(1)

O Regime Europeu para a Identidade Digital, instituído pelo Regulamento (UE) n.o 910/2014, é uma componente crucial da criação de um ecossistema de identidade digital seguro e interoperável em toda a União. Tendo como pedra angular as carteiras europeias de identidade digital («carteiras»), o regime visa facilitar o acesso das pessoas singulares e coletivas aos serviços em todos os Estados-Membros, assegurando simultaneamente a proteção dos dados pessoais e da privacidade.

(2)

O Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (2) e, se for caso disso, a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho (3) aplicam-se a todas as atividades de tratamento de dados pessoais ao abrigo do presente regulamento.

(3)

O artigo 5.o-A, n.o 23, do Regulamento (UE) n.o 910/2014 incumbe a Comissão, se necessário, de estabelecer as especificações e os procedimentos pertinentes. Tal é alcançado através de quatro regulamentos de execução, que abordam os protocolos e as interfaces [Regulamento de Execução (UE) 2024/2982 da Comissão (4)], a integridade e as funcionalidades essenciais [Regulamento de Execução (UE) 2024/2979 da Comissão (5)], os dados de identificação pessoal e os certificados eletrónicos de atributos [Regulamento de Execução (UE) 2024/2977 da Comissão (6)], bem como as notificações à Comissão [Regulamento de Execução (UE) 2024/2980 da Comissão (7)]. O presente regulamento estabelece os requisitos aplicáveis à integridade e às funcionalidades essenciais das carteiras europeias de identidade digital.

(4)

A Comissão avalia periodicamente as novas tecnologias, práticas, normas ou especificações técnicas. A fim de assegurar o mais elevado nível de harmonização entre os Estados-Membros para o desenvolvimento e a certificação das carteiras, as especificações técnicas estabelecidas no presente regulamento baseiam-se nos trabalhos realizados com base na Recomendação (UE) 2021/946 da Comissão, de 3 de junho de 2021, relativa a um conjunto de instrumentos comuns a nível da União para uma abordagem coordenada do quadro europeu para a identidade digital (8) e, em especial, na arquitetura e no quadro de referência. Em conformidade com o considerando 75 do Regulamento (UE) 2024/1183 do Parlamento Europeu e do Conselho (9), a Comissão deve rever e atualizar o presente regulamento de execução, se necessário, a fim de assegurar que o mesmo acompanha a evolução mundial, a arquitetura e o regime de referência e de seguir as boas práticas no mercado interno.

(5)

A fim de assegurar uma comunicação precisa, uma diferenciação técnica e uma clara atribuição de responsabilidades, é necessário estabelecer a distinção entre diferentes componentes e configurações de carteiras. Deve entender-se por solução de carteira o sistema completo fornecido por um fornecedor de carteiras que é necessário para explorar uma carteira. Tal deve incluir os componentes de software e hardware, bem como os serviços, as definições e as configurações necessários para assegurar o bom funcionamento da mesma. Uma solução de carteira pode estar localizada nos dispositivos e ambientes dos utentes e na estrutura de retaguarda (backend) do fornecedor. Deve entender-se por unidade de carteira uma configuração específica da solução de carteira para um utente individual. Deve incluir a aplicação instalada no dispositivo ou ambiente de um utente da carteira com a qual este interage diretamente (a «instância de carteira») e as características de segurança necessárias para proteger os dados e as transações dos utentes. Estas características de segurança devem envolver software ou hardware especiais para cifrar e salvaguardar informações sensíveis. A instância de carteira deve fazer parte da unidade da carteira e permitir que o utente da carteira aceda às funcionalidades da mesma.

(6)

São necessárias aplicações criptográficas seguras de carteiras, como componentes especiais separados dentro de uma unidade de carteira, não só para a proteção de ativos críticos, como chaves criptográficas privadas, mas também para a disponibilização de funcionalidades cruciais, como a apresentação de certificados eletrónicos de atributos. A utilização de especificações técnicas comuns pode facilitar o acesso dos fornecedores de carteiras digitais a elementos seguros incorporados. As aplicações criptográficas seguras de carteiras podem ser disponibilizadas de várias formas e para vários tipos de dispositivos criptográficos seguros de carteiras. Caso os fornecedores de carteiras disponibilizem aplicações criptográficas seguras de carteiras personalizadas sob a forma de applets Java Card para elementos seguros incorporados, devem seguir as normas enumeradas no anexo I ou especificações técnicas equivalentes.

(7)

As unidades de carteira devem permitir que os fornecedores de dados de identificação pessoal ou de certificados eletrónicos de atributos verifiquem se estão a emitir esses dados ou certificados para unidades de carteira autênticas do utente da carteira.

(8)

A fim de assegurar a proteção de dados desde a conceção e por defeito, as carteiras devem ser dotadas das técnicas avançadas de reforço da privacidade que estiverem disponíveis. Estas características devem prever a possibilidade de as carteiras poderem ser utilizadas sem que o utente da carteira possa ser rastreado entre diferentes utilizadores de carteiras, se aplicável no cenário de utilização. Por exemplo, os fornecedores de carteiras devem ponderar a adoção de medidas avançadas de proteção da privacidade em relação aos certificados de unidades de carteira, como a utilização de certificados de unidades de carteira efémeros ou a emissão por lotes. Além disso, as políticas de divulgação incorporadas devem alertar os utentes da carteira contra a divulgação inadequada ou ilegal de atributos dos certificados eletrónicos de atributos.

(9)

Os certificados de unidades de carteira devem permitir aos utilizadores de carteiras que solicitem atributos às unidades de carteira verificar o estado de validade da unidade de carteira com que estão a comunicar, pois os certificados de unidades de carteira devem ser revogados quando uma unidade de carteira deixar de ser considerada válida. As informações relativas ao estado de validade das unidades de carteira devem ser disponibilizadas de forma interoperável, a fim de garantir que possam ser utilizadas por todos os utilizadores de carteiras. Além disso, nos casos em que os utentes das carteiras percam as suas unidades de carteira ou deixem de ter controlo sobre as mesmas, os fornecedores de carteiras devem permitir que solicitem a revogação das respetivas unidades de carteira. A fim de garantir a privacidade e a ausência de associação, os Estados-Membros devem também utilizar técnicas de preservação da privacidade para o certificado da unidade de carteira. Tal pode incluir a utilização de múltiplos certificados de unidade de carteira para diferentes fins, divulgando apenas as informações estritamente necessárias sobre a carteira para permitir uma transação, ou a limitação da vida útil do certificado de unidade de carteira como alternativa à utilização de identificadores de revogação.

(10)

A fim de assegurar que todas as carteiras são tecnicamente capazes de receber e apresentar dados de identificação pessoal e certificados eletrónicos de atributos em cenários transfronteiriços sem prejudicar a interoperabilidade, as carteiras devem suportar tipos predeterminados de formatos de dados e a divulgação seletiva. Conforme estabelecido no Regulamento (UE) n.o 910/2014, a divulgação seletiva é um conceito que habilita o proprietário dos dados a divulgar apenas determinadas partes de um conjunto de dados mais vasto, a fim de que a entidade recetora obtenha apenas as informações necessárias à prestação de um serviço solicitado pelo utente. Uma vez que as carteiras devem permitir ao utente divulgar atributos seletivamente, as normas enumeradas no anexo II devem ser aplicadas de forma a permitir esta característica. Além disso, as carteiras podem suportar outros formatos e funcionalidades, de modo a facilitar casos de utilização específicos.

(11)

O registo das transações é um instrumento importante para proporcionar transparência sobre como proporcionar uma panorâmica das transações ao utente da carteira. Além disso, os registos devem ser utilizados para permitir a partilha rápida e fácil de determinadas informações, a pedido do utente da carteira, com as autoridades de controlo competentes criadas nos termos do artigo 51.o do Regulamento (UE) 2016/679, em caso de comportamento suspeito dos utilizadores de carteiras.

(12)

Para que o utente de uma carteira possa assinar eletronicamente, deve ser-lhe emitido um certificado qualificado, vinculado a um dispositivo qualificado de criação de assinaturas eletrónicas. O utente da carteira deve ter acesso a uma aplicação de criação de assinaturas. Embora a emissão de certificados qualificados seja um serviço de prestadores qualificados de serviços de confiança, os fornecedores de carteiras ou outras entidades devem poder disponibilizar os outros componentes. Por exemplo, os dispositivos qualificados de criação de assinaturas eletrónicas podem ser geridos por prestadores qualificados de serviços de confiança enquanto serviço ou podem estar localizados no dispositivo do utente da carteira, nomeadamente como um cartão inteligente. Do mesmo modo, as aplicações de criação de assinaturas podem ser integradas na instância de carteira, ser uma aplicação separada no dispositivo do utente da carteira ou ser disponibilizadas à distância.

(13)

Os objetos de portabilidade e exportação de dados podem registar os dados de identificação pessoal e os certificados eletrónicos de atributos que foram emitidos para uma determinada unidade de carteira. Estes objetos permitem aos utentes das carteiras extrair os dados pertinentes da sua unidade de carteira, a fim de reforçar o seu direito à portabilidade dos dados. Incentivam-se os fornecedores de carteiras a utilizar as mesmas soluções técnicas para implementar igualmente processos de salvaguarda e recuperação destinados a unidades de carteira, permitindo recuperar unidades de carteira perdidas ou transferir informações de um fornecedor de carteiras para outro, se for caso disso e na medida em que tal possa ser feito sem prejudicar o direito à proteção de dados e a segurança do ecossistema da identidade digital.

(14)

A geração de pseudónimos específicos dos utilizadores de carteiras deve permitir aos utentes das carteiras autenticarem-se sem facultar informações desnecessárias aos utilizadores de carteiras. Tal como estabelecido no Regulamento (UE) n.o 910/2014, os utentes das carteiras não devem ser impedidos de recorrer a serviços sob pseudónimo, sempre que não exista qualquer requisito jurídico de recorrer à identidade jurídica para fins de autenticação. Por conseguinte, as carteiras devem incluir uma funcionalidade para gerar pseudónimos escolhidos e geridos pelos utentes, que possibilite a sua autenticação quando acedem a serviços em linha. A aplicação das especificações estabelecidas no anexo V deve permitir estas funcionalidades em conformidade. Além disso, os utilizadores de carteiras não devem solicitar aos utentes que facultem quaisquer dados para além dos indicados no registo dos utilizadores para a utilização prevista das carteiras. Os utentes das carteiras devem poder verificar os dados de registo dos utilizadores a qualquer momento.

(15)

Conforme estabelecido no Regulamento (UE) 2024/1183, os Estados-Membros não devem restringir, direta ou indiretamente, o acesso a serviços públicos ou privados a pessoas singulares ou coletivas que optem por não utilizar carteiras e devem disponibilizar soluções alternativas adequadas.

(16)

A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (10) e emitiu o seu parecer em 30 de setembro de 2024.

(17)

As medidas previstas no presente regulamento estão em conformidade com o parecer do Comité referido no artigo 48.o do Regulamento (UE) n.o 910/2014,