(EU) 2024/2977Prováděcí nařízení Komise (EU) 2024/2977 ze dne 28. listopadu 2024, kterým se stanoví prováděcí pravidla k nařízení Evropského parlamentu a Rady (EU) č. 910/2014, pokud jde o osobní identifikační údaje a elektronická potvrzení atributů vydávané k evropským peněženkám digitální identity

(1)

Evropský rámec digitální identity zřízený nařízením (EU) č. 910/2014 je klíčovým prvkem při vytváření bezpečného a interoperabilního ekosystému digitální identity v celé Unii. Základem rámce jsou evropské peněženky digitální identity (dále jen „peněženky“), jejichž cílem je usnadnit přístup ke službám v členských státech a zároveň zajistit ochranu osobních údajů a soukromí.

(2)

Na všechny činnosti zpracování osobních údajů podle tohoto nařízení se vztahuje nařízení Evropského parlamentu a Rady (EU) 2016/679 (2) a v příslušných případech směrnice Evropského parlamentu a Rady 2002/58/ES (3).

(3)

Ustanovení čl. 5a odst. 23 nařízení (EU) č. 910/2014 pověřuje Komisi, aby v případě potřeby stanovila příslušné specifikace a postupy. Toho je dosaženo prostřednictvím čtyř prováděcích nařízení, která se zabývají protokoly a rozhraními: prováděcí nařízení Komise (EU) 2024/2982 (4), integritou a základními funkcemi: prováděcí nařízení Komise (EU) 2024/2979 (5), osobními identifikačními údaji a elektronickým potvrzením atributů: prováděcí nařízení Komise (EU) 2024/2977 (6), jakož i oznámeními Komisi: prováděcí nařízení Komise (EU) 2024/2980 (7). Toto nařízení stanoví příslušné požadavky na osobní identifikační údaje a elektronická potvrzení atributů, které mají být vydávány k evropským peněženkám digitální identity.

(4)

Komise pravidelně posuzuje nové technologie, postupy, normy nebo technické specifikace. V zájmu zajištění co nejvyšší úrovně harmonizace mezi členskými státy při vývoji a certifikaci peněženek se technické specifikace stanovené v tomto prováděcím nařízení opírají o práci provedenou na základě doporučení Komise (EU) 2021/946 ze dne 3. června 2021 o společném souboru nástrojů Unie pro koordinovaný přístup k evropskému rámci pro digitální identitu (8), a zejména o architekturu a referenční rámec, který je jeho součástí. V souladu se 75. bodem odůvodnění nařízení Evropského parlamentu a Rady (EU) 2024/1183 (9) by Komise měla toto prováděcí nařízení přezkoumávat a v případě potřeby aktualizovat, aby bylo v souladu s globálním vývojem, architekturou a referenčním rámcem a aby byly dodržovány osvědčené postupy na vnitřním trhu.

(5)

Aby byla zajištěna záměrná a standardní ochrana údajů, měly by být peněženky vybaveny několika funkcemi pro zvýšení ochrany soukromí s cílem zabránit poskytovatelům prostředků pro elektronickou identifikaci a elektronického potvrzování atributů kombinovat osobní údaje získané při poskytování jiných služeb s osobními údaji zpracovávanými za účelem poskytování služeb, které spadají do oblasti působnosti nařízení (EU) č. 910/2014.

(6)

Aby byla zajištěna harmonizace, měly by být ve všech peněženkách k dispozici určité společné funkce, včetně možnosti bezpečně požadovat, získávat, vybírat, kombinovat, ukládat, mazat, sdílet a předkládat osobní identifikační údaje a elektronická potvrzení atributů pod výhradní kontrolou uživatele peněženky. S cílem zajistit, že osobní identifikační údaje a elektronická potvrzení atributů budou moci být zpracovávány prostřednictvím každé jednotky peněženky, je třeba, aby všechna řešení peněženek podporovala technické specifikace týkající se atributů osobních identifikačních údajů, formátu údajů a infrastruktury potřebné k zajištění odpovídající důvěryhodnosti osobních identifikačních údajů. Cílem společných specifikací týkajících se atributů identifikačních údajů osob je dále zajistit, aby tyto údaje mohly být podle potřeby použity pro párování totožnosti.

(7)

Členské státy zajistí, aby peněženky byly schopny autentizovat spoléhající se strany, poskytovatele osobních identifikačních údajů a poskytovatele elektronických potvrzení atributů bez ohledu na to, kde jsou v Unii usazeni. Za tímto účelem by tyto subjekty měly při své identifikaci vůči jednotkám peněženky používat přístupové certifikáty strany spoléhající se na peněženku. Aby byla zaručena interoperabilita těchto certifikátů u všech peněženek poskytovaných v rámci Unie, měly by přístupové certifikáty stran spoléhajících se na peněženku splňovat společné normy. Komise by měla ve spolupráci s členskými státy pečlivě sledovat vývoj nových nebo alternativních norem, na nichž by mohly být založeny přístupové certifikáty strany spoléhající se na peněženku. Posuzovat by se měly zejména modely důvěry, které v členských státech prokázaly svou účinnost a bezpečnost.

(8)

Aby byla zajištěna transparentnost vůči uživatelům peněženek, měly by členské státy zveřejňovat informace o tom, která řešení peněženek jsou poskytovateli osobních identifikačních údajů usazenými na jejich území podporována. Vzhledem k tomu, že totožnost uživatele musí být co nejspolehlivější, prokázání totožnosti uživatelů peněženky před vydáním osobních identifikačních údajů by mělo podléhat společné vysoké úrovni záruky v souladu s vysokou úrovní záruky, jak je stanoveno pro prostředky pro elektronickou identifikaci v nařízení (EU) č. 910/2014. Tímto způsobem zajišťují jednotky peněženky nejvyšší dostupný stupeň důvěryhodnosti prostředků pro identifikaci v celé Unii. Při přihlášení uživatelů peněženky na vysoké úrovni záruky jsou možné různé bezpečné postupy, například pokud bylo ověřeno, že uživatel peněženky vlastní důkaz totožnosti opatřený fotografií nebo biometrickými údaji, který byly uznán, ale nevydán členským státem, v němž se žádost o prostředek pro elektronickou identifikaci podává, a že důkaz označuje deklarovanou totožnost, měl by být důkaz zkontrolován, aby se zjistilo, zda je podle příslušného spolehlivého zdroje platný.

(9)

V zájmu podpory interoperability by elektronická potvrzení atributů měla splňovat harmonizované požadavky na formát.

(10)

Za účelem ochrany údajů uživatelů peněženek a zajištění pravosti elektronických potvrzení atributů by se před vydáním potvrzení jednotlivým peněženkám měly použít mechanismy pro autentizaci poskytovatelů elektronických potvrzení atributů a ověření pravosti a platnosti jednotek peněženky tímto poskytovatelem.

(11)

S cílem zabránit používání osobních identifikačních údajů a elektronických potvrzení atributů, které po svém vydání k jednotce peněženky ztratily právní platnost, a spoléhání se na ně, měli by poskytovatelé osobních identifikačních údajů a elektronických potvrzení atributů zveřejnit pokyny popisující okolnosti a postupy týkající se zneplatnění.

(12)

Aby bylo zajištěno, že osobní identifikační údaje jedinečným způsobem reprezentují uživatele peněženky, měly by členské státy kromě povinných atributů v osobních identifikačních údajích stanovených v tomto nařízení poskytnout nepovinné atributy potřebné k zajištění jedinečnosti souboru osobních identifikačních údajů.

(13)

V souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (10) byl konzultován evropský inspektor ochrany údajů, který vydal své stanovisko dne 30. září 2024.

(14)

Opatření stanovená tímto nařízením jsou v souladu se stanoviskem výboru uvedeného v článku 48 nařízení (EU) č. 910/2014,

1)

„uživatelem peněženky“ uživatel, který má jednotku peněženky pod kontrolou;

2)

„jednotkou peněženky“ jedinečná konfigurace řešení peněženky, která zahrnuje instance peněženky, bezpečné kryptografické aplikace peněženky a bezpečné kryptografické prostředky peněženky, které poskytovatel peněženky poskytuje jednotlivému uživateli peněženky;

3)

„řešením peněženky“ kombinace softwaru, hardwaru, služeb, nastavení a konfigurací, včetně instancí peněženky, jedné nebo více bezpečných kryptografických aplikací peněženky a jednoho nebo více bezpečných kryptografických prostředků peněženky;

4)

„poskytovatelem osobních identifikačních údajů“ fyzická nebo právnická osoba odpovědná za vydávání a zneplatnění osobních identifikačních údajů a za zajištění kryptografického provázání osobních identifikačních údajů uživatele s jednotkou peněženky;

5)

„potvrzením jednotky peněženky“ datový objekt, který popisuje komponenty jednotky peněženky nebo umožňuje autentizaci a ověření platnosti těchto komponentů;

6)

„instancí peněženky“ aplikace nainstalovaná a nakonfigurovaná v zařízení nebo prostředí uživatele peněženky, která je součástí jednotky peněženky a kterou uživatel peněženky používá k interakci s jednotkou peněženky;

7)

„bezpečnou kryptografickou aplikací peněženky“ aplikace, která spravuje kritická aktiva prostřednictvím propojení s kryptografickými a nekryptografickými funkcemi poskytovanými bezpečným kryptografickým prostředkem peněženky a jejich využívání;

8)

„bezpečným kryptografickým prostředkem peněženky“ prostředek odolný proti neoprávněné manipulaci, který poskytuje prostředí propojené s bezpečnou kryptografickou aplikací peněženky a používaný touto aplikací k ochraně kritických aktiv a poskytování kryptografických funkcí pro bezpečné provádění kritických operací;

9)

„poskytovatelem peněženky“ fyzická nebo právnická osoba, která poskytuje řešení peněženky;

10)

„kritickými aktivy“ aktiva v rámci jednotky peněženky nebo ve vztahu k ní, která jsou tak mimořádně důležitá, že ohrožení jejich dostupnosti, důvěrnosti nebo integrity by mělo velmi vážný a oslabující účinek na schopnost spoléhat se na jednotku peněženky;

11)

„stranou spoléhající se na peněženku“ spoléhající se strana, která má v úmyslu spoléhat se na jednotky peněženky při poskytování veřejných nebo soukromých služeb prostřednictvím digitální interakce;

12)

„přístupovým certifikátem strany spoléhající se na peněženku“ certifikát pro elektronické pečetě nebo podpisy ověřující pravost a platnost strany spoléhající se na peněženku vydaný poskytovatelem přístupových certifikátů strany spoléhající se na peněženku;

13)

„poskytovatelem přístupových certifikátů strany spoléhající se na peněženku“ fyzická nebo právnická osoba pověřená členským státem vydáváním přístupových certifikátů strany spoléhající se na peněženku stranám spoléhajícím se na peněženku registrovaným v tomto členském státě.