(EU) 2025/848Prováděcí nařízení Komise (EU) 2025/848 ze dne 6. května 2025, kterým se stanoví prováděcí pravidla k nařízení Evropského parlamentu a Rady (EU) č. 910/2014, pokud jde o registraci stran spoléhajících se na peněženku

1)

Pro účely registrace spoléhajících se stran, které mají v úmyslu spoléhat se na evropské peněženky digitální identity („peněženky“) při poskytování digitálních veřejných nebo soukromých služeb, jak to vyžaduje nařízení (EU) č. 910/2014, by členské státy měly zřídit a vést vnitrostátní registry stran spoléhajících se na peněženku usazených na jejich území.

2)

Komise pravidelně posuzuje nové technologie, postupy, normy a technické specifikace. V zájmu zajištění co nejvyšší úrovně harmonizace mezi členskými státy při vývoji a certifikaci peněženek se technické specifikace stanovené v tomto nařízení opírají o práci provedenou podle doporučení Komise (EU) 2021/946 (2), a zejména o architekturu a referenční rámec, které jsou jeho součástí. V souladu se 75. bodem odůvodnění nařízení Evropského parlamentu a Rady (EU) 2024/1183 (3) by Komise měla toto nařízení přezkoumat a v případě potřeby aktualizovat, aby bylo v souladu s globálním vývojem, architekturou a referenčním rámcem a aby byly dodržovány osvědčené postupy na vnitřním trhu.

3)

Pro zajištění širokého přístupu k registrům a dosažení interoperability by členské státy měly vytvořit rozhraní jak pro člověka, tak strojově čitelná, která splňují technické specifikace stanovené v tomto nařízení. Poskytovatelé přístupových certifikátů strany spoléhající se na peněženku a registračních certifikátů strany spoléhající se na peněženku, pokud jsou k dispozici, by měli mít možnost se pro účely vydávání těchto certifikátů rovněž spoléhat na tato rozhraní.

4)

Vzhledem k tomu, že zásady registrace poskytují jasné pokyny stranám spoléhajícím se na peněženku ohledně procesu registrace, měly by členské státy stanovit a zveřejnit zásady registrace platné pro vnitrostátní registry usazené na jejich území.

5)

Účelem registrace stran spoléhajících se na peněženku je vybudovat důvěru v používání peněženek prostřednictvím větší transparentnosti. Členské státy by proto měly příslušné informace zpřístupnit veřejnosti způsobem, který je čitelný jak pro člověka, tak strojově. Za tímto účelem by měly strany spoléhající se na peněženku poskytnout do vnitrostátních registrů nezbytné informace, včetně svého oprávnění nebo svých oprávnění.

6)

Dále by měly strany spoléhající se na peněženku v zájmu transparentnosti prohlásit, zda se hodlají spoléhat na elektronickou identifikaci fyzických osob.

7)

Aby se zajistilo, že proces registrace bude nákladově efektivní a úměrný riziku, měli by registrátoři pro strany spoléhající se na peněženku zavést procesy registrace, které budou snadno použitelné, on-line a v příslušných případech automatizované. Registrátoři by měli ověřovat žádosti o registraci bez zbytečného odkladu.

8)

Členské státy zajistí, aby peněženky byly schopny autentizovat strany spoléhající se na peněženku bez ohledu na to, kde jsou v Unii usazeny. Za tímto účelem by strany spoléhající se na peněženku měly při své identifikaci vůči jednotkám peněženky používat přístupové certifikáty strany spoléhající se na peněženku. Aby byla zaručena interoperabilita těchto certifikátů se všemi peněženkami poskytovanými v Unii, měly by přístupové certifikáty strany spoléhající se na peněženku splňovat společné požadavky stanovené v příloze. Komise by měla vypracovat harmonizované certifikační politiky a prohlášení o certifikačních postupech, které by členské státy měly implementovat. Komise by měla ve spolupráci s členskými státy pečlivě sledovat vývoj nových nebo alternativních norem, na jejichž základě by mohly být přístupové certifikáty strany spoléhající se na peněženku implementovány. Posuzovat by se měly zejména modely důvěry, které v členských státech prokázaly svou účinnost a bezpečnost.

9)

Jak je stanoveno v nařízení (EU) č. 910/2014, strany spoléhající se na peněženku nesmějí od uživatelů požadovat poskytnutí žádných jiných údajů než těch, které byly uvedeny pro zamýšlené použití peněženek během procesu registrace. Uživatelé peněženky by měli mít možnost ověřit registrační údaje stran spoléhajících se na peněženku. Aby si uživatelé peněženky mohli ověřit, že atributy, o které žádá strana spoléhající se na peněženku, spadají do rozsahu registrovaných atributů, mohou členské státy vyžadovat vydávání registračních certifikátů strany spoléhající se na peněženku registrovaným stranám spoléhajícím se na peněženku. Aby byla zajištěna interoperabilita registračních certifikátů strany spoléhající se na peněženku, měly by členské státy zajistit, aby tyto certifikáty splňovaly požadavky a normy stanovené v příloze. Pro účely transparentnosti by zejména strany spoléhající se na peněženku měly prohlásit, zda mají v úmyslu spoléhat se na elektronickou identifikaci fyzických osob, aby splnily jeden z požadavků stanovených v čl. 6 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 (4). Dále spoléhající se strany neodmítnou používání pseudonymů, pokud identifikace uživatele není vyžadována právem Unie nebo vnitrostátním právem.

10)

Aby byli uživatelé chráněni před nadměrným sdílením informací se stranami spoléhajícími se na peněženku a aby byli v takových případech varováni, měly by členské státy do svých certifikačních politik zahrnout společné zásady přístupu, které by umožnily, aby řešení peněženky informovalo uživatele peněženky, kdykoli strana spoléhající se na peněženku požaduje více informací, než které zaregistrovala nebo k nimž je oprávněna přistupovat.

11)

Aby byli uživatelé peněženky chráněni, měli by mít registrátoři možnost pozastavit nebo zrušit registraci jakékoli strany spoléhající se na peněženku bez předchozího upozornění, pokud mají důvod se domnívat, že registrace obsahuje nepřesné, neaktuální nebo zavádějící informace, že strana spoléhající se na peněženku nedodržuje zásady registrace nebo že strana spoléhající se na peněženku jinak porušuje právo Unie nebo vnitrostátní právo nebo evropské prohlášení o digitálních právech a zásadách pro digitální dekádu (5) způsobem, který souvisí s její rolí strany spoléhající se na peněženku, například pokud strana spoléhající se na peněženku řádně neminimalizovala soubor atributů, ke kterým požaduje přístup. V zájmu zachování stability ekosystému evropské peněženky digitální identity („ekosystém peněženky“) by rozhodnutí o pozastavení nebo zrušení registrace mělo být přiměřené narušení služby způsobenému pozastavením nebo zrušením a souvisejícím nákladům a nepříjemnostem pro poskytovatele služby a uživatele. Podle čl. 46a odst. 4 písm. f) nařízení (EU) č. 910/2014 jsou orgány dohledu rovněž oprávněny v případě potřeby pozastavit a zrušit registraci.

12)

Pro účely následného sledování, vyšetřování ze strany donucovacích orgánů a řešení sporů by měli registrátoři po dobu 10 let uchovávat záznamy o všech informacích poskytnutých stranami spoléhajícími se na peněženku, které jsou zapsány v jejich vnitrostátním registru.

13)

Na činnosti zpracování osobních údajů podle tohoto nařízení se vztahuje nařízení (EU) 2016/679 a v příslušných případech směrnice Evropského parlamentu a Rady 2002/58/ES (6).

14)

V souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (7) byl konzultován evropský inspektor ochrany údajů, který vydal své stanovisko dne 31. ledna 2025.

15)

Opatření stanovená tímto nařízením jsou v souladu se stanoviskem výboru zřízeného článkem 48 nařízení (EU) č. 910/2014,

1)

„stranou spoléhající se na peněženku“ spoléhající se strana, která má v úmyslu spoléhat se na jednotky peněženky při poskytování veřejných nebo soukromých služeb prostřednictvím digitální interakce;

2)

„jednotkou peněženky“ jedinečná konfigurace řešení peněženky, která zahrnuje instance peněženky, bezpečné kryptografické aplikace peněženky a bezpečné kryptografické prostředky peněženky, které poskytovatel peněženky poskytuje jednotlivému uživateli peněženky;

3)

„řešením peněženky“ kombinace softwaru, hardwaru, služeb, nastavení a konfigurací, včetně instancí peněženky, jedné nebo více bezpečných kryptografických aplikací peněženky a jednoho nebo více bezpečných kryptografických prostředků peněženky;

4)

„instancí peněženky“ aplikace nainstalovaná a nakonfigurovaná v zařízení nebo prostředí uživatele peněženky, která je součástí jednotky peněženky a kterou uživatel peněženky používá k interakci s jednotkou peněženky;

5)

„bezpečnou kryptografickou aplikací peněženky“ aplikace, která spravuje kritická aktiva prostřednictvím propojení s kryptografickými a nekryptografickými funkcemi poskytovanými bezpečným kryptografickým prostředkem peněženky a jejich využívání;

6)

„bezpečným kryptografickým prostředkem peněženky“ prostředek odolný proti neoprávněné manipulaci, který poskytuje prostředí propojené s bezpečnou kryptografickou aplikací peněženky a používaný touto aplikací k ochraně kritických aktiv a poskytování kryptografických funkcí pro bezpečné provádění kritických operací;

7)

„kritickými aktivy“ aktiva v rámci jednotky peněženky nebo ve vztahu k ní, která jsou tak mimořádně důležitá, že ohrožení jejich dostupnosti, důvěrnosti nebo integrity by mělo velmi vážný a oslabující účinek na schopnost spoléhat se na jednotku peněženky;

8)

„poskytovatelem peněženky“ fyzická nebo právnická osoba, která poskytuje řešení peněženky;

9)

„uživatelem peněženky“ uživatel, který má jednotku peněženky pod kontrolou;

10)

„vnitrostátním registrem stran spoléhajících se na peněženku“ vnitrostátní elektronický registr používaný členským státem ke zveřejňování informací o stranách spoléhajících se na peněženku registrovaných v tomto členském státě, jak je stanoveno v čl. 5b odst. 5 nařízení (EU) č. 910/2014;

11)

„poskytovatelem přístupových certifikátů strany spoléhající se na peněženku“ fyzická nebo právnická osoba pověřená členským státem vydáváním přístupových certifikátů strany spoléhající se na peněženku stranám spoléhajícím se na peněženku registrovaným v tomto členském státě;

12)

„přístupovým certifikátem strany spoléhající se na peněženku“ certifikát pro elektronické pečetě nebo podpisy ověřující pravost a platnost strany spoléhající se na peněženku vydaný poskytovatelem přístupových certifikátů strany spoléhající se na peněženku;

13)

„poskytovatelem osobních identifikačních údajů“ fyzická nebo právnická osoba odpovědná za vydávání a zneplatnění osobních identifikačních údajů a za zajištění kryptografického provázání osobních identifikačních údajů uživatele s jednotkou peněženky;

14)

„registrátorem stran spoléhajících se na peněženku“ subjekt odpovědný za sestavení a vedení seznamu registrovaných stran spoléhajících se na peněženku usazených na jeho území, který byl určen členským státem;

15)

„registračním certifikátem strany spoléhající se na peněženku“ datový objekt, který popisuje zamýšlené použití spoléhající se strany a uvádí atributy, které spoléhající se strana zaregistrovala a které hodlá požadovat od uživatelů;

16)

„poskytovatelem registračních certifikátů strany spoléhající se na peněženku“ fyzická nebo právnická osoba pověřená členským státem vydáváním registračních certifikátů strany spoléhající se na peněženku stranám spoléhajícím se na peněženku registrovaným v tomto členském státě.