(1)

O Regulamento (UE) n.o 910/2014 cria um regime jurídico para a emissão e validação de certificados eletrónicos de atributos, incluindo a obrigação de os fornecedores de certificados eletrónicos de atributos proporcionarem aos utentes de uma carteira europeia de identidade digital («carteira») a possibilidade de solicitar, obter, armazenar e gerir o certificado eletrónico de atributos, independentemente do Estado-Membro em que as carteiras são fornecidas. Os certificados eletrónicos de atributos são componentes cruciais para a criação de um ecossistema das carteiras europeias de identidade digital («ecossistema das carteiras») seguro e interoperável. Permitem aos utentes partilhar informações com os utilizadores de forma fiável em diversos casos de utilização.

(2)

As interfaces com as carteiras europeias de identidade digital a facultar pelos fornecedores de certificados eletrónicos qualificados de atributos, conforme estabelecido no artigo 45.o-G do Regulamento (UE) n.o 910/2014, sublinham a importância dos certificados eletrónicos de atributos para o ecossistema das carteiras e facilitam a sua rápida adoção.

(3)

A Comissão avalia periodicamente as novas tecnologias, práticas, normas e especificações técnicas. A fim de assegurar o mais elevado nível de harmonização entre os Estados-Membros para o desenvolvimento e a certificação das carteiras, as especificações técnicas estabelecidas no presente regulamento baseiam-se nos trabalhos realizados nos termos da Recomendação (UE) 2021/946 da Comissão, de 3 de junho de 2021, relativa a um conjunto de instrumentos comuns a nível da União para uma abordagem coordenada do quadro europeu para a identidade digital (2) e, em especial, na arquitetura e no regime de referência que dela fazem parte. Em conformidade com o considerando 75 do Regulamento (UE) 2024/1183 do Parlamento Europeu e do Conselho (3), a Comissão deve rever e, se necessário, atualizar o presente regulamento, para assegurar que o mesmo acompanha a evolução mundial e a arquitetura e o regime de referência, bem como para seguir as boas práticas no mercado interno, em especial no que respeita à emissão de certificados eletrónicos de atributos e à verificação de atributos por confronto com fontes autênticas ou através de intermediários designados.

(4)

Sempre que os fornecedores de certificados eletrónicos qualificados de atributos e de certificados eletrónicos de atributos emitidos por um organismo do setor público responsável por uma fonte autêntica ou em seu nome emitirem certificados que declarem cumprir os requisitos dos sistemas de certificação de atributos registados no catálogo, a avaliação da conformidade estabelecida no Regulamento (UE) n.o 910/2014 deve abranger as políticas e os procedimentos para garantir o cumprimento dos requisitos desses sistemas.

(5)

A proteção contra informações não fiáveis reveste-se de grande importância para a digitalização dos certificados. Por conseguinte, os certificados eletrónicos qualificados de atributos e os certificados eletrónicos de atributos emitidos por um organismo do setor público responsável por uma fonte autêntica ou em seu nome devem poder ser revogados, ou devem ser aplicadas medidas alternativas para compensar os riscos relacionados com a não revogabilidade. Em determinadas circunstâncias, nomeadamente em caso de pedido explícito da pessoa a quem o certificado eletrónico de atributos foi emitido, de conhecimento, por parte do fornecedor, de que houve um comprometimento da segurança ou da fiabilidade dos certificados eletrónicos qualificados de atributos, ou quando o direito da União ou nacional o exigir, o fornecedor deverá revogar um certificado eletrónico de atributos. De modo a salvaguardar os direitos fundamentais à privacidade e à proteção de dados do utente, nomeadamente minimizando adequadamente os riscos de associação e de rastreabilidade, os fornecedores de certificados eletrónicos qualificados de atributos e de certificados eletrónicos de atributos emitidos por um organismo do setor público responsável por uma fonte autêntica ou em seu nome devem criar políticas de gestão da revogação que preservem a privacidade.

(6)

A fim de facilitar a cooperação entre os Estados-Membros e a criação de um ecossistema de identidade digital seguro e interoperável, incluindo o reconhecimento e a interoperabilidade transfronteiriços dos certificados eletrónicos qualificados de atributos e dos certificados eletrónicos de atributos fornecidos por um organismo do setor público responsável por uma fonte autêntica ou em seu nome, é necessário definir procedimentos administrativos simplificados de comunicação entre as partes interessadas, nomeadamente a publicação de informações que permitam identificar rapidamente os organismos do setor público competentes. Os Estados-Membros devem notificar os atributos pertinentes à Comissão. Por conseguinte, a fim de assegurar a verificação atempada, eficiente e interoperável destes atributos, as notificações pertinentes à Comissão devem ser feitas, pelo menos, em inglês, uma vez que tal facilita a sua ampla acessibilidade, avaliação e compreensão, ao mesmo tempo que reforça a cooperação entre as partes interessadas. No entanto, a tradução de documentação já existente não deve implicar encargos administrativos ou financeiros excessivos.

(7)

A fim de permitir que os utentes e os prestadores de serviços verifiquem se os certificados eletrónicos de atributos emitidos por um organismo do setor público responsável por uma fonte autêntica ou em seu nome foram efetivamente emitidos por esse organismo do setor público ou em seu nome, os Estados-Membros devem notificar esses organismos do setor público à Comissão. Ao notificarem os organismos do setor público que emitem certificados eletrónicos de atributos em conformidade com o artigo 45.o-F e o anexo VII do Regulamento (UE) n.o 910/2014, os Estados-Membros devem apresentar um relatório de avaliação da conformidade que confirme um nível de fiabilidade e confiança equivalente ao dos prestadores qualificados de serviços de confiança. No entanto, ao contrário dos prestadores qualificados de serviços de confiança que emitem certificados eletrónicos qualificados de atributos, para estes organismos do setor público, cabe aos Estados-Membros assegurar que os prestadores cumprem os requisitos ao longo do tempo. A fim de manter um elevado nível de confiança nos certificados do setor público em toda a União, os Estados-Membros são, por conseguinte, incentivados a partilhar as suas boas práticas sobre a forma como asseguram a fiabilidade e a confiança contínuas através do Grupo de Cooperação Europeia para a Identidade Digital criado nos termos do artigo 46.o-E, n.o 1, do Regulamento (UE) n.o 910/2014 («grupo de cooperação»). A Comissão deve elaborar, manter e publicar uma lista de prestadores e assegurar que essa lista seja facilmente acessível ao público.

(8)

A Comissão deve criar um catálogo de atributos, com a assistência do grupo de cooperação, a fim de facilitar a verificação dos atributos por confronto com fontes autênticas por prestadores qualificados de serviços de confiança que emitem certificados eletrónicos qualificados de atributos. O registo no catálogo de atributos deve ser obrigatório para os atributos enumerados no anexo VI do Regulamento (UE) n.o 910/2014. Para outros atributos, o registo será facultativo.

(9)

A Comissão deve criar um catálogo de sistemas de certificação de atributos, com a assistência do grupo de cooperação, a fim de facilitar a emissão de certificados por prestadores qualificados de serviços de confiança que emitam certificados eletrónicos qualificados de atributos e fornecedores de certificados eletrónicos de atributos emitidos por um organismo do setor público responsável por uma fonte autêntica ou em seu nome, bem como de facilitar a harmonização e a interoperabilidade transfronteiras desses certificados. O registo dos sistemas no catálogo de sistemas deve ser facultativo. Os pedidos de registo ou de alterações do catálogo devem ser feitos pelo proprietário do sistema de certificação de atributos e podem incluir atributos não enumerados no catálogo de atributos. A Comissão deve avaliar esses pedidos tendo em conta as necessidades de interoperabilidade e harmonização.

(10)

A fim de assegurar que o catálogo de atributos fornece informações úteis e atinge um elevado nível de interoperabilidade no ecossistema dos certificados eletrónicos de atributos, este deve fornecer, pelo menos, um conjunto mínimo de informações, como uma descrição semântica do atributo, o espaço de nomes do seu identificador e o tipo de dados do atributo. Para o mesmo efeito, o catálogo de sistemas de certificação de atributos deve conter descrições de tipos comuns de certificados eletrónicos de atributos e uma descrição do modelo de confiança e dos mecanismos de governação aplicados no âmbito do sistema de certificação. As informações contidas nos catálogos devem incluir a versão dos atributos e dos sistemas, de modo que os certificados emitidos de acordo com versões específicas não sejam afetados por alterações desses atributos e sistemas.

(11)

A fim de assegurar a eficácia da verificação dos atributos por confronto com fontes autênticas por prestadores qualificados de serviços de confiança que emitem certificados eletrónicos qualificados de atributos, nomeadamente através de intermediários designados que fornecem mecanismos de verificação indireta aos prestadores de serviços, os Estados-Membros devem criar, no prazo estabelecido no artigo 45.o-E, n.o 1, do Regulamento (UE) n.o 910/2014, mecanismos que permitam aos prestadores qualificados de serviços de confiança que emitem certificados eletrónicos qualificados de atributos solicitar a verificação dos atributos. Os mecanismos devem permitir que os prestadores qualificados de serviços de confiança que emitem certificados eletrónicos qualificados de atributos determinem que atributos podem ser verificados e como os verificar. Estes mecanismos devem incluir pormenores sobre os pontos de acesso e os protocolos de serviço para verificar a validade e a exatidão dos atributos, devendo ser ponderada a possibilidade de oferecer um ponto de verificação único a nível nacional.

(12)

Mais especificamente, os Estados-Membros deverão disponibilizar aos prestadores qualificados de serviços de confiança que emitem certificados eletrónicos qualificados de atributos os mecanismos de acesso e utilização de pontos de verificação para cada um dos atributos enumerados no anexo VI do Regulamento (UE) n.o 910/2014, a nível nacional. Estes mecanismos devem permitir que os prestadores qualificados de serviços de confiança que emitem certificados eletrónicos qualificados de atributos apresentem, a pedido do utente, atributos específicos a um ponto de verificação para a emissão do certificado e durante a sua vida útil. Os mecanismos de verificação devem utilizar meios eletrónicos adequados ao tratamento automatizado e à obtenção de respostas o mais rapidamente possível a partir do ponto de verificação. Esta resposta deve confirmar se os atributos apresentados pelos prestadores qualificados de serviços de confiança que emitem certificados eletrónicos qualificados de atributos correspondem aos atributos armazenados em relação a esse utente na fonte autêntica pertinente e especificar a fonte autêntica com base na qual a verificação foi efetuada. A fim de evitar má conduta, como pedidos de verificação ilegais ou manifestamente excessivos, os Estados-Membros podem impor mecanismos de controlo à utilização dos pontos de verificação, caso o considerem adequado, tendo em conta fatores pertinentes, nomeadamente se as fontes autênticas contêm informações que devam ser consideradas dados pessoais ou que tenham, de outro modo, caráter confidencial ou sensível nos termos do direito da União ou do direito nacional.

(13)

Em conformidade com os princípios estabelecidos no Regulamento Europa Interoperável (4), a fim de facilitar a criação de um catálogo de atributos e de um catálogo de sistemas de certificação de atributos e a reutilização, na medida do possível, de catálogos, sistemas e informações existentes, a Comissão deverá, se for caso disso, explorar sinergias com os serviços comuns do sistema técnico nos termos do Regulamento (UE) 2018/1724 do Parlamento Europeu e do Conselho relativo à criação de uma plataforma digital única e que altera o Regulamento (UE) n.o 1024/2012 (5).

(14)

A fim de reforçar a interoperabilidade dos certificados eletrónicos de atributos emitidos por prestadores não qualificados de serviços de confiança, os princípios e requisitos estabelecidos no presente regulamento podem ser seguidos pelos emitentes de certificados no que diz respeito aos certificados eletrónicos não qualificados de atributos.

(15)

O Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (6) e, se for caso disso, a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho (7) aplicam-se às atividades de tratamento de dados pessoais ao abrigo do presente regulamento.

(16)

Com o objetivo de dar à Comissão e aos Estados-Membros tempo suficiente para estabelecer a lista de fornecedores de certificados eletrónicos de atributos emitidos por um organismo do setor público responsável por uma fonte autêntica ou em seu nome, os requisitos do presente regulamento relativos ao catálogo de atributos, ao catálogo de sistemas de certificação de atributos e aos pontos de verificação de atributos deverão tornar-se aplicáveis 12 meses após a data de entrada em vigor do presente regulamento.

(17)

A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (8) e emitiu parecer em 31 de janeiro de 2025.

(18)

As medidas previstas no presente regulamento estão em conformidade com o parecer do comité instituído pelo artigo 48.o do Regulamento (UE) n.o 910/2014,

1)

Aos certificados eletrónicos qualificados de atributos;

2)

Aos certificados eletrónicos de atributos emitidos por um organismo do setor público responsável por uma fonte autêntica ou em seu nome;

3)

À lista de fornecedores de certificados eletrónicos de atributos emitidos por um organismo do setor público responsável por uma fonte autêntica ou em seu nome;

4)

Ao catálogo de atributos e ao catálogo de sistemas de certificação de atributos referidos nos pontos 1) e 2);

5)

À verificação dos atributos tendo como referência fontes autênticas ou intermediários designados.

1)

«Unidade de carteira», uma configuração única de uma solução de carteira que inclui instâncias de carteiras, aplicações criptográficas seguras de carteiras e dispositivos criptográficos seguros de carteiras disponibilizada pelo fornecedor de uma carteira a um utente individual da carteira;

2)

«Utente da carteira», um utente que controla a unidade de carteira;

3)

«Catálogo de atributos», um repositório digital de atributos que é mantido e publicado em linha pela Comissão;

4)

«Sistema de certificação de atributos», um conjunto de regras aplicáveis a um ou mais tipos de certificados eletrónicos de atributos;

5)

«Tipo de certificado eletrónico de atributos», um grupo de certificados eletrónicos de atributos especificamente designado e descrito de forma semântica;

6)

«Catálogo de sistemas de certificação de atributos», um repositório digital que enumera sistemas de certificação de atributos registados em conformidade com o presente regulamento e que é mantido [e publicado em linha] pela Comissão;

7)

«Solução de carteira», uma combinação de software, hardware, serviços, definições e configurações, incluindo instâncias de carteiras, uma ou várias aplicações criptográficas seguras de carteiras e um ou vários dispositivos criptográficos seguros de carteiras;

8)

«Instância de carteira», a aplicação instalada e configurada no dispositivo ou ambiente do utente de uma carteira, que faz parte de uma unidade de carteira e que o utente da carteira utiliza para interagir com a unidade de carteira;

9)

«Aplicação criptográfica segura de carteiras», uma aplicação que gere ativos críticos através da ligação e da utilização das funções criptográficas e não criptográficas disponibilizadas pelo dispositivo criptográfico seguro de carteiras;

10)

«Dispositivo criptográfico seguro de carteiras», um dispositivo inviolável que disponibiliza um ambiente ligado à aplicação criptográfica segura de carteiras e que esta utiliza para proteger ativos críticos e assegurar funções criptográficas para a execução segura de operações críticas;

11)

«Fornecedor de carteiras», uma pessoa singular ou coletiva que disponibiliza soluções de carteiras;

12)

«Ativos críticos», ativos dentro de uma unidade de carteira ou relacionados com a mesma, que se revestem de uma importância de tal forma extraordinária que o comprometimento da sua disponibilidade, confidencialidade ou integridade teria um efeito debilitante muito grave na capacidade de recorrer à unidade de carteira;

13)

«Proprietário do sistema de certificação de atributos», uma entidade responsável pela criação e manutenção de um sistema de certificação de atributos.