(1)

O Regime Europeu para a Identidade Digital, criado pelo Regulamento (UE) n.o 910/2014, é uma componente crucial da criação de um ecossistema de identidade digital seguro e interoperável em toda a União. Tendo como pedra angular as carteiras europeias de identidade digital («carteiras»), o regime visa facilitar o acesso aos serviços em todos os Estados-Membros, assegurando simultaneamente a proteção dos dados pessoais e da privacidade.

(2)

O Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (2) e, se for caso disso, a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho (3) aplicam-se a todas as atividades de tratamento de dados pessoais ao abrigo do presente regulamento.

(3)

O artigo 5.o-A, n.o 23, do Regulamento (UE) n.o 910/2014 incumbe a Comissão, se necessário, de estabelecer as especificações e os procedimentos pertinentes. Tal é alcançado através de quatro regulamentos de execução, que abordam os protocolos e as interfaces [Regulamento de Execução (UE) 2024/2982 da Comissão (4)], a integridade e as funcionalidades essenciais [Regulamento de Execução (UE) 2024/2979 da Comissão (5)], os dados de identificação pessoal e os certificados eletrónicos de atributos [Regulamento de Execução (UE) 2024/2977 da Comissão (6)], bem como as notificações à Comissão [Regulamento de Execução (UE) 2024/2980 da Comissão (7)]. O presente regulamento estabelece os requisitos aplicáveis aos dados de identificação pessoal e aos certificados eletrónicos de atributos a emitir para carteiras europeias de identidade digital.

(4)

A Comissão avalia periodicamente as novas tecnologias, práticas, normas ou especificações técnicas. A fim de assegurar o mais elevado nível de harmonização entre os Estados-Membros para o desenvolvimento e a certificação das carteiras, as especificações técnicas estabelecidas no presente regulamento de execução baseiam-se nos trabalhos realizados com base na Recomendação (UE) 2021/946 da Comissão, de 3 de junho de 2021, relativa a um conjunto de instrumentos comuns a nível da União para uma abordagem coordenada do quadro europeu para a identidade digital (8) e, em especial, na arquitetura e no quadro de referência que dela fazem parte. Em conformidade com o considerando 75 do Regulamento (UE) 2024/1183 do Parlamento Europeu e do Conselho (9), a Comissão deve rever e atualizar o presente regulamento de execução, se necessário, a fim de assegurar que o mesmo acompanha a evolução mundial, a arquitetura e o regime de referência e de seguir as boas práticas no mercado interno.

(5)

A fim de assegurar a proteção de dados desde a conceção e por defeito, as carteiras devem dispor de várias funcionalidades de reforço da privacidade, de modo a impedir que os fornecedores de meios de identificação eletrónica e de certificados eletrónicos de atributos combinem dados pessoais obtidos aquando da prestação de outros serviços com os dados pessoais tratados para prestar os serviços abrangidos pelo âmbito de aplicação do Regulamento (UE) n.o 910/2014.

(6)

A fim de assegurar a harmonização, devem estar disponíveis determinadas funcionalidades comuns em todas as carteiras, incluindo a capacidade de solicitar, obter, selecionar, combinar, armazenar, apagar, partilhar e apresentar de forma segura, sob o controlo exclusivo do utente da carteira, os dados de identificação pessoal e os certificados eletrónicos de atributos. De modo a assegurar que os dados de identificação pessoal e os certificados eletrónicos de atributos podem ser tratados através de todas as unidades de carteira, todas as soluções de carteiras devem suportar a aplicação das especificações técnicas relativas aos atributos dos dados de identificação pessoal, ao formato dos dados e à infraestrutura necessária para assegurar a fiabilidade adequada dos dados de identificação pessoal. Além disso, as especificações comuns relativas aos atributos dos dados de identificação pessoal visam assegurar que estes dados possam ser utilizados para determinação da correspondência de identidade, conforme necessário.

(7)

Os Estados-Membros devem assegurar que as carteiras são capazes de autenticar os utilizadores, os fornecedores de dados de identificação pessoal e os fornecedores de certificados eletrónicos de atributos, independentemente do seu local de estabelecimento na União. Para o efeito, estas entidades devem utilizar os certificados de acesso de utilizadores de carteiras quando se identificam perante as unidades de carteira. A fim de garantir a interoperabilidade destes certificados em todas as carteiras fornecidas na União, os certificados de acesso de utilizadores de carteiras devem cumprir normas comuns. A Comissão, em colaboração com os Estados-Membros, deve acompanhar de perto o desenvolvimento de normas novas ou alternativas que possam servir de base para a elaboração de certificados de acesso de utilizadores. Em especial, importa avaliar os modelos de confiança cuja eficácia e segurança tenham sido comprovadas nos Estados-Membros.

(8)

A fim de assegurar transparência aos utentes das carteiras, os Estados-Membros devem publicar informações que indiquem quais são as soluções de carteiras suportadas pelos fornecedores de dados de identificação pessoal estabelecidos nos seus territórios. Uma vez que a identidade do utente deve ser tão fiável quanto possível, deve impor-se um nível comum de garantia elevado à prova da identidade dos utentes das carteiras antes da emissão de dados de identificação pessoal, de acordo com o nível de garantia elevado estabelecido para os meios de identificação eletrónicos ao abrigo do Regulamento (UE) n.o 910/2014. Desta forma, as unidades de carteira asseguram o mais elevado grau de fiabilidade disponível para os meios de identificação em toda a União. Durante a inscrição dos utentes da carteira com um nível de garantia elevado, são possíveis vários processos seguros. Por exemplo, se se verificar que o utente da carteira está na posse de elementos de identificação com fotografia ou dados biométricos reconhecidos mas não emitidos pelo Estado-Membro em que se efetua o pedido de meio de identificação eletrónica e que os elementos de prova representam a identidade declarada, os elementos de prova devem ser controlados para determinar se esta é válida de acordo com uma fonte qualificada pertinente.

(9)

A fim de apoiar a interoperabilidade, os certificados eletrónicos de atributos devem cumprir requisitos harmonizados em matéria de formato.

(10)

De modo a proteger os dados dos utentes das carteiras e assegurar a autenticidade dos certificados eletrónicos de atributos, os mecanismos de autenticação dos fornecedores de certificados eletrónicos de atributos e de verificação da autenticidade e validade das unidades de carteira por esse fornecedor devem aplicar-se antes da emissão dos certificados para as unidades de carteira.

(11)

Com o objetivo de evitar a utilização e o recurso a dados de identificação pessoal e a certificados eletrónicos de atributos que perderam a sua validade legal após terem sido emitidos para uma unidade de carteira, os fornecedores de dados de identificação pessoal e de certificados eletrónicos de atributos devem publicar uma política que descreva as circunstâncias e os procedimentos de revogação.

(12)

A fim de assegurar que os dados de identificação pessoal representam o utente da carteira de forma única, os Estados-Membros devem fornecer, para além dos atributos obrigatórios dos dados de identificação pessoal estabelecidos no presente regulamento, atributos facultativos necessários para assegurar que o conjunto de dados de identificação pessoal é único.

(13)

A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (10) e emitiu o seu parecer em 30 de setembro de 2024.

(14)

As medidas previstas no presente regulamento estão em conformidade com o parecer do Comité referido no artigo 48.o do Regulamento (UE) n.o 910/2014,

1)

«Utente da carteira», um utente que controla a unidade de carteira;

2)

«Unidade de carteira», uma configuração única de uma solução de carteira que inclui instâncias de carteiras, aplicações criptográficas seguras de carteiras e dispositivos criptográficos seguros de carteiras disponibilizada pelo fornecedor de uma carteira a um utente individual da carteira;

3)

«Solução de carteira», uma combinação de software, hardware, serviços, definições e configurações, incluindo instâncias de carteiras, uma ou várias aplicações criptográficas seguras de carteiras e um ou vários dispositivos criptográficos seguros de carteiras;

4)

«Fornecedor de dados de identificação pessoal», uma pessoa singular ou coletiva responsável pela emissão e revogação dos dados de identificação pessoal e pela garantia de que os dados de identificação pessoal de um utente estão criptograficamente vinculados a uma unidade de carteira;

5)

«Certificado de unidade de carteira», um objeto de dados que descreve os componentes da unidade de carteira ou permite a autenticação e validação desses componentes;

6)

«Instância de carteira», a aplicação instalada e configurada no dispositivo ou ambiente do utente de uma carteira, que faz parte de uma unidade de carteira e que o utente da carteira utiliza para interagir com a unidade de carteira;

7)

«Aplicação criptográfica segura de carteiras», uma aplicação que gere ativos críticos através da ligação e da utilização das funções criptográficas e não criptográficas disponibilizadas pelo dispositivo criptográfico seguro de carteiras;

8)

«Dispositivo criptográfico seguro de carteiras», um dispositivo inviolável que disponibiliza um ambiente ligado à aplicação criptográfica segura de carteiras e que esta utiliza para proteger ativos críticos e assegurar funções criptográficas para a execução segura de operações críticas;

9)

«Fornecedor de carteiras», uma pessoa singular ou coletiva que disponibiliza soluções de carteiras;

10)

«Ativos críticos», ativos dentro de uma unidade de carteira ou relacionados com a mesma, que se revestem de uma importância de tal forma extraordinária que o comprometimento da sua disponibilidade, confidencialidade ou integridade teria um efeito debilitante muito grave na capacidade de recorrer à unidade de carteira;

11)

«Utilizador de carteira», um utilizador que tenciona recorrer a unidades de carteira para a prestação de serviços públicos ou privados por meio de interação digital;

12)

«Certificado de acesso de utilizador de carteira», um certificado de assinaturas ou selos eletrónicos que autenticam e validam o utilizador de carteira, emitido por um fornecedor de certificados de acesso de utilizadores de carteiras;

13)

«Fornecedor de certificados de acesso de utilizadores de carteiras», uma pessoa singular ou coletiva mandatada por um Estado-Membro para emitir certificados de acesso de utilizadores de carteiras a utilizadores de carteiras registados nesse Estado-Membro.