EVROPSKA KOMISIJA
Bruselj, 3.6.2021
COM(2021) 290 final
POROČILO KOMISIJE EVROPSKEMU PARLAMENTU IN SVETU
o oceni Uredbe (EU) št. 910/2014 o elektronski identifikaciji in storitvah zaupanja za elektronske transakcije na notranjem trgu (eIDAS)
{SEC(2021) 229 final} - {SWD(2021) 130 final}
1.Uvod
V tem poročilu so predstavljeni rezultati ocenjevanja Uredbe (EU) št. 910/2014 o elektronski identifikaciji in storitvah zaupanja za elektronske transakcije na notranjem trgu (v nadaljnjem besedilu: uredba eIDAS) 1 . V skladu s členom 49 Uredbe mora Komisija pregledati uporabo te uredbe in oceniti zlasti, ali bi bilo ustrezno spremeniti njeno področje uporabe ali njene posebne določbe, pri tem pa upoštevati izkušnje, pridobljene pri njeni uporabi, pa tudi tehnološke, tržne in pravne spremembe 2 ; poročilu bi bilo treba po potrebi priložiti zakonodajne predloge.
Priloženi delovni dokument služb Komisije vsebuje podrobnejše dokaze in analizo, ki podpirajo te ugotovitve.
1.1.Okvir eIDAS
EU je z uredbo eIDAS, ki je bila sprejeta leta 2014, uvedla prvi čezmejni okvir za zaupanja vredne digitalne identitete in storitve zaupanja, ki je zdaj priznan in se upošteva po celem svetu. Cilj uredbe eIDAS je bil vsem državljanom EU omogočiti dostop do javnih storitev po vsej EU z uporabo sredstev elektronske identifikacije, izdanih v njihovi matični državi. Z Uredbo naj bi se okrepilo zaupanje v elektronske transakcije na notranjem trgu z zagotovitvijo skupnega temelja za varno in nemoteno elektronsko interakcijo med državljani, podjetji in javnimi organi, s čimer bi se povečala učinkovitost javnih in zasebnih spletnih storitev, elektronskega poslovanja ter elektronskega trgovanja v EU. Z njo je bila razveljavljena Direktiva 1999/93/ES o okviru Skupnosti za elektronski podpis, ki je v bistvu zajemala zgolj elektronske podpise.
V skladu s pravno podlago Uredbe, tj. členom 114 PDEU, je bil namen Uredbe odpraviti obstoječe ovire za delovanje notranjega trga s spodbujanjem približevanja zakonodaje držav članic, zlasti čezmejnega vzajemnega priznavanja in sprejemanja elektronske identifikacije, avtentikacije, podpisov in povezanih storitev zaupanja, kadar je to potrebno za dostop in izvedbo elektronskih postopkov ali transakcij.
Pred začetkom veljavnosti Uredbe za varne in zaupanja vredne elektronske transakcije, ki bi bile enostavne za uporabo, ni bilo celovitega čezmejnega in medsektorskega ovira EU, ki bi zajemal elektronsko identifikacijo, avtentikacijo in storitve zaupanja. V predlogu Komisije (COM(2012) 238 final) z dne 4. junija 2012, ki mu je bila priložena ocena učinka (SWD(2012) 135 final), so bili opredeljeni naslednji štirje splošni cilji:
•zagotoviti razvoj digitalnega enotnega trga;
•spodbujati razvoj ključnih čezmejnih javnih storitev;
•spodbujati in okrepiti konkurenco na enotnem trgu;
•izboljšati prijaznost do uporabnikov (državljanov in podjetij).
Kljub temu, da so bili doseženi številni cilji Uredbe, ki je postala temeljni element za podporo enotnemu trgu v več sektorjih (npr. za finančne storitve ter omogočanje dostopa do podatkov in njihove ponovne uporabe v upravnih postopkih), ima Uredba več omejitev: neobstoj obveznosti priglasitve nacionalnih shem elektronske identifikacije, omejeno število atributov (elementov osebnih informacij), ki se lahko zanesljivo razkrijejo tretjim osebam, poudarek akta na javnem sektorju in neobstoj jasnih spodbud za zasebne osebe za uporabo nacionalnih sredstev elektronske identifikacije. Poleg tega ekosistem evropske elektronske identitete zajema različna nacionalna regulativna okolja, ravni elektronskega upravljanja, kulture in različne ravni zaupanja v javne institucije.
1.2.Ozadje
Zagotavljanje digitalne identitete se temeljito spreminja. Subjekti, kot so banke, ponudniki elektronskih komunikacijskih storitev ali komunalna podjetja, od katerih morajo nekatera po zakonu zbirati atribute identitete, svoje postopke izkoriščajo za to, da delujejo kot ponudniki preverjene identitete. Internetni posredniki, vključno z velikimi platformami družbenih medijev in spletnimi brskalniki 3 , delujejo kot de facto vratarji za digitalne identitete in zagotavljajo rešitve BYOI (bring your own identity – prinesi svojo identiteto), ki njihovim uporabnikom omogočajo avtentikacijo na spletnih mestih in pri storitvah tretjih oseb z uporabo svojih uporabniških profilov. To je sicer priročno, vendar pomeni izgubo nadzora nad razkritimi osebnimi podatki, ta sredstva elektronske identifikacije pa niso povezana s preverjeno fizično identiteto, zaradi česar je težje zmanjšati tveganja goljufij in kibernetske grožnje. Velika večina državljanov EU si želi dostop do varne digitalne identitete, s katero bi lahko dostopali do spletnih storitev 4 . Nazadnje, kljub najrazličnejšim mnenjem o prihodnosti digitalne identitete je treba ustrezno upoštevati ključno vlogo nacionalnih vlad pri razvoju vsakega daljnosežnega ekosistema digitalne identitete.
Dandanes uporabniki pričakujejo brezhibne spletne izkušnje, mobilne aplikacije in rešitve za enotno prijavo, ki jih lahko uporabljajo za spletne storitve v javnem in zasebnem sektorju ter ki zajemajo vse primere uporabe za identifikacijo, od psevdonimne prijave v spletno platformo do varne identifikacije za e-zdravje ali e-bančništvo. S povečevanjem števila storitev, občutljivih glede identitete, in prilagojenih storitev postajata varna spletna identifikacija in izmenjava poverilnic na podlagi atributov čedalje pomembnejša. Sposobnost digitalne identifikacije bo postala pomemben dejavnik socialnega vključevanja, zagotavljanje digitalne identitete pa strateško sredstvo.
Predsednica Evropske komisije je 16. septembra 2020 v svojem govoru o stanju v Uniji navedla, da je cilj Komisije vsem državljanom EU zagotoviti varno in zaupanja vredno digitalno identiteto: „Hočemo sklop pravil, ki bodo osredotočena na ljudi. [...] Ta bo vključevala nadzor nad našimi osebnimi podatki, ki je še vedno preohlapen. Kadar aplikacija ali spletišče od nas zahteva, da ustvarimo novo digitalno identiteto ali se enostavno prijavimo prek velike platforme, nimamo nadzora nad tem, kaj se v resnici zgodi z našimi podatki. Zato bo Komisija kmalu predlagala varno evropsko e-identiteto. Tej identiteti bomo lahko zaupali, vsak državljan pa jo bo lahko kjer koli po Evropi uporabil za vse od plačevanja davkov do najema kolesa. To bo tehnologija, v okviru katere bomo lahko sami nadzirali, kateri podatki se bodo uporabljali in na kakšen način.“
Evropski svet je podprl cilj Komisije in jo v sklepih Sveta z dne 1. in 2 oktobra 2020 pozval, naj do sredine leta 2021 pripravi predlog pobude za evropsko digitalno identiteto:
„Evropski svet poziva k razvoju okvira za varne javne elektronske identifikacije (eID) na ravni EU, vključno z interoperabilnimi digitalnimi podpisi, da bi ljudje imeli nadzor nad svojo spletno identiteto in podatki ter da se omogoči dostop do javnih, zasebnih in čezmejnih digitalnih storitev. Komisijo poziva, naj do sredine leta 2021 pripravi predlog pobude za ‚evropsko digitalno identifikacijo‘.“
Z elektronsko identifikacijo lahko državljani in podjetja dokažejo svojo istovetnost, ko dostopajo do spletnih storitev. Storitve zaupanja, kot so elektronski podpisi, zagotavljajo večjo varnost, priročnost in učinkovitost spletnih transakcij. Uredba eIDAS je edini čezmejni okvir za zaupanja vredno elektronsko identifikacijo fizičnih in pravnih oseb ter storitve zaupanja. Omogoča čezmejno priznavanje vladnih shem elektronske identifikacije za dostop do javnih storitev, če je bila shema elektronske identifikacije priglašena v skladu z uredbo eIDAS. Poleg tega vzpostavlja trg EU za storitve zaupanja in določa njihovo čezmejno priznavanje z enakim pravnim statusom, kot ga imajo enakovredni tradicionalni postopki, ki temeljijo na papirnih dokumentih.
2.Glavne ugotovitve ocene
Glavne ugotovitve ocene na podlagi meril za oceno je mogoče povzeti v okviru naslednjih poglavij.
2.1.Uspešnost
Na podlagi določb o elektronski identiteti je bilo vzpostavljeno omrežje eIDAS, ki naj bi imetnikom priglašenih shem elektronske identifikacije omogočalo čezmejni dostop do spletnih javnih storitev. Na ravni EU je bila dosežena interoperabilnost zgolj omejenega števila shem elektronske identifikacije 5 .
Uredba eIDAS uspešno zagotavlja pravno varnost v zvezi z odgovornostjo, dokaznim bremenom, pravnim učinkom in mednarodnimi vidiki storitev zaupanja, vendar nekatera vprašanja še niso rešena. Razpoložljivost in uporaba storitev zaupanja v EU sta se od uvedbe uredbe eIDAS povečali, vendar obstajajo razlike med državami članicami in posameznimi storitvami zaupanja.
Uredba kljub nekaterim dosežkom ni izpolnila svojega potenciala v smislu uspešnosti. Priglašeno je bilo zgolj omejeno število shem elektronske identifikacije, zaradi česar je omejena pokritost državljanov EU s priglašeno shemo elektronske identifikacije (59 % prebivalstva). Sprejemanje priglašenih shem elektronske identifikacije je omejeno, saj vsa vozlišča eIDAS ne delujejo, omejeno pa je tudi število javnih storitev, ki ponujajo priglasitev na podlagi eIDAS ali so povezane z infrastrukturo, poleg tega pa tehnične napake uporabnikom preprečujejo uspešno avtentikacijo.
Ker je cilj Uredbe, da ostane tehnološko nevtralna, dodatni izvedbeni akti pa se ne sprejemajo, se na strani storitev zaupanja v državah članicah pojavljajo najrazličnejše razlage zahtev. Ni mogoče skleniti, da so na ravni EU v celoti zagotovljeni enaki konkurenčni pogoji. Ne glede na to je uredba eIDAS vzpostavila zanesljiv okvir, ki ga je mogoče dopolniti s potrebnimi standardi in zahtevami, da se zmanjšajo sedanja razdrobljenost trga in razlike v razlagah nadzornih organov in organov za ugotavljanje skladnosti ter okrepi sodelovanje med nadzornimi organi.
2.2.Učinkovitost
Izhodiščna ocena kaže, da so količinsko opredeljivi stroški do zdaj močno presegali koristi. Na področju elektronske identifikacije je to posledica majhne uporabe, zaradi katere se koristi niso uresničile.
Ključne skupine deležnikov, ki so imele zaradi dela uredbe eIDAS v zvezi z elektronsko identifikacijo stroške in koristi, so nacionalni organi, operaterji vozlišč eIDAS, ponudniki elektronske identifikacije in ponudniki storitev. Za storitve zaupanja so bile ključne skupine deležnikov, ki so imele največje stroške in koristi, akreditacijski organi, organi za ugotavljanje skladnosti in nadzorni organi ter ponudniki kvalificiranih in nekvalificiranih storitev zaupanja.
Za posamezne deležnike precejšnji delež koristi obsegajo pričakovane koristi (diskontirane kot prihodnje koristi), ki jih je praktično nemogoče količinsko opredeliti. Ponavljajoči se stroški za upravljanje na področju storitev zaupanja so omejeni in povezani predvsem z zagotavljanjem skladnosti. Za posamezne deležnike je velik delež koristi v tej fazi zgolj hipotetičnih (diskontiranih kot prihodnje koristi), zato jih je praktično nemogoče količinsko opredeliti. Ponudniki storitev zaupanja beležijo koristi v obliki prihodkov od zagotavljanja storitev zaupanja v drugih državah EU in razširitve trga.
2.3.Ustreznost
Ekosistem elektronske identitete se je od uvedbe uredbe eIDAS temeljito spremenil, pri čemer imajo čedalje večji vpliv zasebni ponudniki identitete. Glede na povečanje števila digitalnih transakcij bi morali imeti vsi državljani EU dostop do varne in interoperabilne digitalne identitete, vendar ga zdaj nimajo. Cilji pravnega okvira eIDAS so še naprej ustrezni za obravnavanje prvotno opredeljenih vprašanj, zlasti potrebe po zmanjšanju razdrobljenosti trga z zagotovitvijo čezmejne in medsektorske interoperabilnosti storitev zaupanja na podlagi sprejetja skupnih standardov. Zdi se, da sta sedanje področje uporabe uredbe eIDAS ter njen poudarek na shemah elektronske identifikacije, ki so jih priglasile države članice EU, in omogočanju dostopa do spletnih javnih storitev preveč omejena.
Nekatere ključne ovire za uporabo med uporabniki in zasebnimi ponudniki storitev so preprečile, da bi regulativni okvir v celoti izpolnil svoj potencial. Kljub uvedbi sklicev na rešitve eIDAS v več sektorskih zakonodajnih aktov EU se uredba eIDAS še ni odzvala na potrebe posameznih sektorjev (npr. izobraževanja, bančništva, potovanja, letalstva). Eden od omejevalnih dejavnikov sedanjega okvira v zvezi s temi sektorskimi potrebami je pomanjkanje posebnih atributov po področjih.
Ključno trenje izvira iz zmožnosti nadaljnje usklajenosti eIDAS z najnovejšim tehnološkim razvojem na področju storitev zaupanja. Z razširitvijo seznama storitev zaupanja, predvsem z uvedbo storitve zaupanja za e-arhiviranje, storitve zaupanja v podporo poverilnicam za prenosno identiteto in storitve zaupanja za elektronske evidence, bi se obravnavali številni primeri uporabe, državljanom in podjetjem pa zagotovila možnost, da digitalno dokažejo svojo istovetnost ali svoje atribute/značilnosti brez potrebe po fizičnih dokumentih.
2.4.Skladnost
Ocena kaže, da je del Uredbe, ki se nanaša na elektronsko identifikacijo, podprt s sistemom za vzajemno priznavanje shem elektronske identifikacije na podlagi priglasitve in medsebojnega strokovnega pregleda, ki je na splošno skladen. Okvir storitev zaupanja zagotavlja skladen nadzorni sistem za te storitve. Ugotovljene pa so bile nekatere težave, ki vplivajo na notranjo skladnost uredbe.
S sistemom priglasitve in medsebojnega strokovnega pregleda, ki ga določa okvir eIDAS, naj bi se za sheme elektronske identifikacije zagotovilo skupno razumevanje ravni zanesljivosti sheme elektronske identifikacije, vendar ocena praktičnega izvajanja kaže, da to ne velja vselej. Kljub spodbujanju prožnosti in tehnološke nevtralnosti skupnega razumevanja tega, kar naj bi bili srednja in visoka raven zanesljivosti, še ni. Poudarek na javnih storitvah je v nasprotju z možnostjo uporabnika, da omeji podatke, ki se prenesejo, na najmanjšo raven, potrebno za avtentikacijo za posamezno storitev, saj se minimalni nabor podatkov vselej prenese, da se omogoči identifikacija osebe. Pri izvajanju sedanjega sistema eIDAS uporabnik ne more olajšati izvajanja načel najmanjšega obsega podatkov in privzete zasebnosti iz splošne uredbe o varstvu podatkov z nadzorom nad tem, kateri podatki se izmenjujejo in s kom.
Pravila o oceni ponudnikov storitev zaupanja glede na funkcionalne zahteve Uredbe za pridobitev kvalificiranega statusa kažejo, da obstajajo nekatere pomanjkljivosti, saj vloga organov za ugotavljanje skladnosti v zvezi z njihovimi obveznostmi, odgovornostjo in ravnjo pristojnosti ni dovolj podrobno opredeljena. V skladu z nekaterimi določbami se države članice same odločijo, ali bodo priznale nekatere načine identifikacije (kot je biometrično preverjanje) na nacionalni ravni, to pa ovira enake regulativne konkurenčne pogoje in ustvarja negotovost.
2.5.Dodana vrednost EU
Uredba eIDAS zagotavlja spodbude za države članice za uvajanje nacionalnih rešitev za elektronsko identifikacijo, v zvezi z dodano vrednostjo okvira elektronske identifikacije pa so bile ugotovljene znatne omejitve zaradi njegove majhne pokritosti in uporabe. Uredba zagotavlja tudi skupni pravni okvir za uporabo storitev zaupanja, s čimer se zmanjša razdrobljenost trga in poveča njihova uporaba. Javne uprave lahko z uporabo storitev zaupanja posodobijo in digitalizirajo storitve ter digitalno izdajo dokaze, s čimer se zmanjša upravno breme.
Kar zadeva del o elektronski identifikaciji, so prvotno opredeljene potrebe po sprejetju Uredbe še vedno ustrezne, razveljavitev Uredbe pa bi povzročila razdrobljenost in imela negativne posledice za druga zakonodajna področja, ki so odvisna od eIDAS. Dodana vrednost regulativnega okvira bi se lahko povečala z nekaterimi prilagoditvami (kot sta olajšanje uporabe zaupanja vrednih vladnih shem elektronske identifikacije v zasebnem sektorju ter opredelitev okvira za izmenjavo posebnih atributov in poverilnic, ki jih zagotovita javni in zasebni sektor). V zvezi s storitvami zaupanja še vedno obstajajo nekatere ovire, ki so se pojavile zaradi nacionalnih razlag in/ali nasprotujočega si nacionalnega prava ter ovirajo uporabo storitev zaupanja.
3.Revizija okvira eIDAS
Uredba eIDAS je temeljni element za podporo enotnemu trgu v več sektorjih (npr. v bančnem sektorju za zagotovitev nekaterih podatkov o identiteti, ki so potrebni za olajšanje skladnosti s pravili o preprečevanju pranja denarja 6 , direktiva o plačilnih storitvah (PSD2) 7 temelji na storitvah zaupanja v okviru eIDAS, kot so elektronski žigi in kvalificirana potrdila za avtentikacijo spletnih mest (Qualified Website Authentication Certificate – QWAC), za ugotavljanje pristnosti spletnih mest tretjih ponudnikov plačilnih storitev, elektronske identifikacije na podlagi eIDAS pa so potrebne za čezmejno izmenjavo upravnih potrdil ter ključne za uspešno izvajanje in delovanje načela „samo enkrat“ od leta 2023 8 ). Okvir storitev zaupanja je mednarodno priznan ter pomeni osnovo za osnutek določb 9 , ki bodo leta 2021 predvidoma postale vzorčni zakon ZN o storitvah zaupanja v elektronskem trgovanju, in za tekoča pogajanja o elektronskem trgovanju v STO 10 .
Vendar se je od njenega sprejetja leta 2014 veliko spremenilo. Okvir temelji na nacionalnih sistemih elektronske identifikacije, ki uporabljajo različne standarde, in je osredotočen na razmeroma majhen segment potreb državljanov in podjetij po elektronski identifikaciji, tj. čezmejni dostop do javnih storitev. Ciljne storitve se nanašajo predvsem na 3 % prebivalstva EU 11 s prebivališčem v državi članici, ki ni država članica rojstva.
Od takrat se je digitalizacija vseh funkcij družbe močno povečala. Med drugim je pandemija COVID-19 močno vplivala na hitrost digitalizacije. Zaradi tega izvajanje javnih in zasebnih storitev postaja čedalje bolj digitalno. Državljani in podjetja pričakujejo visoko raven varnosti in priročnosti pri vsaki spletni dejavnosti, kot so predložitev davčne napovedi, vpis na tujo univerzo, odpiranje bančnega računa ali predložitev vloge za posojilo na daljavo, najem avtomobila, ustanovitev podjetja v drugi državi članici, avtentikacija za spletna plačila, oddaja ponudbe v okviru spletnega razpisa za zbiranje ponudb itd.
Zato se je močno povečalo povpraševanje po sredstvih za spletno identifikacijo in avtentikacijo ter varno digitalno izmenjavo podatkov v zvezi z identiteto, atributi ali kvalifikacijami z visoko ravnjo varstva podatkov 12 . To je spodbudilo prehod proti naprednim in priročnim rešitvam, ki lahko vključujejo različne preverljive podatke in potrdila uporabnika. Sredstva elektronske identifikacije in storitve zaupanja, kot jih ureja uredba eIDAS, zaradi njenih sedanjih omejitev zdaj ne morejo izpolniti tega povpraševanja. Sredstva za identifikacijo ali avtentikacijo, razvita v zasebnem sektorju zunaj okvira eIDAS, le deloma rešujejo ta izziv. Čeprav ponujajo uporabniku prijazne storitve avtentikacije tretje osebe (npr. uporaba računa na Facebooku ali Googlu za prijavo v različne storitve), se pogosto uporabljajo za dostop do nereguliranih zasebnih spletnih storitev, ki ne zahtevajo visoke ravni varnosti. Ne morejo zagotoviti enake ravni pravne varnosti, varstva podatkov in zasebnosti, predvsem zato, ker so samostojno opredeljena ter ne morejo ponuditi povezave na zaupanja vredno in varno vladno elektronsko identifikacijo.
Komisija se je februarja 2020 v svoji strategiji za oblikovanje digitalne prihodnosti Evrope 13 zavezala, da bo revidirala uredbo eIDAS za izboljšanje njene učinkovitosti, razširitev njene uporabe na zasebni sektor ter spodbujanje zaupanja vrednih digitalnih identitet za vse državljane in podjetja EU. Pandemija COVID-19 je jasno pokazala, kako nujna je ta revizija. Motnje v nespletnih javnih in zasebnih storitvah ter nenadna potreba po dostopu do vseh vrst spletnih javnih in zasebnih storitev ter njihovi uporabi so šest let po sprejetju uredbe eIDAS razkrile njene omejitve pri zagotavljanju pričakovanih koristi državljanom, podjetjem in vladam. Revidirana in okrepljena uredba eIDAS bi lahko izpolnila nove zahteve trga in družbe z izpolnitvijo potreb po rešitvah, povezanih z zaupanja vrednimi vladnimi shemami elektronske identifikacije, pa tudi po atributih in poverilnicah, ki jih zagotovita javni in zasebni sektor ter ki jih v celoti upravlja uporabnik in so priznane po vsej EU za dostop do javnih in zasebnih storitev. To bi podprlo številne obstoječe ali predlagane regulativne okvire za okrepitev enotnega trga EU.
4.Zaključki
Uredba eIDAS na splošno prispeva k dodatnemu razvoju enotnega trga. Zagotavlja temelje za razvoj trga za storitve v zvezi z identiteto in storitve zaupanja v EU, pri čemer izpolnjuje čedalje večjo potrebo po varnih digitalnih transakcijah. Za prihodnost, v kateri bodo cilji in pričakovanja uporabnikov drugačni, pa je treba uredbo eIDAS izboljšati z vidika njene uspešnosti, učinkovitosti, skladnosti in ustreznosti, da se izpolnijo novi cilji politike, pričakovanja uporabnikov in potrebe trga, tudi ob upoštevanju nedavnega razvoja na področju digitalizacije.
Na trgu nastaja novo okolje, v katerem se je poudarek pomaknil od zagotavljanja in uporabe togih digitalnih identitet do zagotavljanja posebnih atributov, povezanih s temi identitetami, in zanašanja nanje. Povečalo se je povpraševanje po rešitvah elektronske identitete, ki lahko zagotovijo te zmogljivosti ter večjo učinkovitost in visoko raven zaupanja po vsej EU za storitve v zasebnem in javnem sektorju, ki so odvisne od identifikacije in avtentikacije uporabnikov z visoko ravnjo zanesljivosti.
Sedanja uredba eIDAS zaradi svoje omejitve na javni sektor, zapletenega povezovanja spletnih zasebnih ponudnikov s sistemom, nezadostne razpoložljivosti v vseh državah članicah ter premajhne prožnosti za podporo različnim primerom ne more izpolniti teh novih potreb trga.