(EU) 2024/1183Nařízení Evropského parlamentu a Rady (EU) 2024/1183 ze dne 11. dubna 2024, kterým se mění nařízení (EU) č. 910/2014, pokud jde o zřízení evropského rámce pro digitální identitu

(1)

Sdělení Komise ze dne 19. února 2020 nazvané „Formování digitální budoucnosti Evropy“ oznamuje revizi nařízení Evropského parlamentu a Rady (EU) č. 910/2014 (4) s cílem zlepšit jeho účinnost, rozšířit jeho přínosy na soukromý sektor a podporovat důvěryhodnou digitální identitu pro všechny Evropany.

(2)

Evropská rada ve svých závěrech ze zasedání konaného ve dnech 1. a 2. října 2020 vyzvala Komisi, aby navrhla vytvořit celounijní rámec pro bezpečnou veřejnou elektronickou identifikaci zahrnující interoperabilní digitální podpisy, jehož prostřednictvím budou mít lidé kontrolu nad vlastní on-line identitou a údaji, jakož i přístup k veřejným i soukromým a přeshraničním digitálním službám.

(3)

Politický program Digitální dekáda 2030 zavedený rozhodnutím Evropského parlamentu a Rady (EU) 2022/2481 (5), stanoví obecné a digitální cíle rámce Unie, jež mají do roku 2030 vést k tomu, aby byla v široké míře zavedena důvěryhodná a dobrovolná digitální identita kontrolovaná uživatelem, která je uznávána v celé Unii a umožňuje každému uživateli kontrolovat své údaje v on-line interakcích.

(4)

V „evropském prohlášení o digitálních právech a zásadách pro digitální dekádu“ vyhlášeném Evropským parlamentem, Radou a Komisí (6) (dále jen „prohlášení“) se zdůrazňuje právo každého jednotlivce na přístup k digitálním technologiím, produktům a službám, které jsou koncipovány tak, aby byly bezpečné, zabezpečené a chránily soukromí. Znamená to mimo jiné zajistit, aby všem lidem žijícím v Unii byla nabídnuta dostupná, bezpečná a důvěryhodná digitální identita, která umožňuje přístup k široké škále on-line i off-line služeb chráněných před riziky v oblasti kybernetické bezpečnosti a kyberkriminality, včetně porušení zabezpečení údajů, krádeže identity nebo manipulace s ní. V prohlášení se rovněž uvádí, že každý má právo na ochranu svých osobních údajů. Toto právo zahrnuje kontrolu toho, jak jsou údaje využívány a s kým jsou sdíleny.

(5)

Občané Unie a rezidenti v Unii by měli mít právo na digitální identitu, která je pod jejich výhradní kontrolou a která jim umožňuje vykonávat jejich práva v digitálním prostředí a podílet se na digitální ekonomice. K dosažení tohoto cíle by měl být vytvořen evropský rámec pro digitální identitu, který občanům Unie a rezidentům v Unii umožní přístup k veřejným a soukromým on-line i off-line službám v celé Unii.

(6)

Harmonizovaný rámec pro digitální identitu by měl přispět k vytvoření digitálně integrovanější Unie tím, že sníží digitální překážky mezi členskými státy a umožní občanům Unie a rezidentům v Unii využívat výhod digitalizace a zároveň zvýší transparentnost a ochranu jejich práv.

(7)

Harmonizovanější přístup k elektronické identifikaci by měl snížit rizika a náklady spojené se současnou roztříštěností, jejíž příčinou je používání odlišných vnitrostátních řešení nebo skutečnost, že v některých členských státech tato řešení elektronické identifikace chybí. Tento přístup by měl posílit vnitřní trh tím, že umožní občanům Unie, rezidentům v Unii ve smyslu vnitrostátního práva a podnikům identifikovat se a provést autentizaci své totožnosti v on-line a v off-line prostředí v celé Unii bezpečným, důvěryhodným, uživatelsky přívětivým, pohodlným, dostupným a harmonizovaným způsobem. Evropská peněženka digitální identity by měla fyzickým a právnickým osobám v celé Unii poskytnout harmonizovaný prostředek pro elektronickou identifikaci umožňující provádět autentizaci údajů spojených s jejich totožností a sdílet je. Každý by měl mít bezpečný přístup k veřejným a soukromým službám založeným na zdokonaleném ekosystému služeb vytvářejících důvěru a na ověřených dokladech totožnosti a elektronických potvrzeních atributů, jako jsou akademické kvalifikace, včetně vysokoškolských diplomů nebo jiných dosažených forem vzdělání či odborné kvalifikace. Evropský rámec pro digitální identitu má dosáhnout přechodu od závislosti pouze na vnitrostátních řešeních v oblasti digitální identity k poskytování elektronických potvrzení atributů platných a právně uznávaných v celé Unii. Poskytovatelé elektronických potvrzení atributů by měli mít prospěch z jasného a jednotného souboru pravidel, zatímco orgány veřejné správy by měly mít možnost používat elektronické dokumenty v daném formátu.

(8)

Několik členských států zavedlo a používá prostředky pro elektronickou identifikaci, které jsou poskytovateli služeb v Unii akceptovány. Kromě toho byly na základě nařízení (EU) č. 910/2014 investovány prostředky do vnitrostátních i přeshraničních řešení, včetně interoperability oznámených systémů elektronické identifikace podle uvedeného nařízení. V zájmu zajištění doplňkovosti a rychlého přijetí evropských peněženek digitální identity stávajícími uživateli oznámených prostředků pro elektronickou identifikaci a v zájmu minimalizace dopadu na stávající poskytovatele služeb se očekává, že evropské peněženky digitální identity budou využívat zkušeností získaných se stávajícími prostředky pro elektronickou identifikaci a infrastruktury oznámených systémů elektronické identifikace zavedené na úrovni Unie a na vnitrostátní úrovni.

(9)

Na všechny činnosti zpracování osobních údajů podle nařízení (EU) č. 910/2014 se vztahuje nařízení Evropského parlamentu a Rady (EU) 2016/679 (7) a případně směrnice Evropského parlamentu a Rady 2002/58/ES (8). Řešení spadající do rámce interoperability stanoveného v tomto nařízení jsou s těmito pravidly rovněž v souladu. Právní předpisy Unie v oblasti ochrany údajů stanoví zásady ochrany údajů, jako je zásada minimalizace údajů a účelového omezení a povinnosti, jako je záměrná a standardní ochrana údajů.

(10)

S cílem podpořit konkurenceschopnost podniků v Unii by měli mít poskytovatelé on-line i off-line služeb možnost spoléhat se na řešení v oblasti digitální identity uznávaná v celé Unii, bez ohledu na to, ve kterém členském státě jsou tato řešení poskytována, a těžit tak z harmonizovaného unijního přístupu k důvěře, bezpečnosti a interoperabilitě. Uživatelé i poskytovatelé služeb by měli mít prospěch z toho, že jsou elektronickým potvrzením atributů přiznány stejné právní účinky v celé Unii. Harmonizovaný rámec pro digitální identitu má vytvářet ekonomickou hodnotu poskytováním snadnějšího přístupu ke zboží a službám a výrazným snížením provozních nákladů spojených s postupy elektronické identifikace a autentizace, například při zapojování nových zákazníků, a omezením potenciálního prostoru pro kyberkriminalitu, jako jsou krádeže identity, krádeže údajů a podvody on-line, čímž podpoří úspory na základě vyšší efektivity a bezpečnou digitální transformaci mikropodniků a malých a středních podniků v Unii.

(11)

Evropské peněženky digitální identity by měly usnadnit uplatňování zásady „pouze jednou“, a tím snížit administrativní zátěž a podpořit přeshraniční mobilitu občanů Unie a rezidentů v Unii a podniků v celé Unii a podpořit rozvoj interoperabilních služeb elektronické veřejné správy v celé Unii.

(12)

Zpracovávání osobních údajů při provádění tohoto nařízení se řídí nařízením (EU) 2016/679, nařízením Evropského parlamentu a Rady (EU) 2018/1725 (9) a směrnicí 2002/58/ES. Toto nařízení by proto mělo stanovit zvláštní záruky, které poskytovatelům prostředků pro elektronickou identifikaci a elektronického potvrzování atributů zabrání kombinovat osobní údaje získané při poskytování jiných služeb s osobními údaji zpracovávanými za účelem poskytování služeb, jež spadají do oblasti působnosti tohoto nařízení. Osobní údaje týkající se poskytování evropské peněženky digitální identity by měly být uchovávány logicky odděleně od jakýchkoli jiných dat v držení poskytovatele evropské peněženky digitální identity. Toto nařízení by poskytovatelům evropských peněženek digitální identity nemělo bránit v uplatňování dodatečných technických opatření, která přispívají k ochraně osobních údajů, jako je fyzické oddělení osobních údajů týkajících se poskytování evropských peněženek digitální identity od jakýchkoli jiných dat v držení poskytovatele. Aniž je dotčeno nařízení (EU) 2016/679, toto nařízení podrobněji upřesňuje uplatňování zásad účelového omezení, minimalizace údajů a záměrné a standardní ochrany údajů.

(13)

Evropské peněženky digitální identity by měly mít koncepčně zabudovanou funkci společného přehledu, aby byla zajištěna vyšší míra transparentnosti, soukromí a kontroly ze strany uživatelů nad jejich osobními údaji. Tato funkce by měla poskytovat snadný a uživatelsky přívětivý přehled o všech spoléhajících se stranách, s nimiž uživatel sdílí údaje, včetně atributů, a o druhu údajů sdílených s každou spoléhající se stranou. Měla by uživatelům umožnit sledovat všechny transakce provedené prostřednictvím evropské peněženky digitální identity, a to alespoň pokud jde o následující údaje: čas a datum transakce, identifikace protistrany, požadované osobní údaje a sdílené údaje. Tyto informace by měly být uloženy, i když transakce nebyla uzavřena. Nemělo by být možné vyvrátit pravost informací obsažených v historii transakce. Taková funkce by měla být standardně nastavena jako aktivní. Uživatelé by měli mít možnost snadno požádat o okamžité vymazání osobních údajů podle článku 17 nařízení (EU) 2016/679 spoléhající se stranou a snadno nahlásit spoléhající se stranu příslušnému vnitrostátnímu úřadu pro ochranu osobních údajů, pokud obdrží údajně protiprávní nebo podezřelou žádost o osobní údaje, a to přímo prostřednictvím evropské peněženky digitální identity.

(14)

Členské státy by měly do evropské peněženky digitální identity začlenit různé technologie na ochranu soukromí, jako je důkaz s nulovou znalostí. Tyto kryptografické metody by měly spoléhající se straně umožnit ověřit, zda je dané tvrzení založené na osobních identifikačních údajích a potvrzení atributů pravdivé, a to aniž by byly odhaleny jakékoliv údaje, na nichž je uvedené prohlášení založeno, čímž je chráněno soukromí uživatele.

(15)

Toto nařízení stanoví harmonizované podmínky pro vytvoření rámce pro evropské peněženky digitální identity poskytované členskými státy. Všichni občané Unie a rezidenti v Unii ve smyslu vnitrostátních právních předpisů by měli mít možnost bezpečně požadovat, vybírat, kombinovat, uchovávat, mazat, sdílet a předkládat údaje týkající se jejich identity a požádat o vymazání svých osobních údajů, a to uživatelsky přívětivým a pohodlným způsobem, pod výhradní kontrolou uživatele, přičemž by mělo být umožněno výběrové zpřístupňování osobních údajů. Toto nařízení odráží sdílené evropské hodnoty a respektuje základní práva, právní záruky a odpovědnost, a chrání tak demokratickou společnost, občany Unie a rezidenty v Unii. Technologie používané k dosažení těchto cílů by měly být vyvinuty tak, aby bylo dosaženo nejvyšší úrovně bezpečnosti, soukromí, uživatelské přívětivosti, přístupnosti, široké použitelnosti a bezproblémové interoperability. Členské státy by měly všem svým občanům a rezidentům zajistit rovný přístup k elektronické identifikaci. Členské státy by neměly přímo ani nepřímo omezovat přístup k veřejným nebo soukromým službám fyzickým či právnickým osobám, které se rozhodly evropskou peněženku digitální identity nepoužívat, a měly by zpřístupnit vhodná alternativní řešení.

(16)

Členské státy by měly využít možností nabízených tímto nařízením k tomu, aby na svou odpovědnost poskytovaly evropské peněženky digitální identity pro použití fyzickými a právnickými osobami s bydlištěm na jejich území. S cílem poskytnout členským státům flexibilitu a využít špičkových technologií by toto nařízení mělo umožnit poskytování evropských peněženek digitální identity přímo členským státem, na základě pověření členského státu nebo nezávisle na členském státě, avšak uznané tímto členským státem.

(17)

Pro účely registrace by spoléhající se strany měly poskytnout informace nezbytné k jejich elektronické identifikaci a autentizaci pro účely evropské peněženky digitální identity. Při prohlášení o zamýšleném použití evropské peněženky digitální identity by spoléhající se strany měly poskytnout informace o údajích, které budou případně požadovat za účelem poskytování svých služeb, a o důvodech žádosti. Registrace spoléhající se strany usnadňuje členským státům ověřování souladu činností spoléhajících se stran s právem Unie. Povinností registrace stanovenou v tomto nařízení by neměly být dotčeny povinnosti stanovené v jiných unijních nebo vnitrostátních právních předpisech, jako jsou informace, které mají být poskytnuty subjektům údajů podle nařízení (EU) 2016/679. Spoléhající se strany by měly dodržovat záruky stanovené v článcích 35 a 36 uvedeného nařízení, zejména prováděním posouzení vlivu na ochranu údajů a tím, že před zpracováním údajů konzultují příslušné úřady pro ochranu osobních údajů, pokud z posouzení dopadu na ochranu údajů vyplyne, že by zpracování vedlo k vysokému riziku. Tyto záruky by měly podporovat zákonné zpracování osobních údajů spoléhajícími se stranami, zejména pokud jde o zvláštní kategorie údajů, jako jsou údaje o zdravotním stavu. Registrace spoléhajících se stran má zvýšit transparentnost a důvěru, pokud jde o používání evropských peněženek digitální identity. Registrace by měla být nákladově efektivní a přiměřená souvisejícím rizikům, aby se zajistilo přijetí ze strany poskytovatelů služeb. V této souvislosti by registrace měla umožňovat používání automatizovaných postupů, včetně spoléhání se na stávající rejstříky ze strany členských států a jejich využívání těmito členskými státy, a neměl by se uplatňovat postup předběžného povolení. Proces registrace by měl umožňovat různé případy použití, které se mohou lišit co do provozního režimu – on-line/off-line – nebo požadavku na autentizaci zařízení pro účely interakce s evropskou peněženkou digitální identity. Registrace by se měla vztahovat výhradně na spoléhající se strany poskytující služby prostřednictvím digitální interakce.

(18)

Ochrana občanů Unie a rezidentů v Unii před neoprávněným nebo podvodným používáním evropských peněženek digitální identity má velký význam pro zajištění důvěry v evropské peněženky digitální identity a jejich široké využívání. Uživatelům by měla být proti zneužití poskytnuta účinná ochrana. Zejména pokud vnitrostátní justiční orgán zjistí v rámci jiného postupu skutečnosti, které zakládají skutkovou podstatu podvodného nebo jinak nezákonného použití evropské peněženky digitální identity, měly by orgány dohledu, které jsou odpovědné za vydavatele evropské peněženky digitální identity, po oznámení přijmout nezbytná opatření k zajištění toho, aby registrace spoléhající se strany a začlenění spoléhajících se stran do mechanismu autentizace byly zrušeny nebo pozastaveny, dokud oznamující orgán nepotvrdí, že zjištěné nesrovnalosti byly napraveny.

(19)

Všechny evropské peněženky digitální identity by měly uživatelům umožnit jejich přeshraniční elektronickou identifikaci a autentizaci on-line a v off-line režimu, aby měli přístup k široké škále veřejných a soukromých služeb. Aniž jsou dotčeny výsady členských států s ohledem na identifikaci jejich občanů a rezidentů, mohou evropské peněženky digitální identity rovněž sloužit institucionálním potřebám orgánů veřejné správy, mezinárodních organizací a orgánů, institucí a jiných subjektů Unie. Autentizace v off-line režimu má význam v mnoha odvětvích, včetně zdravotnictví, kde jsou služby často poskytovány prostřednictvím osobního kontaktu a při ověřování pravosti elektronických předpisů by mělo být možné využívat QR kódy nebo podobné technologie. Evropské peněženky digitální identity, které se v rámci systému elektronické identifikace spoléhají na vysokou úroveň záruky, by měly využít potenciálu, který nabízejí řešení odolná proti neoprávněné manipulaci, jako jsou bezpečnostní prvky, aby byly v souladu s bezpečnostními požadavky podle tohoto nařízení. Evropské peněženky digitální identity by rovněž měly uživatelům umožnit vytvářet a používat kvalifikované elektronické podpisy a pečetě, které jsou přijímány v celé Unii. Jakmile se fyzické osoby zapojí do používání evropské peněženky digitální identity, měly by mít možnost ji standardně a bezplatně používat k podpisu kvalifikovaným elektronickým podpisem, a to bez nutnosti absolvovat další administrativní postupy. Uživatelé by měli mít možnost podepisovat nebo pečetit vlastní prohlášení nebo atributy. V zájmu zjednodušení a snížení nákladů pro osoby a podniky v celé Unii, mimo jiné umožněním pravomocí k zastupování a elektronických mandátů, by členské státy měly poskytovat evropské peněženky digitální identity založené na společných normách a technických specifikacích s cílem zajistit bezproblémovou interoperabilitu a přiměřené zvýšení bezpečnosti IT a posílit odolnost proti kybernetickým útokům, a tím výrazně snížit potenciální rizika probíhající digitalizace pro občany Unie, rezidenty v Unii a podniky. Pouze příslušné orgány členských států mohou při zjišťování totožnosti osoby poskytnout vysokou úroveň spolehlivosti, a tedy poskytnout záruku, že osoba, která uvádí nebo uplatňuje určitou totožnost, je skutečně osobou, kterou tvrdí, že je. Při poskytování evropských peněženek digitální identity je proto nutné spoléhat na právní identitu občanů Unie, rezidentů v Unii nebo právnických osob. Spoléhání se na právní identitu by nemělo uživatelům evropské peněženky digitální identity bránit v přístupu ke službám prostřednictvím pseudonymů, pokud nebyl pro účely autentizace stanoven právní požadavek uvádět právní identitu. Důvěra v evropské peněženky digitální identity by se posílila, kdyby vydávající strany a správci byli povinni zavést vhodná technická a organizační opatření k zajištění nejvyšší úrovně bezpečnosti odpovídající rizikům, která představují pro práva a svobody fyzických osob, v souladu s nařízením (EU) 2016/679.

(20)

Používání kvalifikovaného elektronického podpisu pro neprofesionální účely by mělo být pro všechny fyzické osoby bezplatné. Členské státy by měly mít možnost stanovit opatření, která zabrání bezplatnému používání kvalifikovaných elektronických podpisů fyzickými osobami k profesionálním účelům, a zároveň zajistit, aby veškerá taková opatření byla přiměřená zjištěným rizikům a byla odůvodněná.

(21)

Je prospěšné usnadnit zavádění a využívání evropských peněženek digitální identity tím, že se bezproblémově integrují do ekosystému veřejných a soukromých digitálních služeb, které jsou na vnitrostátní, místní nebo regionální úrovni již zavedeny. Za tímto účelem by členské státy měly mít možnost stanovit právní a organizační opatření s cílem zvýšit flexibilitu pro poskytovatele evropských peněženek digitální identity a umožnit dodatečné funkce evropských peněženek digitální identity nad rámec funkcí stanovených v tomto nařízení, mimo jiné zvýšením interoperability se stávajícími vnitrostátními prostředky pro elektronickou identifikaci. Tyto dodatečné funkce by však neměly být na úkor zajišťování hlavních funkcí evropských peněženek digitální identity stanovených v tomto nařízení, ani by neměly vést k upřednostňování stávajících vnitrostátních řešení před evropskou peněženkou digitální identity. Vzhledem k tomu, že tyto dodatečné funkce přesahují rámec tohoto nařízení, nevztahují se na ně ustanovení o přeshraničním spoléhání se na evropské peněženky digitální identity stanovená v tomto nařízení.

(22)

Evropské peněženky digitální identity by měly obsahovat funkci pro generování pseudonymů, zvolených a spravovaných uživatelem, pro účely autentizace při přístupu k on-line službám.

(23)

V zájmu dosažení vysoké úrovně bezpečnosti a důvěryhodnosti stanoví toto nařízení požadavky na evropské peněženky digitální identity. Soulad evropských peněženek digitální identity s těmito požadavky by měl být certifikován akreditovanými subjekty posuzování shody, jež určí členské státy.

(24)

Aby se zabránilo rozdílným přístupům a harmonizovalo se provádění požadavků stanovených tímto nařízením, měla by Komise za účelem certifikace evropských peněženek digitální identity přijmout prováděcí akty, kterými stanoví seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely vyjádření podrobných technických specifikací těchto požadavků. Pokud se na certifikaci shody evropských peněženek digitální identity s příslušnými požadavky na kybernetickou bezpečnost nevztahují stávající schémata certifikace kybernetické bezpečnosti, na něž se odkazuje v tomto nařízení, a pokud jde o jiné požadavky než požadavky na kybernetickou bezpečnost týkající se evropských peněženek digitální identity, členské státy by měly zavést vnitrostátní schémata certifikace podle harmonizovaných požadavků stanovených v tomto nařízení a přijatých podle tohoto nařízení. Členské státy by měly předat návrhy svých vnitrostátních schémat certifikace skupině pro evropskou spolupráci v oblasti digitální identity, která by měla mít možnost vydávat stanoviska a doporučení.

(25)

Certifikace shody s požadavky na kybernetickou bezpečnost stanovenými v tomto nařízení by se měla opírat o – jsou-li k dispozici – příslušná evropská schémata certifikace kybernetické bezpečnosti zavedená podle nařízení Evropského parlamentu a Rady (EU) 2019/881 (10), kterým se zřizuje dobrovolný evropský rámec pro certifikaci kybernetické bezpečnosti produktů, procesů a služeb IKT.

(26)

Aby bylo možné průběžně posuzovat a zmírňovat rizika spojená s bezpečností, měly by být certifikované evropské peněženky digitální identity podrobovány pravidelným posouzením zranitelnosti, jejichž cílem je odhalit veškerá zranitelná místa v komponentech evropské peněženky digitální identity souvisejících s certifikovaným produktem, procesem či službou.

(27)

Základní požadavky na kybernetickou bezpečnost stanovené v tomto nařízení chrání uživatele a podniky před kybernetickými bezpečnostními riziky, a přispívají tak rovněž ke zvýšení ochrany osobních údajů a soukromí jednotlivců. Měly by být zváženy možnosti synergie v oblasti normalizace i certifikace týkající se aspektů kybernetické bezpečnosti, a to prostřednictvím spolupráce mezi Komisí, evropskými normalizačními organizacemi, Agenturou Evropské unie pro kybernetickou bezpečnost (ENISA), Evropským sborem pro ochranu osobních údajů zřízeným nařízením (EU) 2016/679 a vnitrostátními úřady pro ochranu osobních údajů.

(28)

Zapojení občanů Unie a rezidentů v Unii do používání evropské peněženky digitální identity (tzv. onboarding) by mělo být usnadněno využitím prostředků pro elektronickou identifikaci vydaných s vysokou úrovní záruky. Prostředky pro elektronickou identifikaci vydané se značnou úrovní záruky by se měly používat pouze tehdy, když harmonizované technické specifikace a postupy používající prostředky pro elektronickou identifikaci vydané se značnou úrovní záruky v kombinaci s doplňkovými prostředky pro ověřování totožnosti umožní splnit požadavky stanovené v tomto nařízení, pokud jde o vysokou úroveň záruky. Tyto doplňkové prostředky by měly být spolehlivé a snadno použitelné, přičemž by mohly být založeny na možnosti používat postupy vzdáleného zapojení do používání, kvalifikované certifikáty kvalifikovaných elektronických podpisů, kvalifikované elektronické potvrzení atributů nebo jejich kombinaci. K zajištění dostatečného rozšíření evropských peněženek digitální identity by měly být v prováděcích aktech stanoveny harmonizované technické specifikace a postupy pro zapojení uživatelů do používání peněženky pomocí prostředků pro elektronickou identifikaci, a to včetně těch, které jsou vydávány se značnou úrovní záruky.

(29)

Cílem tohoto nařízení je poskytnout uživateli plně mobilní, bezpečnou a uživatelsky přívětivou evropskou peněženku digitální identity. Jako přechodné opatření do doby, než budou k dispozici certifikovaná řešení odolná proti neoprávněné manipulaci, jako jsou bezpečnostní prvky v zařízeních uživatelů, by evropské peněženky digitální identity měly mít možnost se spoléhat na certifikované externí bezpečnostní prvky pro ochranu kryptografického materiálu a jiných citlivých dat nebo na oznámené prostředky pro elektronickou identifikaci s vysokou úrovní záruky s cílem prokázat soulad s příslušnými požadavky tohoto nařízení, pokud jde o úroveň záruky evropské peněženky digitální identity. Tímto nařízením by neměly být dotčeny vnitrostátní podmínky, pokud jde o vydávání a používání certifikovaného externího bezpečnostního prvku v případě, že se o něj toto přechodné opatření opírá.

(30)

Evropské peněženky digitální identity by měly zajišťovat nejvyšší úroveň ochrany údajů a zabezpečení pro účely elektronické identifikace a autentizace s cílem usnadnit přístup k veřejným a soukromým službám bez ohledu na to, zda jsou tyto údaje uchovávány lokálně, nebo v rámci řešení založených na cloudu, a to při náležitém zohlednění různých úrovní rizika.

(31)

Evropské peněženky digitální identity by měly být bezpečné již od fáze návrhu a měly by zavést pokročilé bezpečnostní prvky na ochranu před krádeží identity, krádeží dat, odepřením služby a jakoukoli jinou kybernetickou hrozbou. Součástí tohoto zabezpečení by měly být nejmodernější metody šifrování a ukládání, které jsou přístupné pouze uživateli a dešifrovatelné pouze jím, a využívají šifrované komunikace mezi koncovými body s jinými evropskými peněženkami digitální identity a spoléhajícími se stranami. Kromě toho by evropské peněženky digitální identity měly u operací, které jsou jejich prostřednictvím prováděny, vyžadovat bezpečné, výslovné a aktivní potvrzení ze strany uživatelů.

(32)

Bezplatné používání evropských peněženek digitální identity by nemělo vést ke zpracování údajů nad rámec toho, co je nezbytné pro poskytování služeb evropské peněženky digitální identity. Toto nařízení by nemělo umožňovat zpracování osobních údajů, které jsou v evropské peněžence digitální identity uložené či jsou výsledkem jejího používání, poskytovatelem evropské peněženky digitální identity pro jiné účely než pro poskytování služeb evropské peněženky digitální identity. V zájmu zajištění soukromí by poskytovatelé evropské peněženky digitální identity měli zajistit tzv. nepozorovatelnost tím, že nebudou shromažďovat údaje a nebudou mít žádný náhled do transakcí uživatelů evropské peněženky digitální identity. Taková nepozorovatelnost znamená, že poskytovatelé nejsou schopni vidět podrobnosti transakcí prováděných uživatelem. Avšak ve zvláštních případech, kdy je udělen předchozí výslovný souhlas uživatele pro každý z těchto konkrétních případů, a v plném souladu s nařízením (EU) 2016/679 by poskytovatelům evropských peněženek digitální identity mohl být udělen přístup k informacím nezbytným pro poskytování konkrétní služby související s evropskými peněženkami digitální identity.

(33)

Transparentnost evropských peněženek digitální identity a odpovědnost jejich poskytovatelů jsou klíčovými prvky potřebnými pro vytvoření společenské důvěry a podmínek příznivých pro akceptování rámce. Fungování evropských peněženek digitální identity by tedy mělo být transparentní a mělo by zejména umožňovat ověřitelné zpracování osobních údajů. Za tímto účelem by členské státy měly zveřejňovat zdrojový kód komponent uživatelského aplikačního softwaru evropských peněženek digitální identity, včetně těch, které souvisejí se zpracováním osobních údajů a údajů právnických osob. Zveřejnění tohoto zdrojového kódu na základě licence otevřeného zdrojového kódu by mělo společnosti, včetně uživatelů a vývojářů, umožnit pochopit jeho fungování a provádět jeho kontrolu a přezkum. Zvýšilo by to důvěru uživatelů v daný ekosystém a bezpečnost evropských peněženek digitální identity tím, že na slabá místa a chyby ve zdrojovém kódu by mohl upozorňovat každý uživatel. Celkově by to měl být pro dodavatele impuls k tomu, aby nabízeli vysoce bezpečný výrobek a jeho bezpečnost udržovali. V některých řádně odůvodněných případech by však zveřejnění zdrojového kódu používaných knihoven, komunikačních kanálů nebo jiných prvků, které nejsou umístěny na uživatelském zařízení, mohly členské státy omezit, zejména z důvodu veřejné bezpečnosti.

(34)

Používání evropských peněženek digitální identity, jakož i ukončení jejich používání by mělo být výhradním právem a volbou uživatelů. Členské státy by měly vytvořit jednoduché a bezpečné postupy, které uživatelům umožní požádat o okamžité zrušení platnosti evropské peněženky digitální identity, a to i v případě ztráty nebo odcizení. V případě úmrtí uživatele nebo ukončení činnosti právnické osoby by měl být vytvořen mechanismus, který orgánu odpovědnému za vypořádání dědictví fyzické osoby nebo majetku právnické osoby umožní požádat o okamžité zrušení evropské peněženky digitální identity.

(35)

V zájmu podpory zavádění evropských peněženek digitální identity a širšího využívání digitálních identit by členské státy měly nejen propagovat přínosy příslušných služeb, ale také by měly ve spolupráci se soukromým sektorem, výzkumnými pracovníky a akademickou obcí vypracovat vzdělávací programy zaměřené na posílení digitálních dovedností svých občanů a rezidentů, zejména pro zranitelné skupiny, jako jsou osoby se zdravotním postižením a starší osoby. Členské státy by prostřednictvím komunikačních kampaní měly zvyšovat povědomí o přínosech a rizicích evropských peněženek digitální identity.

(36)

Aby se zajistilo, že evropský rámec pro digitální identitu bude otevřen inovacím a technologickému rozvoji a obstojí v budoucnosti, jsou členské státy vybízeny k tomu, aby společně zřizovaly zkušební prostředí (tzv. „sandboxy“ čili pískoviště) pro testování inovativních řešení v kontrolovaném a bezpečném prostředí, zejména za účelem zlepšení funkčnosti, ochrany osobních údajů, bezpečnosti a interoperability řešení a vytvářely podklady pro budoucí aktualizace týkající se technických odkazů a právních požadavků. Toto prostředí by mělo podporovat začlenění malých a středních podniků, start-upů a samostatných inovátorů a výzkumných pracovníků, jakož i aktérů z relevantních průmyslových odvětví. Tyto iniciativy by měly přispívat k dodržování právních předpisů a k technické odolnosti evropských peněženek digitální identity, jež mají být poskytovány občanům Unie a rezidentům v Unii, a tento soulad s předpisy a technickou odolnost posilovat, což zamezí vývoji řešení, která nejsou v souladu s právem Unie v oblasti ochrany údajů nebo která jsou z bezpečnostního hlediska zranitelná.

(37)

Nařízením Evropského parlamentu a Rady (EU) 2019/1157 (11) se od srpna 2021 posiluje zabezpečení průkazů totožnosti prostřednictvím posílených bezpečnostních prvků. Členské státy by měly zvážit proveditelnost jejich oznamování v rámci systémů elektronické identifikace s cílem rozšířit přeshraniční dostupnost prostředků pro elektronickou identifikaci.

(38)

Postup oznamování systémů elektronické identifikace by měl být zjednodušen a urychlen s cílem podpořit přístup k pohodlným, důvěryhodným, bezpečným a inovativním řešením v oblasti autentizace a identifikace a případně vyzývat soukromé poskytovatele identity, aby orgánům členského státu nabízeli systémy elektronické identifikace k oznamování jako vnitrostátní systémy elektronické identifikace podle nařízení (EU) č. 910/2014.

(39)

Zjednodušení stávajících postupů oznamování a vzájemného hodnocení zabrání uplatňování nejednotných přístupů k posuzování různých oznámených systémů elektronické identifikace a usnadní budování důvěry mezi členskými státy. Nové, zjednodušené mechanismy mají podporovat spolupráci členských států v oblasti bezpečnosti a interoperability jejich oznámených systémů elektronické identifikace.

(40)

Členské státy by měly k zajištění souladu s požadavky tohoto nařízení a příslušných prováděcích aktů přijatých na jeho základě využívat nových a pružných nástrojů. Toto nařízení by mělo členským státům umožnit používat zprávy a posouzení vypracovaná akreditovanými subjekty posuzování shody, jak je stanoveno v kontextu schémat certifikace, které mají být zavedeny na úrovni Unie podle nařízení (EU) 2019/881, na podporu jejich tvrzení o souladu schémat nebo jejich částí s nařízením (EU) č. 910/2014.

(41)

Poskytovatelé veřejných služeb používají osobní identifikační údaje dostupné z prostředků pro elektronickou identifikaci podle nařízení (EU) č. 910/2014, aby elektronickou identitu uživatelů z jiného členského státu spárovali s osobními identifikačními údaji poskytnutými těmto uživatelům v členském státě, který provádí postup přeshraničního párování totožnosti. V řadě případů jsou však navzdory použití minimálního souboru údajů poskytnutého v rámci oznámených systémů elektronické identifikace k zajištění přesného spárování totožnosti v případě, že členské státy jednají jako spoléhající se strany, nezbytné dodatečné informace o uživateli a na vnitrostátní úrovni je třeba provést specifické doplňkové postupy jednoznačné identifikace. S cílem intenzivněji podporovat použitelnost prostředků pro elektronickou identifikaci, poskytovat lepší veřejné on-line služby a zvýšit právní jistotu v souvislosti s elektronickou identitou uživatelů by nařízení (EU) č. 910/2014 mělo vyžadovat, aby členské státy přijaly zvláštní on-line opatření k zajištění jednoznačné shody totožnosti v případech, kdy mají uživatelé v úmyslu získat přístup k přeshraničním veřejným on-line službám.

(42)

Při vývoji evropských peněženek digitální identity je nezbytné zohlednit potřeby uživatelů. Měly by být k dispozici smysluplné případy použití a on-line služeb, které využívají evropských peněženek digitální identity. V zájmu pohodlí uživatelů a zajištění přeshraniční dostupnosti těchto služeb je důležité přijmout opatření s cílem usnadnit, aby byl ve všech členských státech přijat podobný přístup k navrhování, vývoji a zavádění on-line služeb. K tomu mohou posloužit nezávazné pokyny, v nichž se doporučuje, jak on-line služby spoléhající se na evropské peněženky digitální identity navrhovat, vyvíjet a zavádět. Tyto pokyny by měly být vypracovány s náležitým ohledem na rámec interoperability Unie. Při jejich přijímání by měly hrát vedoucí úlohu členské státy.

(43)

V souladu se směrnicí Evropského parlamentu a Rady (EU) 2019/882 (12) by osoby se zdravotním postižením měly mít možnost používat evropské peněženky digitální identity, služby vytvářející důvěru a produkty pro koncové uživatele používané při poskytování těchto služeb na stejném základě jako ostatní uživatelé.

(44)

V zájmu zajištění účinného prosazování tohoto nařízení by měla být stanovena minimální výše pro maximální výši správních pokut pro kvalifikované i nekvalifikované poskytovatele služeb vytvářejících důvěru. Členské státy by měly stanovit účinné, přiměřené a odrazující sankce. Při stanovování sankcí by měla být náležitě zohledněna velikost dotčených subjektů, jejich obchodní modely a závažnost porušení předpisů.

(45)

Členské státy by měly stanovit pravidla pro sankce za porušení předpisů, jako jsou přímé nebo nepřímé praktiky vedoucí k záměně nekvalifikovaných a kvalifikovaných služeb vytvářejících důvěru nebo ke zneužívání značky důvěry EU nekvalifikovanými poskytovateli služeb vytvářejících důvěru. Značka důvěry EU by se neměla používat za podmínek, které přímo či nepřímo vytvářejí dojem, že veškeré nekvalifikované služby vytvářející důvěru nabízené těmito poskytovateli jsou kvalifikované.

(46)

Toto nařízení by se nemělo vztahovat na aspekty související s uzavíráním a platností smluv nebo jiných právních povinností, pokud existují požadavky na formu stanovené právem Unie nebo vnitrostátním právem. Neměly by jím být dotčeny ani vnitrostátní požadavky na formu týkající se veřejných rejstříků, zejména obchodních rejstříků a katastrů nemovitostí.

(47)

Poskytování a využívání služeb vytvářejících důvěru a výhody z hlediska pohodlného používání a právní jistoty v kontextu přeshraničních transakcí, zejména při používání kvalifikovaných služeb vytvářejících důvěru, mají stále větší význam pro mezinárodní obchod a spolupráci. Mezinárodní partneři Unie vytvářejí důvěryhodné rámce inspirované nařízením (EU) č. 910/2014. S cílem usnadnit uznávání kvalifikovaných služeb vytvářejících důvěru a jejich poskytovatelů může Komise přijmout prováděcí akty, jimiž stanoví podmínky, za nichž by mohly být důvěryhodné rámce třetích zemí považovány za rovnocenné s důvěryhodným rámcem pro kvalifikované služby vytvářející důvěru a jejich poskytovatele v tomto nařízení. Tento přístup by měl doplňovat možnost vzájemného uznávání služeb vytvářejících důvěru a jejich poskytovatelů usazených v Unii a ve třetích zemích v souladu s článkem 218 Smlouvy o fungování Evropské unie (dále jen „Smlouva o fungování EU“). Při stanovování podmínek, za nichž by mohly být důvěryhodné rámce třetích zemí považovány za rovnocenné s důvěryhodným rámcem pro kvalifikované služby vytvářející důvěru a jejich poskytovatele podle nařízení (EU) č. 910/2014, by měl být rovněž zajištěn soulad s příslušnými ustanoveními směrnice Evropského parlamentu a Rady (EU) 2022/2555 (13) a nařízení (EU) 2016/679, jakož i používání důvěryhodných seznamů jako základních prvků pro budování důvěry.

(48)

Toto nařízení by mělo podporovat možnost volby a možnost přechodu mezi evropskými peněženkami digitální identity, pokud členský stát na svém území schválil více než jedno řešení evropské peněženky digitální identity. Aby se v takových situacích zamezilo efektu závislosti na určitém poskytovateli, měli by poskytovatelé evropských peněženek digitální identity v případě, že je to technicky proveditelné, na žádost uživatelů evropských peněženek digitální identity zajistit účinnou přenositelnost údajů a neměli by mít možnost používat smluvní, ekonomické nebo technické překážky, které by bránily účinnému přechodu mezi jednotlivými evropskými peněženkami digitální identity nebo od něj odrazovaly.

(49)

Aby bylo zajištěno řádné fungování evropských peněženek digitální identity, potřebují poskytovatelé evropských peněženek digitální identity účinnou interoperabilitu a spravedlivé, přiměřené a nediskriminační podmínky pro přístup těchto peněženek ke specifickým hardwarovým a softwarovým prvkům mobilních zařízení. Tyto komponenty by mohly zahrnovat zejména antény s technologií pro blízkou komunikaci (NFC) a bezpečnostní prvky (včetně univerzálních karet s integrovaným obvodem, zabudovaných bezpečnostních prvků, karet Micro SD a funkce Bluetooth Low Energy). Kontrolu nad přístupem k těmto komponentám by mohli mít operátoři mobilních sítí a výrobci zařízení. Výrobci původního vybavení mobilních zařízení nebo poskytovatelé služeb elektronických komunikací by tedy neměli odmítat přístup k těmto komponentám, jestliže je nezbytný k poskytování služeb evropských peněženek digitální identity. Na podniky, které byly určeny jako strážci přístupu pro hlavní služby platforem uvedené na seznamu Komise podle nařízení Evropského parlamentu a Rady (EU) 2022/1925 (14), by se navíc i nadále měla vztahovat zvláštní ustanovení uvedeného nařízení na základě jeho čl. 6 odst. 7.

(50)

S cílem zefektivnit povinnosti v oblasti kybernetické bezpečnosti uložené poskytovatelům služeb vytvářejících důvěru a umožnit těmto poskytovatelům a jejich příslušným orgánům využívat právní rámec stanovený směrnicí (EU) 2022/2555 jsou služby vytvářející důvěru povinny přijmout vhodná technická a organizační opatření podle uvedené směrnice, jako jsou opatření zaměřená na selhání systémů, chyby způsobené lidským faktorem, svévolné zásahy nebo přírodní jevy, za účelem řízení rizik pro bezpečnost sítí a informačních systémů, které tito poskytovatelé používají při poskytování svých služeb, jakož i oznamování významných incidentů a kybernetických hrozeb v souladu s uvedenou směrnicí. Pokud jde o oznamování incidentů, poskytovatelé služeb vytvářejících důvěru by měli hlásit veškeré incidenty, které mají na poskytování jejich služeb významný dopad, včetně těch, které byly způsobeny krádeží nebo ztrátou zařízení, poškozením síťového kabelu, nebo incidentů, k nimž dochází v souvislosti s identifikací osob. Požadavky na řízení kybernetických bezpečnostních rizik a oznamovací povinnosti podle směrnice (EU) 2022/2555 by měly být považovány za doplňkové k požadavkům uloženým poskytovatelům služeb vytvářejících důvěru podle tohoto nařízení. V případě potřeby by příslušné orgány určené podle směrnice (EU) 2022/2555 měly nadále uplatňovat zavedené vnitrostátní postupy nebo pokyny týkající se provádění požadavků na bezpečnost a oznamování a dohledu nad dodržováním těchto požadavků podle nařízení (EU) č. 910/2014. Tímto nařízením není dotčena povinnost oznamovat porušení zabezpečení osobních údajů podle nařízení (EU) 2016/679.

(51)

Je třeba věnovat náležitou pozornost zajištění účinné spolupráce mezi orgány dohledu určenými podle článku 46b nařízení (EU) č. 910/2014 a příslušnými orgány určenými nebo zřízenými podle čl. 8 odst. 1 směrnice (EU) 2022/2555. V případech, kdy se tento orgán dohledu liší od příslušného orgánu, měly by úzce a včas spolupracovat formou výměny příslušných informací s cílem zajistit účinný dohled nad poskytovateli služeb vytvářejících důvěru a dodržování požadavků stanovených v nařízení (EU) č. 910/2014 a ve směrnici (EU) 2022/2555 ze strany těchto poskytovatelů. Zejména orgány dohledu určené podle nařízení (EU) č. 910/2014 by měly být oprávněny požádat příslušné orgány určené nebo zřízené podle směrnice (EU) 2022/2555 o poskytnutí příslušných informací potřebných k udělení kvalifikovaného statusu a k provádění opatření dohledu s cílem ověřit, zda poskytovatelé služeb vytvářejících důvěru splňují příslušné požadavky podle směrnice (EU) 2022/2555, nebo po nich požadovat nápravu v případě, že je nesplňují.

(52)

Je nezbytné stanovit právní rámec, který usnadní přeshraniční uznávání služeb elektronického doporučeného doručování mezi stávajícími vnitrostátními právními systémy. Tento rámec by mohl rovněž přinést nové tržní příležitosti pro poskytovatele služeb vytvářejících důvěru z Unie, kteří tak budou moci nabízet nové služby elektronického doporučeného doručování na celém území Unie. Aby bylo zajištěno, že jsou data při použití kvalifikované služby elektronického doporučeného doručování doručeny správnému adresátovi, měly by kvalifikované služby elektronického doporučeného doručování zajistit s úplnou jistotou identifikaci adresáta, přičemž pokud jde o identifikaci odesílatele, postačovala by vysoká úroveň spolehlivosti. Poskytovatelé kvalifikovaných služeb elektronického doporučeného doručování by měli být členskými státy vybízeni k tomu, aby u svých služeb zajistili interoperabilitu s kvalifikovanými službami elektronického doporučeného doručování poskytovanými jinými kvalifikovanými poskytovateli služeb vytvářejících důvěru s cílem zajistit snadné přenesení dat elektronického doporučeného doručování mezi dvěma nebo více kvalifikovanými poskytovateli služeb vytvářejících důvěru a prosazovat spravedlivé postupy na vnitřním trhu.

(53)

Ve většině případů si občané Unie a rezidenti v Unii nemohou přeshraničně a současně bezpečně s vysokou úrovní ochrany údajů vyměňovat v digitální podobě informace týkající se jejich totožnosti, jako jsou jejich adresy, věk a odborné kvalifikace, řidičské průkazy, jiná povolení a platební údaje.

(54)

Mělo by být možné vydávat a zpracovávat důvěryhodné elektronické atributy a přispívat ke snižování administrativní zátěže, což by občany Unie a rezidenty v Unii motivovalo využívat je při svých soukromých a veřejných transakcích. Občané Unie a ostatní rezidenti v Unii by například měli mít možnost prokázat vlastnictví platného řidičského průkazu vydaného orgánem v jednom členském státě, který může být ověřen příslušnými orgány v jiných členských státech a na nějž se tyto orgány mohou spolehnout, a využívat v přeshraničním kontextu své doklady týkající se sociálního zabezpečení nebo budoucí digitální cestovní doklady.

(55)

Každý poskytovatel služeb, který vydává potvrzené atributy v elektronické podobě, jako jsou diplomy, licence, rodné listy nebo plné moci a pověření k zastupování fyzických nebo právnických osob či k jednání jejich jménem, by měl být považován za poskytovatele služeb vytvářejících důvěru vydávajícího elektronické potvrzení atributů. Elektronickému potvrzení atributů by neměly být upírány právní účinky proto, že má elektronickou podobu nebo že nesplňuje požadavky na kvalifikované elektronické potvrzení atributů. Měly by být stanoveny obecné požadavky, které zajistí, aby kvalifikované elektronické potvrzení atributů mělo rovnocenný právní účinek jako potvrzení v listinné podobě vydaná v souladu s právními předpisy. Tyto požadavky by se však měly uplatňovat, aniž jsou dotčeny právní předpisy Unie nebo vnitrostátní právní předpisy vymezující dodatečné požadavky pro konkrétní odvětví, co se týče formy se základními právními účinky, a zejména případné přeshraniční uznávání kvalifikovaného elektronického potvrzení atributů.

(56)

Široká dostupnost a použitelnost evropských peněženek digitální identity by měla posílit jejich přijetí a důvěru v ně ze strany soukromých osob i soukromých poskytovatelů služeb. Soukromé spoléhající se strany poskytující služby například v oblasti dopravy, energetiky, bankovnictví, finančních služeb, sociálního zabezpečení, zdravotnictví, pitné vody, poštovních služeb, digitální infrastruktury, telekomunikací nebo vzdělávání by proto měly akceptovat používání evropských peněženek digitální identity za účelem poskytování služeb, u nichž se na základě unijních nebo vnitrostátních právních předpisů či smluvního závazku vyžaduje silná autentizace uživatele k identifikaci on-line. Jakákoli žádost spoléhající se strany o informace od uživatele evropské peněženky digitální identity by měla být nezbytná pro zamýšlené použití v daném případě a tomuto použití přiměřená, měla by být v souladu se zásadou minimalizace údajů a měla by zajistit transparentnost, pokud jde o druh sdílených údajů a účel jejich sdílení. V zájmu snazšího používání a přijímání evropských peněženek digitální identity by měly být při jejich zavádění zohledněny obecně uznávané odvětvové normy a specifikace.

(57)

V případech, kdy velmi velké on-line platformy ve smyslu čl. 33 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2022/2065 (15) vyžadují od uživatelů za účelem přístupu k on-line službám autentizaci, by tyto platformy měly mít povinnost akceptovat použití evropské peněženky digitální identity na dobrovolnou žádost uživatele. Uživatelé by neměli mít povinnost používat evropskou peněženku digitální identity k přístupu k soukromým službám a neměli by být omezováni v přístupu ke službám ani by jim nemělo být v tomto přístupu bráněno z důvodu, že evropskou peněženku digitální identity nepoužívají. Avšak pokud si to uživatelé přejí, měly by velmi velké on-line platformy za tímto účelem evropskou peněženku digitální identity akceptovat, přičemž by měla být dodržena zásada minimalizace údajů a právo uživatelů na použití svobodně zvoleného pseudonymu. Vzhledem k významu velmi velkých on-line platforem a k jejich dosahu, vyjádřenému zejména počtem příjemců služby a ekonomických transakcí, je povinnost akceptovat evropskou peněženku digitální identity nezbytná ke zvýšení ochrany uživatelů před podvody a k zajištění vysoké úrovně ochrany údajů.

(58)

S cílem přispět k široké dostupnosti a použitelnosti prostředků pro elektronickou identifikaci, včetně evropských peněženek digitální identity, které spadají do oblasti působnosti tohoto nařízení, by měly být vypracovány kodexy chování na úrovni Unie. Tyto kodexy chování by měly usnadnit široké přijímání prostředků pro elektronickou identifikaci, včetně evropských peněženek digitální identity, těmi poskytovateli služeb, kteří nejsou kvalifikováni jako velmi velké platformy a kteří pro autentizaci uživatelů využívají služeb elektronické identifikace poskytovaných třetími stranami.

(59)

Koncept výběrového zpřístupňování opravňuje vlastníka údajů zpřístupnit pouze určité části většího souboru údajů, aby přijímající subjekt získal pouze ty informace, které jsou nezbytné pro poskytnutí služby požadované uživatelem. Evropská peněženka digitální identity by měla výběrové zpřístupňování atributů spoléhajícím se stranám technicky umožňovat. Pro uživatele by mělo být technicky možné, aby výběrově zpřístupňoval atributy, a to i z několika odlišných elektronických potvrzení, kombinoval je a bezproblémově předkládal spoléhajícím se stranám. Tento prvek by se měl stát základním koncepčním prvkem evropských peněženek digitální identity, čímž se zvýší uživatelská přívětivost a ochrana osobních údajů, včetně minimalizace údajů.

(60)

Pokud zvláštní pravidla podle práva Unie nebo vnitrostátního práva nevyžadují, aby se uživatelé identifikovali, nemělo by být používání služeb s využitím pseudonymu zakázáno.

(61)

Atributy poskytované kvalifikovanými poskytovateli služeb vytvářejících důvěru jako součást kvalifikovaného potvrzování atributů by měly být ověřovány na základě autentických zdrojů buď přímo kvalifikovaným poskytovatelem služeb vytvářejících důvěru, nebo prostřednictvím určených zprostředkovatelů uznaných na vnitrostátní úrovni v souladu s právem Unie nebo s vnitrostátním právem pro účely bezpečné výměny potvrzených atributů mezi poskytovateli služeb v oblasti identifikace nebo potvrzování atributů a spoléhajícími se stranami. Členské státy by měly na vnitrostátní úrovni zavést vhodné mechanismy k zajištění toho, aby kvalifikovaní poskytovatelé služeb vytvářejících důvěru vydávající kvalifikované elektronické potvrzení atributů mohli na základě souhlasu osoby, jíž je potvrzení vydáváno, ověřit pravost atributů na základě autentických zdrojů. Mělo by být umožněno, aby vhodné mechanismy zahrnovaly využívání konkrétních zprostředkovatelů nebo technických řešení v souladu s vnitrostátním právem, které poskytují přístup k autentickým zdrojům. Zajištění dostupnosti mechanismu, který umožňuje ověřování atributů na základě autentických zdrojů, má za cíl usnadnit, aby kvalifikovaní poskytovatelé služeb vytvářejících důvěru poskytující kvalifikované elektronické potvrzování atributů plnili své povinnosti stanovené nařízením (EU) č. 910/2014. Nová příloha uvedeného nařízení by měla obsahovat seznam kategorií atributů, u nichž mají členské státy zajistit, aby byla přijata opatření, která kvalifikovaným poskytovatelům služeb vytvářejících důvěru poskytujícím elektronická potvrzení atributů umožní na žádost uživatele ověřit elektronickými prostředky jejich pravost ve vztahu k příslušnému autentickému zdroji.

(62)

Díky bezpečné elektronické identifikaci a potvrzování atributů by mělo mít odvětví finančních služeb k dispozici dodatečnou flexibilitu a řešení, jež umožní identifikaci zákazníků a výměnu konkrétních atributů nezbytných ke splnění například požadavků na hloubkovou kontrolu klienta podle budoucího nařízení o zřízení Orgánu pro boj proti praní peněz a požadavků přiměřenosti vyplývajících z právních předpisů na ochranu investorů nebo podpoří plnění požadavků na silnou autentizaci klienta k identifikaci pro účely on-line přihlášení se k účtu a zahájení transakcí v oblasti platebních služeb.

(63)

Právní účinek elektronického podpisu nelze zpochybňovat z důvodu, že je v elektronické podobě nebo že nesplňuje požadavky na kvalifikovaný elektronický podpis. Právní účinek elektronických podpisů však má být vymezen vnitrostátním právem, s výhradou požadavku stanoveného tímto nařízením, aby byl právní účinek kvalifikovaného elektronického podpisu považován za rovnocenný vlastnoručnímu podpisu. Při určování právního účinku elektronických podpisů by členské státy měly zohlednit zásadu proporcionality mezi právním významem písemnosti, která má být podepsána, a úrovní bezpečnosti a nákladů, které elektronický podpis vyžaduje. V zájmu zvýšení dostupnosti a používání elektronických podpisů se členské státy vyzývají, aby zvážily používání zaručených elektronických podpisů v každodenních transakcích, pro něž zajišťují dostatečnou úroveň bezpečnosti a důvěryhodnosti.

(64)

V zájmu zajištění jednotnosti certifikačních postupů v celé Unii by Komise měla vydat pokyny pro certifikaci a opětovnou certifikaci kvalifikovaných prostředků pro vytváření elektronických podpisů a kvalifikovaných prostředků pro vytváření elektronických pečetí, včetně jejich platnosti a časových omezení. Toto nařízení nebrání veřejným ani soukromým subjektům, které kvalifikované prostředky pro vytváření elektronických podpisů již certifikovaly, aby na základě výsledků předchozího certifikačního procesu dočasně provedly opětovnou certifikaci těchto prostředků na krátké certifikační období, pokud tuto opětovnou certifikaci nelze provést v zákonem stanovené lhůtě z jiného důvodu, než je narušení bezpečnosti nebo bezpečnostní incident, a aniž je dotčena povinnost provést posouzení zranitelnosti a aniž je dotčena příslušná certifikační praxe.

(65)

Vydávání certifikátů pro autentizaci internetových stránek poskytuje uživatelům záruku vysoké úrovně spolehlivosti, pokud jde o totožnost subjektu, který stojí za danými stránkami, bez ohledu na to, která platforma se k zobrazení této totožnosti využívá. Tyto certifikáty by měly přispět k budování důvěry v on-line obchodování, neboť uživatelé budou mít spíše důvěru v internetové stránky, které byly autentizovány. Využívání takových certifikátů internetovými stránkami by mělo být dobrovolné. Aby se autentizace internetových stránek stala prostředkem ke zvyšování důvěry, k zajištění lepší uživatelské zkušenosti a k podpoře růstu na vnitřním trhu, stanoví toto nařízení důvěryhodný rámec zahrnující minimální povinnosti v oblasti bezpečnosti a odpovědnosti, jež jsou uloženy poskytovatelům kvalifikovaných certifikátů pro autentizaci internetových stránek, jakož i požadavky na vydávání těchto certifikátů. Vnitrostátní důvěryhodné seznamy by měly potvrdit kvalifikovaný status služeb autentizace internetových stránek a jejich poskytovatelů služeb vytvářejících důvěru, včetně jejich plného souladu s požadavky tohoto nařízení, pokud jde o vydávání kvalifikovaných certifikátů pro autentizaci internetových stránek. Uznáním kvalifikovaných certifikátů pro autentizaci internetových stránek se rozumí, že by poskytovatelé internetových prohlížečů neměli popírat pravost těchto kvalifikovaných certifikátů pouze za účelem potvrzení spojení mezi názvem internetové domény a fyzickou nebo právnickou osobou, jíž je certifikát vydán, nebo potvrzení totožnosti této osoby. Poskytovatelé internetových prohlížečů by měli certifikované údaje o totožnosti a ostatní potvrzené atributy koncovému uživateli zobrazovat v prostředí prohlížeče uživatelsky přívětivým způsobem, a to s využitím technických prostředků dle vlastního výběru. Za tímto účelem by poskytovatelé internetových prohlížečů měli zajistit podporu a interoperabilitu s kvalifikovanými certifikáty pro autentizaci internetových stránek vydanými v plném souladu s tímto nařízením. Povinností uznávání, interoperability a podpory kvalifikovaných certifikátů pro autentizaci internetových stránek není dotčena svoboda poskytovatelů internetových prohlížečů, pokud jde o zajišťování bezpečnosti internetových stránek, autentizaci domén a šifrování internetového provozu, pro něž mohou zvolit způsob a technologie, které považují za nejvhodnější. S cílem přispět k on-line bezpečnosti koncových uživatelů by poskytovatelé internetových prohlížečů měli mít za výjimečných okolností možnost přijmout nezbytná a současně přiměřená předběžná opatření v reakci na odůvodněné obavy týkající se narušení bezpečnosti nebo ztráty integrity identifikovaného certifikátu nebo souboru certifikátů. Pokud poskytovatelé internetových prohlížečů taková předběžná opatření přijmou, měli by bez zbytečného odkladu informovat Komisi a vnitrostátní orgán dohledu a dále subjekt, kterému byl certifikát vydán, a kvalifikovaného poskytovatele služeb vytvářejících důvěru, který tento certifikát nebo soubor certifikátů vydal, o veškerých obavách souvisejících s tímto narušením bezpečnosti nebo s touto ztrátou integrity, jakož i o opatřeních přijatých v souvislosti s jediným certifikátem nebo souborem certifikátů. Těmito opatřeními by neměla být dotčena povinnost poskytovatelů internetových prohlížečů uznávat kvalifikované certifikáty pro autentizaci internetových stránek v souladu s vnitrostátními důvěryhodnými seznamy. Za účelem zvýšení ochrany občanů Unie a rezidentů v Unii a další podpory používání kvalifikovaných certifikátů pro autentizaci internetových stránek by orgány veřejné moci v členských státech měly zvážit jejich začlenění do vlastních internetových stránek. Opatření stanovená tímto nařízením, jejichž cílem je zajistit větší soudržnost mezi rozdílnými přístupy a postupy členských států v oblasti dohledu, mají přispět ke zvýšení důvěry v bezpečnost, kvalitu a dostupnost kvalifikovaných certifikátů pro autentizaci internetových stránek.

(66)

Mnoho členských států zavedlo vnitrostátní požadavky na služby poskytující bezpečnou a důvěryhodnou elektronickou archivaci, aby bylo možné dlouhodobě uchovávat elektronická data a elektronické dokumenty, jakož i na a související služby vytvářející důvěru. V zájmu zajištění právní jistoty, důvěryhodnosti a harmonizace ve všech členských státech by měl být vytvořen právní rámec pro kvalifikované služby elektronické archivace, který by se inspiroval rámcem pro jiné služby vytvářející důvěru stanovené v tomto nařízení. Tento právní rámec pro kvalifikované služby elektronické archivace by měl poskytovatelům služeb vytvářejících důvěru a uživatelům nabídnout účinný soubor nástrojů, který zahrnuje funkční požadavky na službu elektronické archivace, jakož i jasné právní účinky v případě využití kvalifikované služby elektronické archivace. Tato ustanovení by se měla vztahovat elektronická data a elektronické dokumenty, které byly vytvořeny v elektronické podobě, i na listinné dokumenty, které byly naskenovány a digitalizovány. V případě potřeby by tato ustanovení měla umožnit přenos uchovávaných elektronických dat a elektronických dokumentů na různá média nebo jejich převedení do různých formátů za účelem prodloužení jejich trvanlivosti a čitelnosti i po uplynutí doby technologické použitelnosti a zároveň v rámci možností předejít jejich ztrátě a pozměnění. Pokud elektronická data a elektronické dokumenty předložené elektronické archivační službě obsahují jeden nebo více kvalifikovaných elektronických podpisů nebo kvalifikovaných elektronických pečetí, měla by uvedená služba používat postupy a technologie umožňující prodloužení důvěryhodnosti těchto dat na dobu jejich uchovávání, případně s využitím jiných kvalifikovaných služeb vytvářejících důvěru, stanovených tímto nařízením. Za účelem vytváření důkazů o uchovávání v případech, kdy se používají elektronické podpisy, elektronické pečetě nebo elektronická časová razítka, by se měly používat kvalifikované služby vytvářející důvěru. Členské státy by v rozsahu, v jakém služby elektronické archivace tímto nařízením nejsou harmonizovány, měly mít možnost v souladu s právem Unie zachovat nebo zavést vnitrostátní předpisy týkající se těchto služeb, jako jsou zvláštní ustanovení pro služby integrované do organizace a používané výhradně pro interní archivaci v rámci této organizace. Toto nařízení by nemělo rozlišovat mezi elektronickými daty a elektronickými dokumenty, které byly vytvořeny v elektronické podobě, a fyzickými dokumenty, které byly digitalizovány.

(67)

Činnost národních archivů a paměťových institucí je jakožto činnost organizací zabývajících se ochranou dokumentárního dědictví ve veřejném zájmu obvykle regulována vnitrostátním právem a tyto instituce nemusí nutně poskytovat služby vytvářející důvěru ve smyslu tohoto nařízení. Pokud tyto instituce takové služby vytvářející důvěru neposkytují, není jejich fungování tímto nařízením dotčeno.

(68)

Elektronické knihy záznamů představují pořadí elektronických datových záznamů, které zajišťuje jejich integritu a přesnost jejich chronologického řazení. Elektronické knihy záznamů by měly vytvořit chronologickou posloupnost datových záznamů. Ve spojení s dalšími technologiemi by měly přispět k nalezení řešení pro účinnější a transformační veřejné služby, jako jsou elektronické hlasování, přeshraniční spolupráce celních orgánů, přeshraniční spolupráce akademických institucí a zaznamenávání vlastnictví nemovitostí v decentralizovaných katastrech nemovitostí. Kvalifikované elektronické knihy záznamů by měly vytvořit právní předpoklad pro jedinečné a přesné sekvenční chronologické pořadí a integritu datových záznamů v knize záznamů. Vzhledem ke svým specifickým rysům, jako je postupné chronologické řazení datových záznamů, by elektronické knihy záznamů měly být odlišovány od ostatních služeb vytvářejících důvěru, jako jsou elektronická časová razítka a služby elektronického doporučeného doručování. V zájmu zajištění právní jistoty a podpory inovací by měl být zřízen unijní právní rámec, který upravuje přeshraniční uznávání služeb vytvářejících důvěru pro účely zaznamenávání dat do kvalifikovaných elektronických knih záznamů. Mělo by to v dostatečné míře zabránit tomu, aby bylo stejné digitální aktivum zkopírováno a opakovaně prodáno různým stranám. Proces vytváření a aktualizace elektronické knihy záznamů závisí na typu používané knihy záznamů, jmenovitě na tom, zda se jedná o centralizovanou nebo distribuovanou knihu záznamů. Toto nařízení by mělo zajistit technologickou neutralitu, konkrétně by nemělo upřednostňovat ani diskriminovat žádnou technologii používanou k zavedení nové služby vytvářející důvěru pro elektronické knihy záznamů. Kromě toho by Komise měla při přípravě prováděcích aktů upřesňujících požadavky na kvalifikované elektronické knihy záznamů za použití odpovídajících metodik zohlednit ukazatele udržitelnosti týkající se jakýchkoli nepříznivých dopadů na klima nebo jiné nepříznivé dopady související s životním prostředím.

(69)

Úloha poskytovatelů služeb vytvářejících důvěru pro elektronické knihy záznamů by měla spočívat v kontrole postupného zaznamenávání dat do knihy záznamů. Tímto nařízením nejsou dotčeny právní povinnosti uživatelů elektronických knih záznamů stanovené právem Unie nebo vnitrostátním právem. Například případy použití, které zahrnují zpracování osobních údajů, by měly být v souladu s nařízením (EU) 2016/679 a případy použití, které se týkají finančních služeb, by měly být v souladu s příslušnými právními předpisy Unie v oblasti finančních služeb.

(70)

K tomu, aby se zabránilo roztříštěnosti a překážkám na vnitřním trhu v důsledku rozdílných norem a technických omezení a aby se zajistil koordinovaný postup, který zamezí narušení provádění evropského rámce pro digitální identitu, je nezbytné zavést úzkou a strukturovanou spolupráci mezi Komisí, členskými státy, občanskou společností, akademickou obcí a soukromým sektorem. K dosažení tohoto cíle by členské státy a Komise měly spolupracovat v rámci stanoveném v doporučení Komise (EU) 2021/946 (16) s cílem určit soubor nástrojů Unie pro evropský rámec pro digitální identitu. V této souvislosti by se členské státy měly dohodnout na komplexní technické architektuře a referenčním rámci, souboru společných norem a technických referencí, včetně uznávaných platných norem, a souboru pokynů a popisu osvědčených postupů zahrnujících alespoň všechny funkce a interoperabilitu evropských peněženek digitální identity, včetně elektronických podpisů, a poskytovatelů kvalifikované služby vytvářející důvěru pro elektronické potvrzování atributů, jak je stanoveno v tomto nařízení. V této souvislosti by členské státy měly rovněž dosáhnout dohody o společných prvcích týkajících se obchodního modelu a o struktuře poplatků evropských peněženek digitální identity s cílem usnadnit jejich přijímání, zejména malými a středními podniky v přeshraničním kontextu. Obsah souboru nástrojů by se měl vyvíjet souběžně s diskusí a procesem přijetí evropského rámce pro digitální identitu a měl by odrážet výsledek této diskuse a tohoto procesu.

(71)

Toto nařízení stanoví harmonizovanou úroveň kvality, důvěryhodnosti a bezpečnosti kvalifikovaných služeb vytvářejících důvěru bez ohledu na to, kde jsou operace prováděny. Kvalifikovaný poskytovatel služeb vytvářejících důvěru by proto měl mít možnost zadávat externě své operace související s poskytováním kvalifikované služby vytvářející důvěru ve třetí zemi, pokud tato třetí země poskytne odpovídající záruky, jimiž zajistí, aby mohly být činnosti dohledu a audity vymáhány tak, jako by byly prováděny v Unii. Nelze-li soulad s tímto nařízením plně zajistit, měly by mít orgány dohledu možnost přijmout přiměřená a odůvodněná opatření, včetně odnětí statusu kvalifikované služby vytvářející důvěru.

(72)

V zájmu zajištění právní jistoty ohledně platnosti zaručených elektronických podpisů založených na kvalifikovaných certifikátech je nezbytné upřesnit posouzení spoléhající se stranou, která provádí ověření platnosti daného zaručeného elektronického podpisu založeného na kvalifikovaném certifikátu.

(73)

Poskytovatelé služeb vytvářejících důvěru by měli používat kryptografické metody odrážející stávající osvědčené postupy a důvěryhodné provádění těchto algoritmů, aby zajistili bezpečnost a spolehlivost svých služeb vytvářejících důvěru.

(74)

Toto nařízení stanoví povinnost kvalifikovaných poskytovatelů služeb vytvářejících důvěru ověřovat totožnost fyzické nebo právnické osoby, kterým jsou kvalifikovaný certifikát nebo kvalifikované elektronické potvrzení atributů vydávány, a to na základě různých harmonizovaných metod platných v celé Unii. K zajištění toho, aby kvalifikované certifikáty a kvalifikovaná elektronická potvrzení atributů byly vydávány osobě, k níž náleží, a aby osvědčovaly správný a jedinečný soubor údajů představujících totožnost této osoby, by kvalifikovaní poskytovatelé služeb vytvářejících důvěru vydávající kvalifikované certifikáty nebo kvalifikovaná elektronická potvrzení atributů měli v okamžiku vydání těchto certifikátů a potvrzení zajistit s úplnou jistotou identifikaci této osoby. Kromě povinného ověření totožnosti osoby, je-li to relevantní pro vydávání kvalifikovaných certifikátů a při vydávání kvalifikovaného elektronického potvrzení atributů, by kvalifikovaní poskytovatelé služeb vytvářejících důvěru měli s úplnou jistotou zajistit správnost a přesnost potvrzených atributů osoby, jíž jsou kvalifikovaný certifikát nebo kvalifikované elektronické potvrzení atributů vydávány. Tyto povinnosti týkající se výsledku a úplné jistoty při ověřování potvrzených údajů by měly být podpořeny odpovídajícími prostředky, včetně použití jedné nebo případně několika konkrétních metod stanovených v tomto nařízení. Tyto metody by mělo být možné kombinovat s cílem poskytnout vhodný základ pro ověření totožnosti osoby, jíž jsou kvalifikovaný certifikát nebo kvalifikované elektronické potvrzení atributů vydávány. Mělo by být možné, aby tato kombinace zahrnovala využití prostředků pro elektronickou identifikaci, které splňují požadavky na značnou úroveň záruky, v kombinaci s jinými prostředky pro ověření totožnosti. Taková elektronické identifikace by umožnila splnění harmonizovaných požadavků stanovených v tomto nařízení, pokud jde o vysokou úroveň záruky, v rámci dalších harmonizovaných postupů na dálku, které zajišťují identifikaci s vysokou úrovní spolehlivosti. Tyto metody by měly kvalifikovanému poskytovateli služeb vytvářejících důvěru, který vydává kvalifikované elektronické potvrzení atributů, umožnit, aby na žádost uživatele a v souladu s unijním nebo vnitrostátním právem ověřil atributy, které mají být potvrzeny elektronickými prostředky, a to i na základě autentických zdrojů.

(75)

Aby bylo toto nařízení v souladu s globálním vývojem a aby byly dodržovány osvědčené postupy na vnitřním trhu, měly by být akty v přenesené pravomoci a prováděcí akty přijaté Komisí pravidelně přezkoumávány a v případě potřeby aktualizovány. Při posuzování nezbytnosti těchto aktualizací by se měly zohlednit nové technologie, postupy, normy a technické specifikace.

(76)

Jelikož cílů tohoto nařízení, totiž rozvoje celounijního evropského rámce pro digitální identitu a rámce pro služby vytvářející důvěru, nemůže být dosaženo uspokojivě členskými státy, ale spíše jich, z důvodu jejich rozsahu a účinků, může být lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity stanovenou v článku 5 Smlouvy o Evropské unii. V souladu se zásadou proporcionality stanovenou v uvedeném článku nepřekračuje toto nařízení rámec toho, co je nezbytné pro dosažení těchto cílů.

(77)

Evropský inspektor ochrany údajů byl konzultován v souladu s čl. 42 odst. 1 nařízení (EU) 2018/1725.

(78)

Nařízení (EU) č. 910/2014 by proto mělo být odpovídajícím způsobem změněno,

1)

Článek 1 se nahrazuje tímto:

2)

Článek 2 se mění takto:

3)

Článek 3 se mění takto:

4)

Článek 5 se nahrazuje tímto:

5)

V kapitole II se vkládá nový oddíl, který zní:

(*2)  Směrnice Evropského parlamentu a Rady (EU) 2019/882 ze dne 17. dubna 2019 o požadavcích na přístupnost u výrobků a služeb (Úř. věst. L 151, 7.6.2019, s. 70)."

(*3)  Nařízení Evropského parlamentu a Rady (EU) 2019/881 ze dne 17. dubna 2019 o agentuře ENISA (Agentuře Evropské unie pro kybernetickou bezpečnost), o certifikaci kybernetické bezpečnosti informačních a komunikačních technologií a o zrušení nařízení (EU) č. 526/2013 (‚akt o kybernetické bezpečnosti‘) (Úř. věst. L 151, 7.6.2019, s. 15)."

(*4)  Doporučení Komise 2003/361/ES ze dne 6. května 2003 o definici mikropodniků a malých a středních podniků (Úř. věst. L 124, 20.5.2003, s. 36)."

(*5)  Nařízení Evropského parlamentu a Rady (EU) 2022/2065 ze dne 19. října 2022 o jednotném trhu digitálních služeb a o změně směrnice 2000/31/ES (nařízení o digitálních službách) (Úř. věst. L 277, 27.10.2022, s. 1).“ "

6)

Před článek 6 se vkládá nadpis, který zní:

7)

V článku 7 se písmeno g) nahrazuje tímto:

8)

V čl. 8 odst. 3 se první pododstavec nahrazuje tímto:

9)

V článku 9 se odstavce 2 a 3 nahrazují tímto:

10)

V článku 10 se nadpis nahrazuje tímto:

„Narušení bezpečnosti systémů elektronické identifikace“.

11)

Vkládá se nový článek, který zní:

12)

Článek 12 se mění takto:

13)

V kapitole II se vkládají nové články, které znějí:

(*6)  Nařízení Evropského parlamentu a Rady (EU) 2022/1925 ze dne 14. září 2022 o spravedlivých trzích otevřených hospodářské soutěži v digitálním odvětví a o změně směrnic (EU) 2019/1937 a (EU) 2020/1828 (nařízení o digitálních trzích) (Úř. věst. L 265, 12.10.2022, s. 1).“ "

14)

V článku 13 se odstavec 1 nahrazuje tímto:

15)

Články 14, 15 a 16 se nahrazují tímto:

(*7)  Směrnice Evropského parlamentu a Rady (EU) 2022/2555 ze dne 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o změně nařízení (EU) č. 910/2014 a směrnice (EU) 2018/1972 a o zrušení směrnice (EU) 2016/1148 (směrnice NIS 2) (Úř. věst. L 333, 27.12.2022, s. 80).“ "

16)

V kapitole III oddíle 2 se název nahrazuje tímto:

„Nekvalifikovaní poskytovatelé služeb vytvářející důvěru“;

17)

Články 17 a 18 se zrušují.

18)

Do kapitoly III oddílu 2 se vkládá nový článek, který zní:

19)

Článek 20 se mění takto:

20)

Článek 21 se mění takto:

21)

Článek 24 se mění takto:

22)

V kapitole III oddílu 3 se vkládá nový článek, který zní:

23)

V článku 25 se zrušuje odstavec 3.

24)

Článek 26 se mění takto:

25)

V článku 27 se zrušuje odstavec 4.

26)

V článku 28 se odstavec 6 nahrazuje tímto:

27)

V článku 29 se vkládá nový odstavec, který zní:

28)

Vkládá se nový článek, který zní:

29)

V článku 30 se vkládá nový odstavec, který zní:

30)

V článku 31 se odstavec 3 nahrazuje tímto:

31)

Článek 32 se mění takto:

32)

Vkládá se nový článek, který zní:

33)

V článku 33 se odstavec 2 nahrazuje tímto:

34)

Článek 34 se mění takto:

35)

V článku 35 se zrušuje odstavec 3.

36)

Článek 36 se mění takto:

37)

V článku 37 se zrušuje odstavec 4.

38)

V článku 38 se odstavec 6 nahrazuje tímto:

39)

Vkládá se nový článek, který zní:

40)

V kapitole III oddílu 5 se vkládá nový článek, který zní:

41)

V článku 41 se zrušuje odstavec 3.

42)

Článek 42 se mění takto:

43)

Článek 44 se mění takto:

44)

Článek 45 se nahrazuje tímto:

45)

Vkládá se nový článek, který zní:

46)

V kapitole III se doplňují nové oddíly, které znějí:

47)

Vkládá se nová kapitola, která zní:

48)

Článek 47 se mění takto:

49)

V kapitole VI se vkládá nový článek, který zní:

50)

Článek 49 se nahrazuje tímto:

51)

Článek 51 se nahrazuje tímto:

52)

Přílohy I až IV se mění v souladu s přílohami I až IV tohoto nařízení.

53)

Doplňují se nové přílohy V, VI a VII obsažené v přílohách V, VI a VII tohoto nařízení.