado sejam corretamente fornecidos ao utilizador;

A utilização de um pseudónimo no momento da assinatura seja claramente indicada ao utilizador;

A integridade dos dados assinados não tenha sido afetada;

Os requisitos previstos no artigo 26.o se encontrassem preenchidos no momento da assinatura.

Efetuem a validação em conformidade com o artigo 32.o, n.o 1, e

Permitam aos utilizadores receber o resultado do processo de validação de um modo automático que seja fiável e eficaz e que inclua a assinatura eletrónica avançada ou o selo eletrónico avançado do prestador do serviço qualificado de validação.

O certificado qualificado de selo eletrónico que tiver sido suspenso temporariamente perder a sua validade durante o período da suspensão;

O período de suspensão ser claramente indicado na base de dados de certificados e, durante o período pertinente, o estatuto de suspensão ser visível para o serviço que presta informações sobre o estatuto dos certificados.

Vincular a data e a hora aos dados de forma a tornar razoavelmente impossível a alteração dos dados de forma não detetável;

Basear-se numa fonte horária precisa ligada à Hora Universal Coordenada; e

Ser assinado utilizando uma assinatura eletrónica avançada ou um selo eletrónico avançado do prestador qualificado de serviços de confiança, ou por outro método equivalente.

Serem efetuados por um ou mais prestadores qualificados de serviços de confiança;

Garantirem, com um elevado nível de confiança, a identificação do remetente;

Garantir a identificação do destinatário antes da entrega dos dados;

O envio e a receção dos dados serem securizados por uma assinatura eletrónica avançada ou um selo eletrónico avançado do prestador qualificado de serviços de confiança, de modo a tornar impossível a alteração dos dados de forma não detetável;

Qualquer alteração a que devam ser sujeitos para o seu envio ou receção ser claramente indicada ao remetente e ao destinatário dos dados;

A data e a hora do envio e da receção, assim como as eventuais alterações dos dados, serem indicadas por meio de um selo temporal qualificado;

Aqueles estabelecidos no anexo VII;

O certificado qualificado que sustenta a assinatura eletrónica qualificada ou do selo eletrónico qualificado do organismo do setor público a que se refere o artigo 3.o, ponto 46), identificado como o emitente a que se refere o anexo VII, alínea b), contém um conjunto específico de atributos certificados numa forma adequada para o tratamento automático e que:

São fornecidos por prestadores qualificados de serviços de confiança;

Utilizam procedimentos e tecnologias capazes de assegurar a durabilidade e a legibilidade de dados eletrónicos e de documentos eletrónicos para além do período de validade tecnológica e, pelo menos, ao longo do período de conservação legal ou contratual, preservando simultaneamente a sua integridade e a precisão da sua origem;

Asseguram que esses dados eletrónicos e esses documentos eletrónicos são conservados de modo a estarem protegidos contra a perda e a alteração, exceto no que diz respeito às alterações do seu suporte ou formato eletrónico;

Permitem que aos utilizadores autorizadas recebam um relatório de forma automatizada que confirme que dados eletrónicos e documentos eletrónicos extraídos de um arquivo eletrónico qualificado beneficiam da presunção de integridade dos dados desde o início do período de conservação até ao momento da sua extração.

O relatório referido na alínea d) do primeiro parágrafo é apresentado de forma fiável e eficiente e ostenta a assinatura eletrónica qualificada ou o selo eletrónico qualificado do prestador do serviço qualificado de arquivo eletrónico.

São criados e geridos por um ou mais prestadores qualificados de serviços de confiança;

Estabelecem a origem dos registos de dados no livro-razão;

Asseguram a ordem cronológica única e sequencial dos registos de dados no livro-razão;

Registam os dados de forma a que qualquer alteração subsequente dos mesmos seja imediatamente detetável, garantindo a sua integridade ao longo do tempo.