Regulamentul 2979/28-nov-2024 de stabilire a normelor de aplicare a Regulamentului (UE) nr. 910/2014 al Parlamentului European şi al Consiliului în ceea ce priveşte integritatea şi funcţionalităţile de bază ale portofelelor europene pentru identitatea digitală

Acte UE

Jurnalul Oficial seria L

În vigoare

Versiune de la: 4 Decembrie 2024

Dată act: 28-nov-2024

Emitent: Comisia Europeana

(1)Cadrul pentru identitatea digitală europeană instituit prin Regulamentul (UE) nr. 910/2014 este o un element-cheie în cadrul demersului de instituire a unui ecosistem pentru identitatea digitală securizat şi interoperabil în întreaga Uniune. Portofelele europene pentru identitatea digitală (denumite în continuare "portofelele") alcătuiesc temelia acestui cadru care are drept scop facilitarea accesului la servicii în toate statele membre, atât pentru persoanele fizice, cât şi pentru cele juridice, asigurând în acelaşi timp protecţia datelor cu caracter personal şi a confidenţialităţii.

(2)Regulamentul (UE) 2016/679 al Parlamentului European şi al Consiliului (²) şi, după caz, Directiva 2002/58/CE a Parlamentului European şi a Consiliului (³) se aplică tuturor activităţilor de prelucrare a datelor cu caracter personal efectuate în temeiul prezentului regulament.

(3)Articolul 5a alineatul (23) din Regulamentul (UE) nr. 910/2014 împuterniceşte Comisia să stabilească, dacă este necesar, specificaţiile şi procedurile relevante. Pentru aceasta sunt prevăzute patru regulamente de punere în aplicare: unul privind protocoalele şi interfeţele: Regulamentul de punere în aplicare (UE) 2024/2982 al Comisiei (⁴), unul privind integritatea şi funcţionalităţile de bază: Regulamentul de punere în aplicare (UE) 2024/2979 al Comisiei (⁵), unul privind datele de identificare personală şi atestatul electronic al atributelor: Regulamentul de punere în aplicare (UE) 2024/2977 al Comisiei (⁶) şi unul privind notificările efectuate către Comisie: Regulamentul de punere în aplicare (UE) 2024/2980 al Comisiei (⁷). Prezentul regulament stabileşte cerinţele relevante privind integritatea şi funcţionalităţile de bază ale portofelelor europene pentru identitatea digitală.

(4)Comisia evaluează periodic noile tehnologii, practici, standarde sau specificaţii tehnice. Pentru a asigura cel mai înalt nivel de armonizare între statele membre în ceea ce priveşte dezvoltarea şi certificarea portofelelor, specificaţiile tehnice prevăzute în prezentul regulament se întemeiază pe activitatea desfăşurată pe baza Recomandării (UE) 2021/946 a Comisiei din 3 iunie 2021 privind un set de instrumente comun al Uniunii pentru o abordare coordonată în direcţia unui cadru european al identităţii digitale (⁸), în special, arhitectura şi cadrul de referinţă. În conformitate cu considerentul 75 din Regulamentul (UE) 2024/1183 al Parlamentului European şi al Consiliului (⁹), Comisia ar trebui să revizuiască şi să actualizeze prezentul regulament de punere în aplicare, dacă este necesar, pentru a îl menţine aliniat la evoluţiile mondiale şi la arhitectura şi cadrul de referinţă, precum şi pentru a respecta cele mai bune practici de pe piaţa internă.

(5)Pentru a asigura o comunicare precisă, o diferenţiere tehnică şi o repartizare clară a responsabilităţilor, este necesar să se facă distincţia între diferitele componente şi configuraţii ale portofelelor. Prin "soluţie pentru portofel" ar trebui să se înţeleagă sistemul complet, pus la dispoziţie de un furnizor de portofel, care este necesar pentru operarea unui portofel. Soluţia pentru portofel ar trebui să includă componentele software şi hardware, precum şi serviciile, setările şi configuraţiile necesare pentru a asigura funcţionarea corespunzătoare a portofelului. O soluţie pentru portofel se poate afla pe dispozitivele şi mediile utilizatorilor şi pe structura back-end a furnizorului. O unitate de portofel ar trebui înţeleasă ca o configuraţie specifică a soluţiei pentru portofel pentru un utilizator individual. Aceasta ar trebui să includă aplicaţia instalată pe dispozitivul sau mediul utilizatorului portofelului cu care acesta interacţionează direct ("instanţa portofelului") şi caracteristicile de securitate necesare pentru protejarea datelor şi a tranzacţiilor utilizatorilor. Aceste caracteristici de securitate ar trebui să implice utilizarea de software sau hardware special pentru criptarea şi protejarea informaţiilor sensibile. O instanţă a portofelului ar trebui să facă parte din unitatea de portofel şi să îi permită utilizatorului portofelului să aibă acces la funcţionalităţile portofelului său.

(6)Aplicaţiile criptografice securizate pentru portofel, în calitatea lor de componente specializate separate din cadrul unei unităţi de portofel, sunt necesare nu numai pentru protejarea activelor critice, cum ar fi cheile private criptografice, ci şi pentru furnizarea unor funcţionalităţi esenţiale, cum ar fi prezentarea atestatelor electronice ale atributelor. Utilizarea specificaţiilor tehnice comune poate facilita accesul furnizorilor de portofele la elementele de securitate integrate. Aplicaţiile criptografice securizate pentru portofel pot fi furnizate în diferite moduri şi către diferite tipuri de dispozitive criptografice securizate pentru portofel. În cazul în care aplicaţiile criptografice securizate pentru portofel personalizate sub furnizate de furnizorii de portofele sub formă de appleturi Java Card pentru elementele de securitate integrate, furnizorii de portofele ar trebui să respecte standardele enumerate în anexa I sau specificaţii tehnice echivalente.

(8)Pentru a asigura protecţia datelor începând cu momentul conceperii şi în mod implicit, portofelele ar trebui să dispună de tehnici de îmbunătăţire a confidenţialităţii de ultimă generaţie. Aceste caracteristici ar trebui să ofere posibilitatea utilizării portofelelor fără ca utilizatorul portofelului să poată fi urmărit între mai mulţi beneficiari ai portofelelor, dacă acest lucru este aplicabil în scenariul de utilizare. De exemplu, furnizorii de portofele ar trebui să aibă în vedere, cu privire la atestatele unităţii de portofel, măsuri de ultimă generaţie de atenuare a riscurilor la adresa confidenţialităţii, de exemplu să utilizeze atestate ale unităţii de portofel efemere sau atestate emise în loturi. În plus, politicile de divulgare încorporate ar trebui să îi avertizeze pe utilizatorii portofelelor cu privire la pericolul divulgării necorespunzătoare sau ilegale a atributelor din atestatele electronice ale atributelor.

(9)Atestatele unităţilor de portofel ar trebui să le permită beneficiarilor portofelelor care solicită atribute de la unităţile de portofel să verifice statutul de valabilitate al unităţii de portofel cu care comunică, întrucât atestatele unităţilor de portofel trebuie revocate atunci când o unitate de portofel nu mai este considerată valabilă. Informaţiile privind statutul de valabilitate al unităţilor de portofel ar trebui să fie puse la dispoziţie într-o manieră interoperabilă, astfel încât să se asigure faptul că acestea pot fi utilizate de toţi beneficiarii portofelelor. În plus, în cazurile în care utilizatorii portofelelor şi-au pierdut unităţile de portofel sau nu mai deţin controlul asupra acestora, furnizorii de portofele ar trebui să le permită utilizatorilor portofelelor să solicite revocarea unităţii lor de portofel. Pentru a asigura confidenţialitatea şi imposibilitatea stabilirii unei legături, statele membre ar trebui să utilizeze tehnici de menţinere a confidenţialităţii inclusiv pentru atestatele unităţilor de portofel. Acest lucru poate presupune utilizarea mai multor atestate ale unităţilor de portofel în diferite scopuri, divulgarea numai a informaţiilor despre portofel minim relevante necesare pentru derularea unei tranzacţii sau limitarea duratei de viaţă a atestatelor unităţilor de portofel ca alternativă la utilizarea identificatorilor de revocare.

(10)Pentru a se asigura faptul că toate portofelele sunt capabile din punct de vedere tehnic să primească şi să prezinte date de identificare personală şi atestate electronice ale atributelor în situaţii transfrontaliere, fără ca acest lucru să afecteze interoperabilitatea, portofelele ar trebui să suporte tipuri prestabilite de formate de date şi o divulgare selectivă. Astfel cum se prevede în Regulamentul (UE) nr. 910/2014, divulgarea selectivă este un concept care îi permite proprietarului datelor să divulge numai anumite părţi ale unui set de date mai mare, astfel încât entitatea destinatară să obţină numai acele informaţii care sunt necesare pentru furnizarea unui serviciu solicitat de utilizatorul în cauză. Întrucât portofelele trebuie să îi permită utilizatorului să divulge în mod selectiv atribute, standardele enumerate în anexa II ar trebui să fie puse în aplicare într-un mod care să facă posibilă această caracteristică a portofelelor. În plus, portofelele pot suporta şi alte formate şi funcţionalităţi, astfel încât să se faciliteze cazurile specifice de utilizare.

(11)Jurnalizarea tranzacţiilor este un instrument important pentru asigurarea transparenţei, oferind utilizatorilor portofelelor o imagine de ansamblu asupra tranzacţiilor. În plus, jurnalele de tranzacţii ar trebui utilizate pentru a permite schimbul rapid şi uşor al anumitor informaţii, la cererea utilizatorului portofelului, cu autorităţile de supraveghere competente instituite în temeiul articolului 51 din Regulamentul (UE) 2016/679, în cazul unui comportament suspect al beneficiarilor portofelului.

(12)Pentru ca un utilizator al portofelului să poată utiliza o semnătură electronică, acestuia ar trebui să i se emită un certificat calificat, legat de un dispozitiv calificat de creare a semnăturii electronice. Utilizatorul portofelului ar trebui să aibă acces la o aplicaţie de creare a semnăturii. Deşi emiterea de certificate calificate este un serviciu furnizat de prestatorii de servicii de încredere calificaţi, furnizorii de portofele sau alte entităţi ar trebui să fie în măsură să furnizeze celelalte componente. De exemplu, dispozitivele calificate de creare a semnăturii electronice pot fi gestionate de prestatorii de servicii de încredere calificaţi sub formă de serviciu sau pot fi localizate pe dispozitivul utilizatorului portofelului, de exemplu, sub forma unui card inteligent. În mod similar, aplicaţiile de creare a semnăturii pot fi integrate în instanţa portofelului, pot fi o aplicaţie separată pe dispozitivul utilizatorului portofelului sau pot fi furnizate de la distanţă.

(13)Obiectele de export de date şi de portabilitate a datelor pot jurnaliza datele de identificare personală şi atestatele electronice ale atributelor care au fost emise unei anumite unităţi de portofel. Aceste obiecte le permit utilizatorilor portofelelor să extragă datele relevante din unitatea lor de portofel pentru a-şi consolida dreptul la portabilitatea datelor. Furnizorii de portofele sunt încurajaţi să utilizeze aceleaşi soluţii tehnice şi pentru a efectua procese de backup şi de recuperare pentru unităţile de portofel, făcând astfel posibilă recuperarea unităţilor de portofel pierdute sau transferul informaţiilor de la un furnizor de portofel la altul, după caz şi în măsura în care acest lucru poate fi realizat fără a aduce atingere dreptului la protecţia datelor şi securităţii ecosistemului pentru identitatea digitală.

(14)Generarea de pseudonime specifice unui anumit beneficiar al portofelului ar trebui să le permită utilizatorilor portofelelor să se autentifice fără să furnizeze beneficiarilor portofelelor informaţii de care aceştia nu au nevoie. Astfel cum se prevede în Regulamentul (UE) nr. 910/2014, utilizatorii portofelelor nu trebuie să fie împiedicaţi să acceseze servicii sub un pseudonim, în cazul în care nu există nicio cerinţă legală privind identitatea juridică pentru autentificare. Prin urmare, portofelele trebuie să includă o funcţionalitate care să permită generarea de pseudonime alese şi gestionate de utilizatori, pentru ca aceştia să se poată autentifica atunci când accesează servicii online. Specificaţiile prevăzute în anexa V ar trebui puse în aplicare astfel încât să facă posibile aceste funcţionalităţi în mod corespunzător. În plus, beneficiarii portofelelor nu trebuie să solicite utilizatorilor să furnizeze alte date decât cele care corespund utilizării preconizate a portofelelor, indicate în registrul beneficiarilor. Utilizatorii portofelelor ar trebui să poată verifica în orice moment datele de înregistrare ale beneficiarilor.

(16)Autoritatea Europeană pentru Protecţia Datelor a fost consultată în conformitate cu articolul 42 alineatul (1) din Regulamentul (UE) 2018/1725 al Parlamentului European şi al Consiliului (¹⁰) şi a emis un aviz la 30 septembrie 2024.

CAPITOLUL I:DISPOZIŢII GENERALE

Art. 2: Definiţii

CAPITOLUL II:INTEGRITATEA PORTOFELELOR EUROPENE PENTRU IDENTITATEA DIGITALĂ

Art. 3: Integritatea unităţii de portofel

Art. 4: Instanţe ale portofelului

(3)În cazul în care activele critice sunt legate de efectuarea identificării electronice la un nivel de asigurare ridicat, operaţiunile criptografice pentru portofel sau alte operaţiuni de prelucrare a activelor critice se efectuează în conformitate cu cerinţele privind caracteristicile şi proiectarea mijloacelor de identificare electronică la un nivel de asigurare ridicat, astfel cum se prevede în Regulamentul de punere în aplicare (UE) 2015/1502 al Comisiei (¹¹).

(¹¹)Regulamentul de punere în aplicare (UE) 2015/1502 al Comisiei din 8 septembrie 2015 de stabilire a unor specificaţii şi proceduri tehnice minime pentru nivelurile de asigurare a încrederii ale mijloacelor de identificare electronică în temeiul articolului 8 alineatul (3) din Regulamentul (UE) nr. 910/2014 al Parlamentului European şi al Consiliului privind identificarea electronică şi serviciile de încredere pentru tranzacţiile electronice pe piaţa internă (JO L 235, 9.9.2015, p. 7, ELI: http://data.europa.eu/eli/dir/2015/1502/oj).

Art. 5: Aplicaţii criptografice securizate pentru portofel

(1)Furnizorii de portofele se asigură că aplicaţiile criptografice securizate pentru portofel:

Art. 6: Autenticitatea şi valabilitatea unităţii de portofel

(3)Furnizorii de portofele:

Art. 7: Revocarea atestatelor unităţilor de portofel

CAPITOLUL III:FUNCŢIONALITĂŢILE DE BAZĂ ŞI CARACTERISTICILE PORTOFELELOR EUROPENE PENTRU IDENTITATEA DIGITALĂ

Art. 9: Jurnalele de tranzacţii

(2)Informaţiile jurnalizate trebuie să conţină cel puţin:

Art. 10: Divulgare încorporată

Art. 11: Semnături şi sigilii electronice calificate

Art. 12: Aplicaţii de creare a semnăturii

Art. 13: Exportul şi portabilitatea datelor

În cazul în care acest lucru este fezabil din punct de vedere tehnic şi cu excepţia cazului activelor critice, unităţile de portofel permit exportul şi portabilitatea securizate ale datelor cu caracter personal ale utilizatorilor portofelelor, pentru a le permite utilizatorilor portofelelor să migreze către unitatea de portofel a unei alte soluţii pentru portofel într-un mod care să asigure un nivel de asigurare ridicat, astfel cum se prevede în Regulamentul de punere în aplicare (UE) 2015/1502.

Art. 14: Pseudonime

ANEXA I:LISTA STANDARDELOR MENŢIONATE LA ARTICOLUL 5

ANEXA III:LISTA POLITICILOR COMUNE DE DIVULGARE ÎNCORPORATE MENŢIONATE LA ARTICOLUL 10

ANEXA IV:FORMATE DE SEMNĂTURI ŞI SIGILII MENŢIONATE LA ARTICOLUL 12

2.Lista formatelor opţionale de semnătură sau sigiliu:

(d)ASiC (container de semnătură asociată - Associated Signature Container), astfel cum se indică în standardul "ETSI EN 319 162-1 V1.1.1 (2016-04) Semnături electronice şi infrastructuri (ESI); Containere de semnături asociate (ASiC); Partea 1: Elemente de construcţie şi containere de bază ASiC" şi în standardul "ETSI EN 319 162-2 V1.1.1 (2016-04) Semnături electronice şi infrastructuri (ESI); Containere de semnături asociate (ASiC); Partea 2: Containere ASiC suplimentare" pentru semnarea containerelor.