Transações mais seguras na Internet

PONTOS-CHAVE

Carteiras Europeias de Identidade Digital

• Os Estados-Membros devem introduzir as Carteiras de Identidade Digital Europeia até dezembro de 2026. As carteiras permitirão aos utilizadores identificarem-se de forma segura ou confirmarem determinadas informações pessoais para aceder a serviços públicos e privados, em linha e fora de linha, e a armazenar, apresentar e partilhar documentos digitais em toda a UE.
• A conformidade das Carteiras Europeias de Identidade Digital e do sistema de identificação eletrónica ao abrigo do qual são fornecidas deve ser certificada por organismos de avaliação da conformidade designados pelos Estados-Membros.

Identificação eletrónica

• Uma IDe emitida num Estado-Membro devem ser reconhecidas em todos os outros países. Esta medida aplica-se unicamente às IDe que satisfaçam os requisitos do regulamento e que tenham sido notificadas à Comissão e publicadas numa lista. O reconhecimento mútuo das IDe é vinculativo desde 28 de setembro de 2018 e facilita a realização de transações eletrónicas em condições de segurança em toda a UE.
• Os sistemas de IDe devem especificar um de três níveis de garantia (reduzido, substancial, elevado) para o meio de identificação eletrónica produzido ao abrigo do referido sistema. A obrigação de reconhecimento mútuo só se aplica se o organismo público em causa exigir o nível de confiança «substancial» ou «elevado» para conceder acesso ao referido serviço em linha.
  • Aquando da notificação à Comissão dos sistemas de IDe, os Estados-Membros devem fornecer informações sobre aspetos como:
  • o nível de garantia e o produtor de IDe que integra o sistema em causa;
  • os sistemas de supervisão e de responsabilidade aplicáveis; e
  • a entidade que gere o registo dos dados únicos de identificação da pessoa singular ou coletiva;

Serviços de confiança

O Regulamento relativo à Identidade Digital Europeia define os serviços de confiança como serviços, normalmente prestados mediante remuneração, que incluem:

• a emissão de certificados de assinatura eletrónica, de certificados de selo eletrónico, de certificados de autenticação de sítio Web ou de certificados para a prestação de outros serviços de confiança;
• a validação de certificados de assinaturas eletrónicas, certificados de selos eletrónicos, certificados para autenticação de sítios Web ou certificados para a prestação de outros serviços de confiança;
• a criação de assinaturas eletrónicas ou de selos eletrónicos;
• a validação de assinaturas eletrónicas ou de selos eletrónicos;
• a preservação de assinaturas eletrónicas, selos eletrónicos, certificados para assinaturas eletrónicas ou certificados para selos eletrónicos;
• a gestão de dispositivos de criação de assinaturas eletrónicas à distância ou de dispositivos de criação de selos eletrónicos à distância;
• a emissão de atestados eletrónicos de atributos;
• a validação de atestações eletrónicas de atributos;
• a criação de selos temporais eletrónicos;
• a validação de selos temporais eletrónicos;
• a prestação de serviços de envio registado eletrónico;
• a validação dos dados transmitidos através de serviços de entrega eletrónica registada e das provas conexas;
• o arquivamento eletrónico de dados e de documentos eletrónicos;
• o registo de dados eletrónicos num livro-razão eletrónico.

Os prestadores de serviços de confiança estabelecidos na UE são considerados «qualificados» caso satisfaçam os requisitos aplicáveis estabelecidos no Regulamento relativo à Identidade Digital Europeia. Estão legalmente autorizados a prestar serviços de confiança qualificados (por exemplo, assinaturas, selos ou certificados eletrónicos qualificados) em todos os Estados-Membros.

No que diz respeito aos aspetos internacionais, os serviços de confiança prestados por prestadores de serviços de países terceiros serão considerados juridicamente equivalentes aos serviços qualificados prestados por prestadores de serviços de confiança qualificados estabelecidos na UE, através de atos de execução ou na sequência de um acordo celebrado entre a UE e o país não pertencente à UE ou uma organização internacional.

Supervisão

• Os Estados-Membros devem designar um ou mais organismos de supervisão responsáveis pelas atividades de supervisão das Carteiras Europeias de Identidade Digital e dos serviços de confiança ao abrigo do presente regulamento. Estas entidades devem, se necessário, cooperar com as autoridades de proteção de dados e pelas autoridades responsáveis pela cibersegurança.
• Os prestadores de serviços de confiança estão sujeitos a supervisão, bem como a obrigações de gestão dos riscos e de notificação das violações da segurança.
• Os prestadores qualificados de serviços de confiança estabelecidos na UE estão sujeitos a uma supervisão rigorosa. Tal inclui a autorização prévia pelos organismos de supervisão e auditorias realizadas pelo menos uma vez de dois em dois anos por um organismo de avaliação da conformidade, que verifica se os requisitos do regulamento são cumpridos.
• Os prestadores de serviços de confiança não qualificados estão sujeitos a uma «supervisão ligeira», isto é, a autoridade de supervisão só intervém quando é informada de que esses prestadores ou os serviços de confiança que oferecem alegadamente não cumprem os requisitos estabelecidos no presente regulamento.

Governação

O Grupo de Cooperação para a Identidade Digital Europeia («Grupo de Cooperação») é criado com o objetivo de apoiar e facilitar a cooperação transfronteiriça e a troca de informações entre os Estados-Membros sobre serviços de confiança, Carteiras Europeias de Identidade Digital e regimes de IDe notificados.

Atos de execução

Para garantir a aplicação uniforme e correta do Regulamento da Identidade Digital Europeia em toda a UE, a Comissão adotou atos de execução que estabelecem regras técnicas, processuais e organizativas pormenorizadas.

Em conjunto, estes atos de execução complementam e operacionalizam o regulamento numa vasta gama de domínios e especificam, entre outros aspetos, os requisitos de interoperabilidade, as normas de segurança e de certificação, os procedimentos de notificação e de intercâmbio de informações, os formatos das listas de confiança, as reações a incidentes de segurança, as disposições de governação e de supervisão, bem como as disposições operacionais relativas aos regimes de identificação eletrónica, aos serviços de confiança e às Carteiras Europeias de Identidade Digital.

Os atos de execução abrangem um amplo conjunto de aspetos técnicos e operacionais e não se limitam aos domínios acima enumerados. São regularmente atualizados para refletir os desenvolvimentos tecnológicos, os riscos de segurança emergentes e as normas em evolução, abrangendo o Quadro de Arquitetura e de Referência (QAR), desenvolvido conjuntamente pela Comissão e pelos Estados-Membros, e aplicam-se diretamente em todos os Estados-Membros.