(EU) 2025/846Prováděcí nařízení Komise (EU) 2025/846 ze dne 6. května 2025, kterým se stanoví prováděcí pravidla k nařízení Evropského parlamentu a Rady (EU) č. 910/2014, pokud jde o přeshraniční párování totožnosti fyzických osob

(1)

Nařízení (EU) č. 910/2014 vyžaduje, aby byly k dispozici evropské peněženky digitální identity (dále jen „peněženky“) a oznámené prostředky pro elektronickou identifikaci jako možnost autentizace za účelem získání přístupu k přeshraničním veřejným on-line službám poskytovaným členskými státy. V takových případech přeshraniční autentizace jsou záznamy obsahující informace týkající se uživatele peněženky nebo uživatele oznámeného prostředku pro elektronickou identifikaci někdy již k dispozici spoléhající se straně prostřednictvím jejího vlastního registru nebo prostřednictvím externího registru, a to často ve formě uživatelského účtu. V těchto případech mohou být určité informace týkající se uživatele získané z peněženek nebo z oznámených prostředků pro elektronickou identifikaci touto spoléhající se stranou nebo jejím jménem spárovány. Toho lze dosáhnout například pomocí centralizovaného řešení provozovaného subjektem veřejného sektoru s využitím informací, které má tato spoléhající se strana nebo registr, na který se spoléhající se strana spoléhá, již k dispozici, může jít třeba o registr obyvatel nebo databázi s informacemi o uživatelských účtech.

(2)

Komise pravidelně posuzuje nové technologie, postupy, normy a technické specifikace. V zájmu zajištění co nejvyšší úrovně harmonizace mezi členskými státy při vývoji a certifikaci peněženek se technické specifikace stanovené v tomto nařízení opírají o práci provedenou podle doporučení Komise (EU) 2021/946 (2), zejména pokud jde o architekturu a referenční rámec, které jsou jeho součástí. V souladu se 75. bodem odůvodnění nařízení Evropského parlamentu a Rady (EU) 2024/1183 (3) by Komise měla toto nařízení přezkoumat a v případě potřeby aktualizovat, aby bylo v souladu s globálním vývojem, architekturou a referenčním rámcem a aby byly dodržovány osvědčené postupy na vnitřním trhu.

(3)

Aby se zajistilo spolehlivé fungování procesu párování totožnosti ve všech členských státech, měly by členské státy jednající jako spoléhající se strany provést prvotní párování totožnosti, když fyzická osoba poprvé požádá o udělení přístupu ke službě provozované spoléhající se stranou, a to buď na základě minimálního souboru údajů stanoveného v prováděcím nařízení Komise (EU) 2015/1501 (4), nebo na základě souboru osobních identifikačních údajů stanoveného v prováděcím nařízení Komise (EU) 2024/2977 (5). Toto nařízení zaměřuje na členské státy jednající jako spoléhající se strany, přičemž nařízení (EU) č. 910/2014 ponechává na členských státech, aby rozhodly, zda bude systém párování totožnosti zpřístupněn také soukromým spoléhajícím se stranám. Pokud členské státy předpokládají zpřístupnění párování totožnosti spoléhajícím se stranám, které nejsou subjekty veřejného sektoru, měly by v co největší míře uplatňovat mechanismy a postupy stanovené v tomto nařízení.

(4)

Pro účely přeshraničního párování totožnosti při používání peněženek by informacemi používanými pro jednoznačné párování totožnosti měly být povinné identifikátory údajů v souboru osobních identifikačních údajů stanovené v oddíle 1 přílohy prováděcího nařízení (EU) 2024/2977 spolu s případnými nepovinnými údaji potřebnými k zajištění toho, aby byl soubor osobních identifikačních údajů jedinečný.

(5)

Pro účely přeshraničního párování totožnosti při používání oznámených prostředků pro elektronickou identifikaci by informacemi používanými pro jednoznačné párování totožnosti měly být povinné atributy minimálního souboru údajů pro fyzické osoby stanovené v oddíle 1 přílohy prováděcího nařízení (EU) 2015/1501. Odkaz na povinné atributy minimálního souboru údajů pro fyzické osoby by měl být chápán v kontextu prováděcího nařízení (EU) 2015/1501, které popisuje atribut jako složku minimálního souboru osobních identifikačních údajů, na rozdíl od definice atributů stanovené v čl. 3 bodě 43 nařízení (EU) č. 910/2014 ve znění nařízení (EU) 2024/1183.

(6)

Vzhledem k závislosti na již existujících informacích, které spoléhající se strana používá k zajištění jednoznačného párování totožnosti, nemusí být proces párování totožnosti ve všech případech úspěšný. Aby byla spoléhajícím se stranám poskytnuta přiměřená flexibilita, mohou členské státy zavést doplňkové procesy, které dosáhnou rovnocenné úrovně důvěry ve výsledek procesu párování totožnosti.

(7)

Pokud je proces párování totožnosti považován podle ustanovení tohoto nařízení za úspěšný, měla by spoléhající se strana nebo strana jednající jejím jménem nebo registr, na který se spoléhající se strany spoléhají, nebo centralizovaný systém zajistit, aby byl uživatel informován o úspěšné registraci, též zobrazením jména nebo pseudonymu uživatele, a v příslušných případech mimo jiné o dostupných možnostech uložení výsledku procesu párování totožnosti. Tyto možnosti mohou zahrnovat uložení propojení v registru provozovaném spoléhající se stranou a/nebo v registru, na který se spoléhající se strana spoléhá, a/nebo vydání zvláštního elektronického potvrzení atributů, v kterém je propojení obsaženo a které lze opětovně použít v budoucnu, a/nebo použití alternativních možností poskytnutých spoléhající se stranou nebo stranou jednající jejím jménem. Uživatel by měl mít v příslušných případech na výběr z možností a kontrolu nad dobou uchovávání, aby se zajistilo, že uživatelé budou moci v budoucnu opětovně použít dokončené procesy párování totožnosti.

(8)

V zájmu zvýšení transparentnosti a kontroly ze strany uživatelů by v případě, že se uživatele nepodařilo úspěšně spárovat, měly být uživateli sděleny jasné důvody, proč bylo párování neúspěšné. Kromě toho by měl být uživatel informován o možných dalších krocích. To by mělo zahrnovat informace, které byly použity v procesu párování totožnosti, jakož i veškeré zjištěné nesrovnalosti, a poskytnout uživatelům jasná vysvětlení a pokyny o možných nápravných opatřeních a doplňkových postupech.

(9)

Aby v případech, kdy se provede párování totožnosti, byly k dispozici vhodné nápravné mechanismy, měly by spoléhající se strany nebo strany jednající jejich jménem nebo registry, na které se spoléhající se strany spoléhají, vést vhodné protokoly, pokud jde o proces párování totožnosti, informace použité k párování a veškeré další podpůrné doklady poskytnuté fyzickou osobou, jakož i výsledek procesu párování totožnosti. Tyto protokoly by se měly uchovávat po dobu nejméně 6 měsíců a nejvýše 12 měsíců, aby bylo možné evidovat a vyřizovat stížnosti uživatelů. Dobu uchovávání by mělo být možné prodloužit, pokud to vyžaduje právo Unie nebo vnitrostátní právo.

(10)

Aby uživatelé peněženek nemuseli proces párování totožnosti provádět opakovaně, mohou členské státy požadovat, aby systémy párování totožnosti byly schopny vydat elektronické potvrzení atributů obsahující propojení mezi uživatelem peněženky a registrem, v němž je tento uživatel evidován jako známý uživatel. Alternativně mohou členské státy uložit propojení jako odkaz na registr, který je přístupný spoléhající se straně, nebo přijmout jiná pomocná opatření.

(11)

Aby se zajistilo, že peněženky, které mají být poskytnuty v souladu s požadavky čl. 5a odst. 1 nařízení (EU) č. 910/2014, a oznámené systémy elektronické identifikace mohly využívat výhod plynoucích z fungujících systémů párování totožnosti, je třeba stanovit delší lhůtu pro použitelnost příslušných ustanovení tohoto nařízení. Pokud jde o peněženky, každý členský stát by měl poskytnout alespoň jednu peněženku do 24 měsíců ode dne vstupu v platnost prováděcích aktů uvedených v čl. 5a odst. 23 a čl. 5c odst. 6 nařízení (EU) č. 910/2014. Použitelnost příslušných ustanovení tohoto nařízení o párování totožnosti na základě peněženek by se proto měla shodovat s výše uvedeným časovým rámcem. Pokud jde o oznámené systémy elektronické identifikace, měl by být poskytnut dostatek času k nahrazení funkcí pro párování totožnosti.

(12)

Vzhledem k tomu, že používání peněženky má být dobrovolné, měly by členské státy uživatelům poskytnout alternativní způsoby získání přístupu k službám, které poskytují, pokud jednají jako spoléhající se strany.

(13)

Při pokusu o autentizaci vůči elektronické službě může plynule proběhnout registrace nového uživatele, která se tak uživateli může vizuálně i technicky jevit stejně jako opětovná návštěva elektronické služby. Z tohoto důvodu by registrace nového uživatele k elektronické službě měla být pro účely tohoto nařízení považována za rovnocennou úspěšnému procesu párování totožnosti.

(14)

Členské státy by měly zajistit, aby proces párování totožnosti fungoval hladce a aby uživatel nezaznamenal vícenásobné změny relací a opakující se kroky, a to ani v případě, že proces párování totožnosti není zpočátku úspěšný a provádí se doplňkové procesy.

(15)

Členské státy mají volnost navrhovat svá uživatelská rozhraní a oznámení způsobem, který vyhovuje jejich vnitrostátnímu kontextu, s přihlédnutím k duchu požadavků obsažených v tomto nařízení.

(16)

Na činnosti zpracování osobních údajů podle tohoto nařízení se vztahuje nařízení Evropského parlamentu a Rady (EU) 2016/679 (6) a v příslušných případech směrnice Evropského parlamentu a Rady 2002/58/ES (7).

(17)

V souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (8) byl konzultován evropský inspektor ochrany údajů, který vydal své stanovisko dne 31. ledna 2025.

(18)

Opatření stanovená tímto nařízením jsou v souladu se stanoviskem výboru zřízeného článkem 48 nařízení (EU) č. 910/2014,