(EU) 2024/2982Prováděcí nařízení Komise (EU) 2024/2982 ze dne 28. listopadu 2024, kterým se stanoví prováděcí pravidla k nařízení Evropského parlamentu a Rady (EU) č. 910/2014, pokud jde o protokoly a rozhraní, které mají být podporovány evropským rámcem pro digitální identitu

(1)

Evropský rámec pro digitální identitu zřízený nařízením (EU) č. 910/2014 je klíčovým prvkem při vytváření bezpečného a interoperabilního ekosystému digitální identity v celé Unii. Základem rámce jsou evropské peněženky digitální identity (dále jen „peněženky“), jejichž cílem je usnadnit fyzickým a právnickým osobám přístup ke službám v členských státech a zároveň zajistit ochranu osobních údajů a soukromí.

(2)

Na všechny činnosti zpracování osobních údajů podle tohoto nařízení se vztahuje nařízení Evropského parlamentu a Rady (EU) 2016/679 (2) a v příslušných případech směrnice Evropského parlamentu a Rady 2002/58/ES (3).

(3)

Ustanovení čl. 5a odst. 23 nařízení (EU) č. 910/2014 pověřuje Komisi, aby v případě potřeby stanovila příslušné specifikace a postupy. Toho je dosaženo prostřednictvím čtyř prováděcích nařízení, která se zabývají protokoly a rozhraními: prováděcí nařízení Komise (EU) 2024/2982 (4), integritou a základními funkcemi: prováděcí nařízení Komise (EU) 2024/2979 (5), osobními identifikačními údaji a elektronickým potvrzením atributů: prováděcí nařízení Komise (EU) 2024/2977 (6), jakož i oznámeními Komisi: prováděcí nařízení Komise (EU) 2024/2980 (7). Toto nařízení stanoví příslušné požadavky na protokoly a rozhraní.

(4)

Komise pravidelně posuzuje nové technologie, postupy, normy nebo technické specifikace. V zájmu zajištění co nejvyšší úrovně harmonizace mezi členskými státy při vývoji a certifikaci peněženek se technické specifikace stanovené v tomto nařízení opírají o práci provedenou na základě doporučení Komise (EU) 2021/946 ze dne 3. června 2021 o společném souboru nástrojů Unie pro koordinovaný přístup k evropskému rámci pro digitální identitu (8), a zejména o architekturu a referenční rámec. V souladu se 75. bodem odůvodnění nařízení Evropského parlamentu a Rady (EU) 2024/1183 (9) by Komise měla toto prováděcí nařízení přezkoumat a v případě potřeby ho aktualizovat, aby bylo v souladu s globálním vývojem, architekturou a referenčním rámcem a aby byly dodržovány osvědčené postupy na vnitřním trhu.

(5)

Aby byla zajištěna transparentnost a důvěryhodnost stran spoléhajících se na peněženku vůči uživatelům peněženky, měly by protokoly a rozhraní používané řešeními peněženky uživatelům peněženek poskytovat spolehlivý mechanismus pro autentizaci stran spoléhajících se na peněženku a jiných jednotek peněženky. Naopak poskytovatelé peněženek by měli poskytnout mechanismus pro autentizaci a ověření platnosti jednotek peněženky, aby spoléhající se strany mohly obdržet záruky ohledně důvěryhodnosti a pravosti jednotek peněženky. Dále by měla být technická infrastruktura peněženek navržena tak, aby zajišťovala, že se k oprávněným spoléhajícím se stranám přenese pouze minimální nezbytné množství údajů, přičemž by měla být mezi jednotlivými transakcemi zachována nepropojitelnost. S cílem usnadnit vydávání osobních identifikačních údajů a elektronických potvrzení atributů by měla všechna řešení peněženky podporovat minimální sadu protokolů a rozhraní.

(6)

Aby byla zajištěna použitelnost řešení peněženky ve všech členských státech, měla by všechna řešení peněženky podporovat obecné technické specifikace, pokud jde o předkládání osobních identifikačních údajů a elektronických potvrzení atributů spoléhajícím se stranám prostřednictvím peněženek, a to jak na dálku, tak i v blízkosti. Kromě toho mohou jednotky peněženky podporovat další protokoly a rozhraní pro konkrétní případy použití.

(7)

Aby byla zajištěna záměrná a standardní ochrana údajů, měly by být peněženky vybaveny několika funkcemi pro zvýšení ochrany soukromí s cílem zabránit poskytovatelům prostředků pro elektronickou identifikaci a elektronického potvrzování atributů kombinovat osobní údaje získané při poskytování jiných služeb s osobními údaji zpracovávanými za účelem poskytování služeb, které spadají do oblasti působnosti nařízení (EU) č. 910/2014. Jak je stanoveno v nařízení (EU) č. 910/2014, spoléhající se strany nesmějí od uživatelů požadovat žádné jiné údaje než ty, které jsou uvedeny pro zamýšlené použití peněženek během procesu registrace. Uživatelé peněženky by měli mít možnost kdykoli ověřit registrační údaje spoléhajících se stran. Jednotky peněženek by dále měly být schopny jako součást žádosti o atribut uživatelům zobrazovat registrační certifikáty stran spoléhajících se na peněženku, jsou-li k dispozici. Uživatelům peněženky by to mělo umožnit ověřit, že atributy požadované stranou spoléhající se na peněženku spadají do rozsahu jejich registrovaných atributů, a poskytnout záruku, že žádost je legitimní a důvěryhodná.

(8)

V zájmu ochrany údajů uživatelů peněženek by poskytovatelé peněženek měli zajistit, aby jednotky peněženky před zpřístupněním jakýchkoli údajů ověřovaly žádosti od stran spoléhajících se na peněženku nebo od jiných jednotek peněženky. Ze stejného důvodu a v souladu s čl. 5a odst. 4 písm. d) bodem ii) nařízení (EU) č. 910/2014 by poskytovatelé peněženek měli zajistit, aby jednotky peněženky uživatelům peněženek umožňovaly podávat žádosti o výmaz údajů stranám spoléhajícím se na peněženku.

(9)

Aby bylo možné rychle reagovat v případě jakýchkoli obav o ochranu údajů souvisejících s čl. 5a odst. 4 písm. d) bodem iii) nařízení (EU) č. 910/2014, měli by poskytovatelé peněženek zajistit, aby řešení peněženky poskytovala mechanismy pro nahlášení spoléhající se strany příslušnému vnitrostátnímu úřadu pro ochranu údajů. Poskytovatelům peněženek a úřadům pro ochranu údajů by měla být ponechána přiměřená flexibilita při vytváření vhodných mechanismů pro interakci s úřady pro ochranu údajů členských států.

(10)

V souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (10) byl konzultován evropský inspektor ochrany údajů, který vydal stanovisko dne 30. září 2024.

(11)

Opatření stanovená tímto nařízením jsou v souladu se stanoviskem výboru uvedeného v článku 48 nařízení (EU) č. 910/2014,

1)

vydávání osobních identifikačních údajů a elektronických potvrzení atributů k jednotkám peněženky;

2)

předkládání atributů osobních identifikačních údajů a elektronických potvrzení atributů stranám spoléhajícím se na peněženku a jiným jednotkám peněženky;

3)

sdělování žádostí o výmaz údajů stranám spoléhajícím se na peněženku;

4)

nahlašování stran spoléhajících se na peněženku dozorovým úřadům zřízeným podle článku 51 nařízení (EU) 2016/679;

které je třeba pravidelně aktualizovat, aby byly v souladu s vývojem technologií a norem a s prací prováděnou na základě doporučení (EU) 2021/946, a zejména s architekturou a referenčním rámcem.

1)

„stranou spoléhající se na peněženku“ spoléhající se strana, která má v úmyslu spoléhat se na jednotky peněženky při poskytování veřejných nebo soukromých služeb prostřednictvím digitální interakce;

2)

„uživatelem peněženky“ uživatel, který má jednotku peněženky pod kontrolou;

3)

„řešením peněženky“ kombinace softwaru, hardwaru, služeb, nastavení a konfigurací, včetně instancí peněženky, jedné nebo více bezpečných kryptografických aplikací peněženky a jednoho nebo více bezpečných kryptografických prostředků peněženky;

4)

„jednotkou peněženky“ jedinečná konfigurace řešení peněženky, která zahrnuje instance peněženky, bezpečné kryptografické aplikace peněženky a bezpečné kryptografické prostředky peněženky, které poskytovatel peněženky poskytuje jednotlivému uživateli peněženky;

5)

„poskytovatelem peněženky“ fyzická nebo právnická osoba, která poskytuje řešení peněženky;

6)

„instancí peněženky“ aplikace nainstalovaná a nakonfigurovaná v zařízení nebo prostředí uživatele peněženky, která je součástí jednotky peněženky a kterou uživatel peněženky používá k interakci s jednotkou peněženky;

7)

„bezpečnou kryptografickou aplikací peněženky“ aplikace, která spravuje kritická aktiva prostřednictvím propojení s kryptografickými a nekryptografickými funkcemi poskytovanými bezpečným kryptografickým prostředkem peněženky a jejich využívání;

8)

„bezpečným kryptografickým prostředkem peněženky“ prostředek odolný proti neoprávněné manipulaci, který poskytuje prostředí propojené s bezpečnou kryptografickou aplikací peněženky a používaný touto aplikací k ochraně kritických aktiv a poskytování kryptografických funkcí pro bezpečné provádění kritických operací;

9)

„kritickými aktivy“ aktiva v rámci jednotky peněženky nebo ve vztahu k ní, která jsou tak mimořádně důležitá, že ohrožení jejich dostupnosti, důvěrnosti nebo integrity by mělo velmi vážný a oslabující účinek na schopnost spoléhat se na jednotku peněženky;

10)

„přístupovým certifikátem strany spoléhající se na peněženku“ certifikát pro elektronické pečetě nebo podpisy ověřující pravost a platnost strany spoléhající se na peněženku vydaný poskytovatelem přístupových certifikátů strany spoléhající se na peněženku;

11)

„poskytovatelem přístupových certifikátů strany spoléhající se na peněženku“ fyzická nebo právnická osoba pověřená členským státem vydáváním přístupových certifikátů strany spoléhající se na peněženku stranám spoléhajícím se na peněženku registrovaným v tomto členském státě;

12)

„potvrzením jednotky peněženky“ datový objekt, který popisuje komponenty jednotky peněženky nebo umožňuje autentizaci a ověření platnosti těchto komponentů;

13)

„vloženými zásadami zpřístupňování informací“ soubor pravidel, který je součástí elektronického potvrzení atributů jeho poskytovatelem a ve kterém jsou uvedeny podmínky, jež musí strana spoléhající se na peněženku splnit, aby získala přístup k elektronickému potvrzení atributů;

14)

„registračním certifikátem strany spoléhající se na peněženku“ datový objekt, který označuje atributy, které spoléhající se strana zaregistrovala s úmyslem je požadovat od uživatelů;

15)

„poskytovatelem osobních identifikačních údajů“ fyzická nebo právnická osoba odpovědná za vydávání a zneplatnění osobních identifikačních údajů a za zajištění kryptografického provázání osobních identifikačních údajů uživatele s jednotkou peněženky;

16)

„kryptografickou vazbou“ metoda propojení osobních identifikačních údajů nebo elektronických potvrzení atributů s jednotkami peněženky pomocí kryptografických prostředků.

1)

při interakci se stranami spoléhajícími se na peněženku autentizovaly přístupové certifikáty stran spoléhajících se na peněženku a ověřovaly jejich platnost;

2)

při interakci s jinými jednotkami peněženky autentizovaly potvrzení jiných jednotek peněženky a ověřovaly jejich platnost;

3)

autentizovaly žádosti podané pomocí přístupových certifikátů stran spoléhajících na peněženku nebo případně pomocí potvrzení od jiných jednotek peněženky a ověřovaly jejich platnost;

4)

případně autentizovaly a ověřovaly platnost registračního certifikátu strany spoléhající se na peněženku;

5)

zobrazovaly uživatelům peněženky informace obsažené v certifikátech strany spoléhající se na peněženku nebo v potvrzeních jednotky peněženky;

6)

případně uživatelům peněženky zobrazovaly atributy, které mají uživatelé peněženky předložit;

7)

případně uživatelům peněženky zobrazovaly informace obsažené v registračním certifikátu strany spoléhající se na peněženku;

8)

předkládaly potvrzení jednotky peněženky stranám spoléhajícím se na peněženku nebo jednotkám peněženky, které o to požádají;

9)

nepředkládaly stranám spoléhajícím se na peněženku nebo jednotkám peněženky žádné požadované atributy, dokud nebudou splněny tyto požadavky:

10)

umožňovaly metody k zachování soukromí, které zajistí nepropojitelnost v případech, kdy při předkládání potvrzení nebo osobních identifikačních údajů mezi různými stranami spoléhajícími se na peněženku elektronická potvrzení atributů nevyžadují identifikaci uživatele peněženky.