COMISIA EUROPEANĂ
Bruxelles, 3.6.2021
COM(2021) 290 final
RAPORT AL COMISIEI CĂTRE PARLAMENTUL EUROPEAN ȘI CONSILIU
referitor la evaluarea Regulamentului (UE) nr. 910/2014 privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă (e-IDAS)
{SEC(2021) 229 final} - {SWD(2021) 130 final}
1.Introducere
Prezentul raport prezintă rezultatele evaluării Regulamentului (UE) nr. 910/2014 privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă („Regulamentul e-IDAS”). Articolul 49 din regulament prevede obligația Comisiei de a evalua modul de aplicare a regulamentului și de a evalua, în special, dacă este oportun să se modifice domeniul său de aplicare sau dispozițiile sale specifice, ținând seama de experiența dobândită în aplicarea sa, precum și de evoluțiile tehnologice, ale pieței și juridice, iar raportul ar trebui să fie însoțit, după caz, de propuneri legislative.
Documentul de lucru de însoțire al serviciilor Comisiei include o analiză și dovezi mai detaliate care susțin aceste constatări.
1.1.Cadrul e-IDAS
Odată cu adoptarea Regulamentului e-IDAS în 2014, UE a deschis un nou drum, prin introducerea unui prim cadru transfrontalier pentru identitățile digitale de încredere și serviciile de încredere, în prezent recunoscut și respectat la nivel mondial. Scopul Regulamentului e-IDAS este de a permite tuturor cetățenilor UE să aibă acces la serviciile publice din întreaga UE utilizând mijloace de identificare electronică (e-ID) emise în țara lor de origine. Regulamentul urmărește să crească încrederea în tranzacțiile electronice de pe piața internă prin furnizarea unei baze comune pentru realizarea de interacțiuni electronice sigure și neîntrerupte între cetățeni, întreprinderi și autoritățile publice, contribuind astfel la creșterea eficienței serviciilor online din sectorul public și privat, a activităților economice electronice și a comerțului electronic în UE. Regulamentul abrogă Directiva 1999/93/CE privind un cadru comunitar pentru semnăturile electronice care în esență acoperea numai semnăturile electronice.
În conformitate cu temeiul juridic al regulamentului, articolul 114 din TFUE, acesta urmărește să elimine barierele existente în calea funcționării pieței interne, prin promovarea apropierii legislațiilor statelor membre, în special recunoașterea și acceptarea reciproce ale identificării electronice, autentificării, semnăturilor și serviciilor electronice de încredere conexe la nivel transfrontalier, atunci când acestea sunt necesare pentru accesarea și finalizarea procedurilor sau tranzacțiilor electronice.
Înainte de intrarea în vigoare a regulamentului, nu a existat niciun cadru transfrontalier și transsectorial cuprinzător la nivelul UE pentru tranzacții electronice sigure, de încredere și ușor de utilizat, care să includă identificarea electronică, autentificarea electronică și serviciile electronice de încredere. Propunerea Comisiei [COM(2012) 238 final] din 4 iunie 2012, însoțită de evaluarea impactului [SWD(2012) 135 final], a identificat următoarele patru obiective generale:
•asigurarea dezvoltării unei piețe unice digitale;
•promovarea dezvoltării de servicii publice transfrontaliere esențiale;
•stimularea și consolidarea concurenței în cadrul pieței unice;
•îmbunătățirea ușurinței utilizării (pentru cetățeni și întreprinderi).
Cu toate că își îndeplinește multe dintre obiectivele sale și a devenit un element fundamental pentru facilitarea pieței unice într-o serie de sectoare (de exemplu, pentru serviciile financiare și pentru facilitarea accesului la date și a reutilizării acestora în cadrul procedurilor administrative), regulamentul prezintă o serie de limitări: lipsa obligației de a notifica sistemele naționale de identificare electronică, atributele limitate (elemente ale informațiilor cu caracter personal) care pot fi divulgate terților într-un mod demn de încredere, faptul că actul se concentrează asupra sectorului public, precum și absența unor stimulente clare pentru ca părțile private să utilizeze sistemele naționale de identificare electronică. În plus, ecosistemul identității electronice europene înglobează diferite medii naționale de reglementare, diferite niveluri de guvernanță și cultură digitale și diverse grade de încredere în instituțiile publice.
1.2.Contextul
Asigurarea identității digitale trece prin schimbări fundamentale. Entități precum băncile, furnizorii de servicii de comunicații electronice sau societățile de utilități publice, dintre care unele sunt obligate prin lege să colecteze atribute de identitate, își valorifică procedurile pentru a acționa ca furnizori de identitate verificați. Intermediarii de internet, inclusiv principalele platforme de comunicare socială și browserele de internet, acționează precum controlori de facto ai identității digitale și oferă soluții BYOI („utilizează-ți propria identitate”) care le permit utilizatorilor lor să se autentifice pe site-uri web și servicii terțe utilizându-și profilurile lor de utilizator. Această facilitate este în detrimentul controlului asupra datelor cu caracter personal divulgate, iar aceste mijloace de identificare electronică nu sunt conectate la o identitate fizică verificată, ceea ce face mai dificil de atenuat frauda și amenințările cibernetice. Marea majoritate a cetățenilor UE ar dori să aibă acces la o identitate digitală sigură pe care să o poată utiliza pentru a accesa servicii online
. În cele din urmă, cu toate că există multe puncte de vedere diferite cu privire la viitorul identității digitale, trebuie luat în considerare în mod corespunzător rolul esențial al guvernelor naționale în dezvoltarea oricărui ecosistem amplu de identificare electronică.
În prezent, utilizatorii se așteaptă să aibă experiențe online neîntrerupte, aplicații mobile și soluții de autentificare unică care să poată fi utilizate pentru servicii online în sectorul public și cel privat și care să acopere toate situațiile de identificare, de la autentificarea cu pseudonim pe o platformă online până la identificarea securizată pentru servicii de e-sănătate sau servicii bancare electronice. Identificarea online securizată și schimbul de credențiale pe bază de atribute devin tot mai importante pe măsură ce crește numărul de servicii personalizate și sensibile la identitate. Capacitatea de identificare digitală va deveni un factor important al incluziunii sociale, iar furnizarea identității digitale va deveni un bun strategic.
În discursul său privind starea Uniunii din 16 septembrie 2020, președinta Comisiei Europene a anunțat obiectivul ambițios al Comisiei de a asigura identitate digitală sigură și de încredere tuturor cetățenilor UE: „Vrem un set de reguli care să pună oamenii pe primul plan. [...] care să includă controlul asupra datelor noastre cu caracter personal, de care beneficiem încă mult prea rar în acest moment. De fiecare dată când o aplicație sau un site web ne cere să creăm o nouă identitate digitală sau să ne conectăm cu ușurință prin intermediul unei mari platforme, în realitate habar nu avem despre ce se întâmplă cu datele noastre. Din acest motiv, Comisia va propune în curând o identitate electronică europeană sigură. O identitate în care să avem încredere și pe care orice cetățean să o poată folosi peste tot în Europa pentru orice operațiune, de la plata taxelor, până la închirierea unei biciclete. O tehnologie în care să putem controla noi înșine ce date sunt utilizate și cum sunt utilizate acestea.”
Consiliul European a sprijinit obiectivul ambițios al Comisiei, iar în concluziile Consiliului din 1-2 octombrie 2020, a invitat Comisia ca până la jumătatea anului 2021 să prezinte o propunere de inițiativă privind un cadru european al identității digitale:
În concluziile sale, Consiliul European solicită elaborarea unui cadru la nivelul întregii UE pentru identificarea electronică publică securizată (e-ID), inclusiv pentru semnăturile digitale interoperabile, cu scopul de a le oferi oamenilor controlul asupra identității și datelor lor online, precum și de a le permite accesul la servicii digitale publice, private și transfrontaliere. [Consiliul] invită Comisia să prezinte, până la jumătatea anului 2021, o propunere privind o „identificare digitală europeană”.
Identificarea electronică le permite cetățenilor și întreprinderilor să își dovedească identitatea sunt atunci când accesează servicii online. Serviciile de încredere, cum ar fi semnăturile electronice, fac tranzacțiile online mai sigure, mai convenabile și mai eficiente. Regulamentul e-IDAS este singurul cadru transfrontalier pentru identificarea electronică (e-ID) de încredere a persoanelor fizice și juridice, precum și pentru servicii de încredere. e-IDAS permite recunoașterea transfrontalieră a e-ID-urilor de stat pentru accesul la serviciile publice, cu condiția ca e-ID-urile respective să fi fost notificate în temeiul e-IDAS. De asemenea, e-IDAS stabilește o piață a UE pentru servicii de încredere recunoscută la nivel transfrontalier, având același statut juridic ca și procesele tradiționale echivalente pe suport de hârtie.
2.Constatările principale ale evaluării
Principalele constatări ale evaluării, în conformitate cu criteriile de evaluare, pot fi rezumate în următoarele rubrici.
2.1.Eficacitatea
Dispozițiile privind identitatea electronică au dus la crearea rețelei e-IDAS, care urmărește să permită titularilor unui sistem de identificare electronică notificat să acceseze servicii publice online la nivel transfrontalier. La nivelul UE, a fost realizată interoperabilitatea doar a unui număr limitat de sisteme de identificare electronică.
Regulamentul e-IDAS a stabilit cu succes securitatea juridică în ceea ce privește răspunderea, sarcina probei, efectul juridic și aspectele internaționale ale serviciilor de încredere, dar persistă unele probleme. De la introducerea Regulamentului e-IDAS, disponibilitatea și adoptarea serviciilor de încredere în UE au crescut; cu toate acestea, există diferențe între statele membre și între diferitele servicii de încredere.
În pofida unor realizări, regulamentul nu și-a atins potențialul în ceea ce privește eficacitatea. A fost notificat doar un număr limitat de e-ID-uri, limitând acoperirea cetățenilor UE cu un sistem de identificare electronică notificat (59 % din populație). Acceptarea e-ID-urilor notificate este limitată, deoarece nu toate nodurile e-IDAS sunt operaționale, un număr limitat de servicii publice oferă notificarea e-IDAS sau sunt conectate la infrastructură, iar erorile tehnice îi împiedică pe utilizatori să se autentifice în mod eficace.
În ceea ce privește serviciile de încredere, obiectivul regulamentului de a rămâne neutru din punctul de vedere al tehnologiei a dus la o interpretare diversă a cerințelor între statele membre și din cauza neadoptării unor acte de punere în aplicare suplimentare. Nu se poate concluziona că au fost asigurate pe deplin condiții de concurență echitabile la nivelul UE. Cu toate acestea, Regulamentul e-IDAS a instituit un cadru solid care poate fi completat cu standardele și cerințele necesare pentru a reduce fragmentarea actuală a pieței și divergențele de interpretare dintre organismele de supraveghere și organismele de evaluare a conformității și a consolidat cooperarea între organismele de supraveghere.
2.2.Eficiența
Evaluarea de referință indică faptul că, până în prezent, costurile cuantificabile au fost mai mari decât beneficiile. În domeniul identificării electronice, acesta este rezultatul unui grad redus de adoptare a acesteia, beneficiile nematerializându-se în acest caz.
Principalele grupuri de părți interesate pentru care partea privind identificarea electronică din Regulamentul e-IDAS a generat costuri și beneficii sunt autoritățile naționale, operatorii de noduri e-IDAS, furnizorii de e-ID-uri și prestatorii de servicii. În ceea ce privește serviciile de încredere, principalele grupuri de părți interesate, vizate de principalele costuri și beneficii, sunt organismele de acreditare, de evaluare a conformității și de supraveghere, precum și prestatorii de servicii de încredere calificați și necalificați.
În ceea ce privește părțile interesate individuale, o parte considerabilă o reprezintă beneficiile preconizate (actualizate ca beneficii viitoare) și, prin urmare, dificil de cuantificat. Costurile recurente pentru guvernanță în domeniul serviciilor de încredere sunt limitate și sunt legate în principal de asigurarea conformității. În ceea ce privește părțile interesate individuale, o parte considerabilă a beneficiilor este doar ipotetică în acest stadiu (actualizată ca beneficii viitoare) și dificil de cuantificat. Prestatorii de servicii de încredere înregistrează beneficii sub formă de venituri ca urmare a prestării de servicii de încredere în alte țări din UE și a extinderii bazei de piață.
2.3.Relevanța
Ecosistemul identificării electronice s-a schimbat profund de la introducerea Regulamentului e-IDAS, cu o amprentă tot mai mare a furnizorilor privați de identitate. Având în vedere creșterea numărului de tranzacții digitale, toți cetățenii UE ar trebui să aibă acces la o identitate digitală sigură și interoperabilă, ceea ce nu este cazul în prezent. Obiectivele cadrului juridic e-IDAS rămân relevante pentru abordarea problemelor identificate inițial, în special necesitatea de a reduce fragmentarea pieței prin asigurarea interoperabilității transfrontaliere și transsectoriale a serviciilor de încredere, adoptând standarde comune. Domeniul de aplicare actual al Regulamentului e-IDAS, precum și accentul pe care îl pune acesta pe sistemele de identificare electronică notificate de statele membre ale UE și pe facilitarea accesului la serviciile publice online par prea limitate.
Unele obstacole esențiale în calea adoptării de către utilizatori și de către prestatorii de servicii din sectorul privat au împiedicat cadrul de reglementare să își atingă întregul potențial. În pofida introducerii referințelor la soluțiile e-IDAS într-o serie de acte legislative sectoriale ale UE, Regulamentul e-IDAS nu răspunde încă nevoilor unor sectoare specifice (de exemplu, educație, servicii bancare, călătorii, aviație). Unul dintre factorii de limitare ai cadrului actual în ceea ce privește aceste nevoi sectoriale este lipsa unor atribute specifice pe domenii.
Presiunea esențială o reprezintă capacitatea e-IDAS de a ține pasul cu cele mai recente evoluții ale tehnologiei în domeniul serviciilor de încredere. Extinderea listei serviciilor de încredere, în special prin introducerea unui serviciu de încredere pentru eArchiving, a unui serviciu de încredere care să sprijine credențialele portabile de identitate și a unui serviciu de încredere pentru registrele electronice, ar aborda o serie de cazuri de utilizare și ar oferi cetățenilor și întreprinderilor posibilitatea de a-și dovedi în mod digital identitatea sau atributele/caracteristicile, fără a avea nevoie de documente fizice.
2.4.Coerența
Evaluarea arată că partea privind identificarea electronică din regulament este susținută de un sistem în general coerent pentru recunoașterea reciprocă a e-ID-urilor, bazat pe notificare și evaluare inter pares. Cadrul privind serviciile de încredere prevede un sistem coerent de supraveghere a serviciilor de încredere. Cu toate acestea, au fost identificate anumite probleme care au impact asupra coerenței interne a regulamentului.
În cazul e-ID-urilor, sistemul de notificare și de evaluare inter pares prevăzut în cadrul e-IDAS a fost conceput să asigure o interpretare comună a nivelului de asigurare (LoA) oferit de un sistem de identificare electronică, însă evaluarea punerii în practică arată că acest lucru nu este întotdeauna valabil. Cu toate că se încurajează flexibilitatea și neutralitatea tehnologică, încă lipsește o interpretare comună a ceea ce înseamnă un nivel de asigurare (LoA) substanțial și ridicat. Accentul pus pe serviciile publice contrastează cu posibilitatea ca utilizatorul să limiteze datele transmise la minimul necesar pentru autentificare la un serviciu specific, deoarece setul minim de date este întotdeauna transmis pentru a permite identificarea unei persoane. Punerea în aplicare a actualului sistem e-IDAS nu permite utilizatorului să faciliteze punerea în aplicare a principiilor Regulamentului RGPD privind reducerea la minimum a datelor și protejarea implicită a vieții private prin controlul datelor partajate și a persoanelor cu care sunt partajate datele respective.
Normele privind evaluarea prestatorilor de servicii de încredere în raport cu cerințele funcționale din regulament pentru a obține statutul de calificat prezintă unele deficiențe, deoarece rolul organismelor de evaluare a conformității nu este suficient detaliat în ceea ce privește obligațiile, răspunderea sau nivelul lor de competență. Unele dispoziții lasă la latitudinea statelor membre recunoașterea anumitor metode de identificare (cum ar fi verificarea datelor biometrice) la nivel național, ceea ce împiedică condițiile de concurență echitabile în materie de reglementare și creează incertitudini.
2.5.Valoarea adăugată a UE
Regulamentul e-IDAS a creat stimulente pentru ca statele membre să adopte soluții naționale de identificare electronică, dar valoarea adăugată a cadrului privind identificarea electronică a prezentat limitări puternice din cauza gradului redus de acoperire, adoptare și utilizare a acestuia. În ceea ce privește serviciile de încredere, regulamentul a oferit un cadru juridic comun pentru utilizarea acestora, reducând fragmentarea pieței și sporind gradul de adoptare a acestora. Cu ajutorul serviciilor de încredere, administrațiile publice sunt în măsură să modernizeze și să digitalizeze serviciile și să emită probe în format digital, reducând astfel sarcina administrativă.
În ceea ce privește partea privind identificarea electronică, nevoile identificate inițial pentru adoptarea regulamentului rămân în continuare relevante, iar abrogarea regulamentului ar duce la fragmentare și la consecințe negative asupra altor domenii legislative care se bazează pe eIDAS. Unele adaptări ale cadrului de reglementare ar putea spori valoarea adăugată a UE (cum ar fi facilitarea utilizării e-ID-urilor de stat de încredere de către sectorul privat și definirea unui cadru pentru schimbul de atribute și credențiale specifice furnizate de sectorul public și de cel privat). În ceea ce privește serviciile de încredere, persistă unele obstacole rezultate din interpretarea națională și/sau din legislația națională conflictuală, limitând adoptarea serviciilor de încredere.
3.Revizuirea cadrului e-IDAS
Regulamentul e-IDAS este un element fundamental pentru facilitarea pieței unice într-o serie de sectoare [de exemplu, în sectorul bancar, pentru a furniza unele dintre datele de identitate necesare pentru a facilita respectarea normelor de combatere a spălării banilor, Directiva privind serviciile de plată (DSP2) se bazează pe serviciile de încredere e-IDAS, cum ar fi ștampilele electronice (eSeal) și certificatele calificate de autentificare a site-urilor web (QWAC), pentru identificarea autenticității site-urilor web de către prestatorii terți de servicii de plată, e-ID-urile pe bază de e-IDAS reprezintă o cerință pentru schimbul de certificate administrative la nivel transfrontalier și sunt esențiale pentru punerea în aplicare cu succes a principiului înregistrării unice (OOP) începând din 2023
]. Cadrul privind serviciile de încredere este recunoscut la nivel internațional și stă la baza unui proiect de dispoziție, care se preconizează că va deveni o lege model a ONU privind serviciile de încredere în comerțul electronic în 2021, precum și la baza negocierilor actuale privind comerțul electronic purtate în cadrul OMC.
Cu toate acestea, s-au schimbat multe de la adoptarea e-IDAS în 2014. Cadrul se bazează pe sisteme naționale de identificare electronică care respectă diverse standarde și vizează un segment relativ mic al nevoilor de identificare electronică ale cetățenilor și întreprinderilor: accesul transfrontalier sigur la serviciile publice. Serviciile vizate se referă în principal la 3 % din populația UE care locuiește într-un stat membru diferit de cel în care s-a născut.
Din acel moment, digitalizarea tuturor funcțiilor societății a crescut dramatic. Nu în ultimul rând, pandemia de COVID-19 a avut un efect foarte puternic asupra vitezei digitalizării. Prin urmare, serviciile publice și private sunt tot mai mult furnizate în mod digital. Așteptările cetățenilor și ale întreprinderilor sunt de a obține un nivel ridicat de securitate și confort pentru orice activitate online, cum ar fi depunerea declarațiilor fiscale, înscrierea la o universitate din străinătate, deschiderea unui cont bancar sau solicitarea unui împrumut de la distanță, închirierea unui autoturism, înființarea unei întreprinderi într-un alt stat membru, autentificarea pentru plăți pe internet, participarea la o procedură de ofertare online etc.
În consecință, a crescut radical cererea de mijloace de identificare și autentificare online, precum și de schimb digital de informații privind identitatea, atributele sau calificările în condiții de siguranță și cu un nivel ridicat de protecție a datelor
. Acest lucru a declanșat o schimbare de paradigmă, evoluând către soluții avansate și convenabile, care pot integra diferite date și certificate verificabile ale utilizatorului. În prezent, această cerere nu poate fi satisfăcută prin mijloacele de identificare electronică și prin serviciile de încredere reglementate de e-IDAS, având în vedere limitările sale actuale. În ceea ce privește mijloacele de identificare sau autentificare, dezvoltate de sectorul privat în afara cadrului e-IDAS, acestea răspund doar parțial la această provocare. Cu toate că oferă servicii terțe de autentificare ușor de utilizat (de exemplu, utilizarea unui cont Facebook sau Google pentru conectarea la diferite servicii), acestea sunt utilizate în mod obișnuit pentru a accesa servicii online private nereglementate care nu necesită un nivel ridicat de securitate. Acestea nu pot oferi același nivel de securitate juridică, de protecție a datelor și de confidențialitate, în principal pentru că sunt bazate pe autodeclarație și nu pot oferi un link către o e-ID de stat sigură și de încredere.
În februarie 2020, Comisia s-a angajat, în Strategia sa privind conturarea viitorului digital al Europei, să revizuiască Regulamentul e-IDAS cu scopul de a-i îmbunătăți eficacitatea, de a extinde aplicarea sa la sectorul privat și de a promova identitățile digitale de încredere pentru toți cetățenii și toate întreprinderile din UE. Urgența acestei revizuiri a devenit evidentă odată cu izbucnirea pandemiei de COVID-19. Perturbările serviciilor publice și private offline și nevoia bruscă de a accesa și a utiliza tot felul de servicii publice și private online au scos în evidență limitările e-IDAS, la șase ani de la adoptarea sa, în ceea ce privește furnizarea beneficiilor preconizate pentru cetățeni, întreprinderi și guverne. Un Regulament e-IDAS revizuit și consolidat ar fi în măsură să răspundă noilor cerințe ale pieței și ale societății, prin abordarea nevoilor de soluții legate de e-ID-uri de stat de încredere, dar și de atribute și de credențiale furnizate de sectorul public și de cel privat, toate fiind integral gestionate de utilizator și recunoscute la nivelul UE, pentru a avea acces atât la servicii publice, cât și la servicii private. Acesta ar sprijini un număr mare de cadre de reglementare existente sau propuse, consolidând piața unică a UE.
4.Concluzii
În general, Regulamentul e-IDAS a contribuit la dezvoltarea în continuare a pieței unice. Acesta a pus bazele dezvoltării unei piețe a serviciilor de identitate și de încredere în UE, sprijinind nevoia tot mai mare de tranzacții digitale sigure. Cu toate acestea, dintr-o perspectivă orientată spre viitor, care a evoluat din punctul de vedere al obiectivelor și așteptărilor utilizatorilor, Regulamentul e-IDAS trebuie să fie îmbunătățit în ceea ce privește eficacitatea, eficiența, coerența și relevanța, pentru a îndeplini noile obiective de politică, așteptările utilizatorilor și cererea pieței, ținând seama și de evoluțiile recente din domeniul digitalizării.
Ceea ce apare pe piață este un mediu nou în care accentul s-a deplasat de la furnizarea și utilizarea de identități digitale rigide la furnizarea și utilizarea unor atribute specifice legate de aceste identități. Există o cerere tot mai mare de soluții de identitate electronică care pot să furnizeze aceste capacități, oferind beneficii în materie de eficiență și un nivel ridicat de încredere în întreaga UE pentru servicii, atât în sectorul privat, cât și în cel public, bazându-se pe necesitatea de a identifica și a autentifica utilizatorii cu un nivel ridicat de siguranță.
Actualul Regulament e-IDAS nu poate răspunde acestor noi cerințe ale pieței, având în vedere limitările sale inerente axate pe sectorul public, complexitatea conectării la sistem cu care se confruntă furnizorii privați online, disponibilitatea insuficientă a acestuia în toate statele membre și lipsa de flexibilitate pentru a sprijini o varietate de cazuri.