(1)

Európsky rámec digitálnej identity stanovený nariadením (EÚ) č. 910/2014 je kľúčovým prvkom pri vytváraní bezpečného a interoperabilného ekosystému digitálnej identity v celej Únii. Keďže základným kameňom rámca sú európske peňaženky digitálnej identity (ďalej len „peňaženky“), jeho cieľom je uľahčiť fyzickým a právnickým osobám prístup k službám vo všetkých členských štátoch a zároveň zabezpečiť ochranu osobných údajov a súkromia.

(2)

Na všetky činnosti spracúvania osobných údajov podľa tohto nariadenia sa vzťahuje nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 (2) a v relevantných prípadoch smernica Európskeho parlamentu a Rady 2002/58/ES (3).

(3)

V článku 5a ods. 23 nariadenia (EÚ) č. 910/2014 sa Komisia poveruje, aby v prípade potreby stanovila príslušné špecifikácie a postupy. Dosahuje sa to prostredníctvom štyroch vykonávacích nariadení, ktoré sa zaoberajú protokolmi a rozhraniami: vykonávacie nariadenie Komisie (EÚ) 2024/2982 (4), integritou a základnými funkciami: vykonávacie nariadenie Komisie (EÚ) 2024/2979 (5), osobnými identifikačnými údajmi a elektronickým osvedčením atribútov: vykonávacie nariadenie Komisie (EÚ) 2024/2977 (6), ako aj oznámeniami Komisii: vykonávacie nariadenie Komisie (EÚ) 2024/2980 (7). Týmto nariadením sa stanovujú príslušné požiadavky na protokoly a rozhrania.

(4)

Komisia pravidelne posudzuje nové technológie, postupy, normy alebo technické špecifikácie. S cieľom zabezpečiť čo najvyššiu úroveň harmonizácie medzi členskými štátmi pri vývoji a certifikácii peňaženiek sa technické špecifikácie stanovené v tomto nariadení opierajú o prácu vykonanú na základe odporúčania Komisie (EÚ) 2021/946 z 3. júna 2021 o spoločnom súbore nástrojov Únie pre koordinovaný prístup k európskemu rámcu digitálnej identity (8), a najmä o architektúru a referenčný rámec. V súlade s odôvodnením 75 nariadenia Európskeho parlamentu a Rady (EÚ) 2024/1183 (9) by Komisia mala toto vykonávacie nariadenie podľa potreby preskúmať a aktualizovať, aby bolo v súlade s globálnym vývojom, architektúrou a referenčným rámcom a aby sa na vnútornom trhu dodržiavali najlepšie postupy.

(5)

S cieľom zabezpečiť transparentnosť a dôveryhodnosť strán spoliehajúcich sa na peňaženku vo vzťahu k používateľom peňaženky by protokoly a rozhrania používané riešeniami peňaženky mali používateľom peňaženky poskytovať spoľahlivý mechanizmus na autentifikáciu strán spoliehajúcich sa na peňaženku a iných jednotiek peňaženky. A naopak, poskytovatelia peňaženky by mali poskytovať mechanizmus na autentifikáciu a validáciu jednotiek peňaženky, aby spoliehajúce sa strany mohli získať záruky, pokiaľ ide o dôveryhodnosť a pravosť jednotiek peňaženky. Ďalej by mala byť technická infraštruktúra peňaženky tiež navrhnutá tak, aby sa zabezpečilo, že sa bude prenášať iba minimálne nevyhnutné množstvo údajov, a to len oprávneným spoliehajúcim sa stranám, pričom sa zachová neprepojiteľnosť medzi rôznymi transakciami. Aby sa uľahčilo vydávanie osobných identifikačných údajov a elektronických osvedčení atribútov, všetky riešenia peňaženky by mali podporovať minimálny súbor protokolov a rozhraní.

(6)

S cieľom zabezpečiť použiteľnosť riešení peňaženky naprieč členskými štátmi by mali všetky riešenia peňaženky podporovať spoločné technické špecifikácie pri predkladaní osobných identifikačných údajov a elektronických osvedčení atribútov prostredníctvom peňaženiek spoliehajúcim sa stranám, a to v scenároch na diaľku aj v blízkosti. Jednotky peňaženky môžu okrem toho podporovať iné protokoly a rozhrania pre špecifické prípady použitia.

(7)

V záujme zabezpečenia štandardnej ochrany údajov už v štádiu návrhu by mali byť peňaženky vybavené niekoľkými funkciami na zvýšenie ochrany súkromia, aby sa poskytovateľom prostriedkov elektronickej identifikácie a elektronického osvedčenia atribútov zabránilo spájať osobné údaje získané pri poskytovaní iných služieb s osobnými údajmi spracúvanými na poskytovanie služieb, ktoré patria do rozsahu pôsobnosti nariadenia (EÚ) č. 910/2014. Ako je uvedené v nariadení (EÚ) č. 910/2014, spoliehajúce sa strany nemajú od používateľov požadovať poskytnutie žiadnych iných údajov okrem údajov, ktoré sú uvedené na zamýšľané použitie peňaženiek počas procesu registrácie. Používatelia peňaženky by mali mať možnosť kedykoľvek overiť registračné údaje spoliehajúcich sa strán. Jednotky peňaženky by ďalej mali byť schopné zobraziť používateľom ako súčasť žiadosti o atribút registračné certifikáty strany spoliehajúcej sa na peňaženku, ak sú k dispozícii. To by malo používateľom peňaženky umožniť overiť, či patria atribúty, o ktoré žiada strana spoliehajúca sa na peňaženku, do rozsahu ich zaregistrovaných atribútov, čím sa zaručí, že je žiadosť legitímna a dôveryhodná.

(8)

S cieľom chrániť údaje používateľov peňaženky by mali poskytovatelia peňaženky zabezpečiť, aby jednotky peňaženky pred sprístupnením akýchkoľvek údajov validovali žiadosti od strán spoliehajúcich sa na peňaženku alebo iných jednotiek peňaženky. Z rovnakého dôvodu a v súlade s článkom 5a ods. 4 písm. d) bodom ii) nariadenia (EÚ) č. 910/2014 by poskytovatelia peňaženky mali zabezpečiť, aby jednotky peňaženky umožnili používateľom peňaženky podávať stranám spoliehajúcim sa na peňaženky žiadosti o vymazanie údajov.

(9)

S cieľom umožniť rýchle reakcie v prípade akýchkoľvek obáv týkajúcich sa ochrany údajov v súvislosti s článkom 5a ods. 4 písm. d) bodom iii) nariadenia (EÚ) č. 910/2014 by poskytovatelia peňaženky mali zabezpečiť, aby riešenia peňaženky poskytovali mechanizmy na nahlasovanie spoliehajúcej sa strany príslušnému vnútroštátnemu orgánu na ochranu údajov. Poskytovateľom peňaženky a orgánom na ochranu údajov by sa mala ponechať primeraná flexibilita pri vytváraní vhodných mechanizmov na interakciu s orgánmi na ochranu údajov v členských štátoch.

(10)

V súlade s článkom 42 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (10) sa konzultovalo s európskym dozorným úradníkom pre ochranu údajov, ktorý vydal 30. septembra 2024 svoje stanovisko.

(11)

Opatrenia prijaté v tomto nariadení sú v súlade so stanoviskom výboru uvedeného v článku 48 nariadenia (EÚ) č. 910/2014,

1.

vydávanie osobných identifikačných údajov a elektronických osvedčení atribútov jednotkám peňaženky;

2.

predkladanie atribútov osobných identifikačných údajov a elektronických osvedčení atribútov stranám spoliehajúcim sa na peňaženku a iným jednotkám peňaženky;

3.

oznamovanie žiadostí o vymazanie údajov stranám spoliehajúcim sa na peňaženku;

4.

nahlasovanie strán spoliehajúcich sa na peňaženku dozorným orgánom zriadeným podľa článku 51 nariadenia (EÚ) 2016/679,

ktoré sa majú pravidelne aktualizovať, aby boli v súlade s vývojom technológií a noriem a s prácou vykonanou na základe odporúčania (EÚ) 2021/946, a najmä s architektúrou a referenčným rámcom.

1.

„strana spoliehajúca sa na peňaženku“ je spoliehajúca sa strana, ktorá má v úmysle spoliehať sa na jednotky peňaženky pri poskytovaní verejných alebo súkromných služieb prostredníctvom digitálnej interakcie;

2.

„používateľ peňaženky“ je používateľ, ktorý má kontrolu nad jednotkou peňaženky;

3.

„riešenie peňaženky“ je kombinácia softvéru, hardvéru, služieb, nastavení a konfigurácií vrátane inštancií peňaženky, jednej alebo viacerých zabezpečených kryptografických aplikácií peňaženky a jedného alebo viacerých zabezpečených kryptografických zariadení peňaženky;

4.

„jednotka peňaženky“ je jedinečná konfigurácia riešenia peňaženky, ktorá zahŕňa inštancie peňaženky, zabezpečené kryptografické aplikácie peňaženky a zabezpečené kryptografické zariadenia peňaženky, ktoré poskytovateľ peňaženky poskytuje jednotlivým používateľom peňaženky;

5.

„poskytovateľ peňaženky“ je fyzická alebo právnická osoba, ktorá poskytuje riešenia peňaženky;

6.

„inštancia peňaženky“ je aplikácia nainštalovaná a nakonfigurovaná v zariadení alebo prostredí používateľa peňaženky, ktorá je súčasťou jednotky peňaženky a ktorú používateľ peňaženky používa na interakciu s jednotkou peňaženky;

7.

„zabezpečená kryptografická aplikácia peňaženky“ je aplikácia, ktorá spravuje kritické aktíva tak, že je prepojená s kryptografickými a nekryptografickými funkciami poskytovanými zabezpečeným kryptografickým zariadením peňaženky a tieto funkcie využíva;

8.

„zabezpečené kryptografické zariadenie peňaženky“ je zariadenie odolné voči neoprávnenej manipulácii, poskytujúce prostredie, ktoré je prepojené so zabezpečenou kryptografickou aplikáciou peňaženky a ktoré zabezpečená kryptografická aplikácia peňaženky využíva na ochranu kritických aktív a poskytovanie kryptografických funkcií na účely bezpečného vykonávania kritických operácií;

9.

„kritické aktíva“ sú aktíva v rámci jednotky peňaženky alebo v súvislosti s ňou, ktoré majú taký mimoriadny význam, že narušenie ich dostupnosti, dôvernosti alebo integrity by malo veľmi vážny, oslabujúci účinok na schopnosť spoliehať sa na jednotku peňaženky;

10.

„prístupový certifikát strany spoliehajúcej sa na peňaženku“ je certifikát pre elektronické pečate alebo podpisy, ktorým sa autentifikuje a validuje strana spoliehajúca sa na peňaženku a ktorý vydal poskytovateľ prístupových certifikátov strany spoliehajúcej sa na peňaženku;

11.

„poskytovateľ prístupových certifikátov strany spoliehajúcej sa na peňaženku“ je fyzická alebo právnická osoba, ktorú členský štát poveril vydávaním prístupových certifikátov spoliehajúcej sa strany stranám spoliehajúcim sa na peňaženku registrovaným v danom členskom štáte;

12.

„osvedčenie jednotky peňaženky“ je dátový objekt, ktorý opisuje komponenty jednotky peňaženky alebo umožňuje autentifikáciu a validáciu týchto komponentov;

13.

„zahrnuté pravidlá sprístupňovania informácií“ sú súbor pravidiel zakotvených v elektronickom osvedčení atribútov jeho poskytovateľom, v ktorom sa uvádzajú podmienky, ktoré musí strana spoliehajúca sa na peňaženku splniť, aby mala prístup k elektronickému osvedčeniu atribútov;

14.

„registračný certifikát strany spoliehajúcej sa na peňaženku“ je dátový objekt, v ktorom sa uvádzajú atribúty, ktoré spoliehajúca sa strana zaregistrovala na účely ich vyžadovania od používateľov;

15.

„poskytovateľ osobných identifikačných údajov“ je fyzická alebo právnická osoba zodpovedná za vydávanie a zrušenie osobných identifikačných údajov a za zabezpečenie kryptografickej väzby osobných identifikačných údajov používateľa na jednotku peňaženky;

16.

„kryptografická väzba“ je metóda prepojenia osobných identifikačných údajov alebo elektronických osvedčení atribútov s jednotkami peňaženky pomocou kryptografických prostriedkov.

1.

autentifikovali a validovali prístupové certifikáty strán spoliehajúcich sa na peňaženku, ak komunikujú so stranami spoliehajúcimi sa na peňaženku;

2.

autentifikovali a validovali osvedčenia jednotky peňaženky iných jednotiek peňaženky, ak komunikujú s inými jednotkami peňaženky;

3.

v relevantných prípadoch autentifikovali a validovali žiadosti podané s použitím prístupových certifikátov strany spoliehajúcej sa na peňaženku alebo osvedčení jednotky peňaženky od iných jednotiek peňaženky;

4.

v relevantných prípadoch autentifikovali a validovali registračný certifikát strany spoliehajúcej sa na peňaženku;

5.

zobrazovali používateľom peňaženky informácie obsiahnuté v prístupových certifikátoch strany spoliehajúcej sa na peňaženku alebo v osvedčeniach jednotky peňaženky;

6.

prípadne zobrazovali používateľom peňaženky atribúty, ktoré majú používatelia peňaženky predložiť;

7.

v relevantných prípadoch zobrazovali používateľom peňaženky informácie obsiahnuté v registračnom certifikáte strany spoliehajúcej sa na peňaženku;

8.

predkladali osvedčenia jednotky peňaženky stranám spoliehajúcim sa na peňaženku alebo jednotkám peňaženky, ktoré o to požiadajú;

9.

nepredkladali žiaden požadovaný atribút stranám spoliehajúcim sa na peňaženku ani jednotkám peňaženky, kým nie sú splnené tieto požiadavky:

10.

umožňovali techniky ochrany súkromia, ktoré zabezpečia neprepojiteľnosť, ak si elektronické osvedčenia atribútov pri predkladaní osvedčení alebo osobných identifikačných údajov medzi rôznymi stranami spoliehajúcimi sa na peňaženku nevyžadujú identifikáciu používateľa peňaženky.