EUROOPAN KOMISSIO Bryssel 3.6.2021 COM(2021) 290 final KOMISSION KERTOMUS EUROOPAN PARLAMENTILLE JA NEUVOSTOLLE Sähköisestä tunnistamisesta ja sähköisiin transaktioihin liittyvistä luottamuspalveluista sisämarkkinoilla annetun asetuksen (EU) N:o 910/2014 (eIDAS-asetus) arviointi {SEC(2021) 229 final} - {SWD(2021) 130 final}



1.Johdanto Tässä kertomuksessa esitellään sähköisestä tunnistamisesta ja sähköisiin transaktioihin liittyvistä luottamuspalveluista sisämarkkinoilla annetun asetuksen (EU) N:o 910/2014, jäljempänä ’eIDAS-asetus’, arvioinnin tulokset. Asetuksen 49 artiklassa edellytetään, että komissio tarkastelee uudelleen tämän asetuksen soveltamista ja arvioi erityisesti, olisiko tämän asetuksen tai sen tiettyjen säännösten soveltamisalaa asianmukaista muuttaa, ottaen huomioon tämän asetuksen soveltamisesta saatu kokemus sekä tekninen, markkinoihin liittyvä ja oikeudellinen kehitys. Lisäksi kertomukseen olisi liitettävä tarvittaessa lainsäädäntöehdotuksia. Oheen liitetyssä komission yksiköiden valmisteluasiakirjassa on esitetty yksityiskohtaisempaa näyttöä ja analyysiä esitettyjen havaintojen tueksi. 1.1.eIDAS-järjestelmä Vuonna 2014 annetun eIDAS-asetuksen myötä EU lähti uusille urille ottamalla käyttöön ensimmäiset rajat ylittävät puitteet luotetuille digitaalisille identiteeteille ja luottamuspalveluille, jotka nyt tunnustetaan ja joita noudatetaan maailmanlaajuisesti. eIDAS-asetuksen tavoitteena oli tarjota kaikille EU:n kansalaisille mahdollisuudet käyttää julkisia palveluja koko EU:ssa heidän kotimaassaan myönnetyn sähköisen identiteetin avulla. Sillä pyrittiin lisäämään luottamusta sähköisiin transaktioihin sisämarkkinoilla tarjoamalla yhteinen perusta turvalliselle ja saumattomalle sähköiselle vuorovaikutukselle kansalaisten, yritysten ja viranomaisten välillä sekä parantamalla näin julkisten ja yksityisten verkkopalvelujen, sähköisen liiketoiminnan ja sähköisen kaupankäynnin toimivuutta EU:ssa. Asetuksella kumottiin sähköisiä allekirjoituksia koskevista yhteisön puitteista annettu direktiivi 1999/93/EY, joka kattoi periaatteessa vain sähköiset allekirjoitukset. Asetuksen oikeusperustan, Euroopan unionin toiminnasta tehdyn sopimuksen 114 artiklan, mukaisesti sillä pyrittiin poistamaan sisämarkkinoiden toiminnan nykyiset esteet edistämällä jäsenvaltioiden lainsäädännön lähentämistä, erityisesti sähköisen tunnistamisen, todentamisen, allekirjoitusten ja niihin liittyvien luottamuspalvelujen rajat ylittävää vastavuoroista tunnustamista ja hyväksymistä, kun se on tarpeen sähköisten menettelyjen tai transaktioiden käyttämiseksi ja toteuttamiseksi. Ennen asetuksen voimaantuloa turvallisia, luotettavia ja helppokäyttöisiä sähköisiä transaktioita varten ei ollut olemassa kokonaisvaltaisia rajat ylittäviä ja eri alat kattavia EU:n puitteita, jotka kattaisivat sähköisen tunnistamisen, todentamisen ja luottamuspalvelut. Komission 4. kesäkuuta 2012 antamassa ehdotuksessa (COM(2012) 238 final) ja siihen liitetyssä vaikutustenarvioinnissa (SWD(2012) 135 final) määritettiin seuraavat neljä yleistä tavoitetta: •Varmistetaan digitaalisten sisämarkkinoiden kehittäminen. •Edistetään keskeisten rajat ylittävien julkisten palvelujen kehittämistä. •Tuetaan ja vahvistetaan kilpailua sisämarkkinoilla. •Lisätään käyttäjäystävällisyyttä (kansalaisten ja yritysten kannalta). Vaikka monia asetuksen tavoitteista on saavutettu ja siitä on tullut keskeinen tekijä sisämarkkinoiden edistämisessä useilla aloilla (esimerkiksi rahoituspalveluissa ja tietojen saatavuuden ja uudelleenkäytön mahdollistamisessa hallinnollisissa menettelyissä), siihen liittyy joitakin rajoituksia: kansallisia sähköisen tunnistamisen järjestelmiä koskevan ilmoitusvelvoitteen puuttuminen, vähäinen määrä attribuutteja (henkilötietojen osia), jotka voidaan luotettavasti luovuttaa kolmansille osapuolille, säädöksen keskittyminen julkiseen sektoriin ja se, ettei siinä anneta yksityisille tahoille selkeitä kannustimia kansallisten sähköisen tunnistamisen järjestelmien käyttöön. Lisäksi eurooppalainen sähköisten identiteettien ekosysteemi jakautuu erilaisiin kansallisiin sääntely-ympäristöihin, digitaalisen hallinnon tasoihin ja kulttuureihin, ja luottamus julkisia laitoksia kohtaan vaihtelee sen sisällä. 1.2.Tausta Digitaalisen identiteetin tarjoaminen on muuttumassa perusteellisesti. Esimerkiksi pankit, sähköisten viestintäpalvelujen tarjoajat ja yleishyödylliset laitokset, joista osa on lain mukaan velvollinen keräämään tunnisteattribuutteja, hyödyntävät menettelyjään voidakseen tarjota todennettua tunnistamista. Internetin välityspalvelujen tarjoajat, mukaan lukien merkittävät sosiaalisen median alustat ja internetselaimet, toimivat käytännössä digitaalisten identiteettien portinvartijoina ja tarjoavat BYOI-ratkaisuja (bring your own identity eli tuo oma henkilöllisyytesi), joiden avulla käyttäjät voivat todentaa henkilöllisyytensä kolmansien osapuolten verkkosivustoilla ja palveluissa käyttäjäprofiilinsa avulla. Tämä on kätevää, mutta hintana on luovutettujen henkilötietojen hallinnan menettäminen, koska nämä sähköisen tunnistamisen keinot on irrotettu todennetusta fyysisestä identiteetistä, mikä vaikeuttaa petosten ja kyberturvallisuusuhkien torjumista. Suuri enemmistö EU:n kansalaisista haluaisi käyttöönsä suojatun digitaalisen identiteetin, jota he voisivat käyttää verkkopalveluissa . Vaikka digitaalisen identiteetin tulevaisuudesta onkin olemassa monia erilaisia näkemyksiä, valtioiden keskeistä roolia kaikkien laajamittaisten digitaalisen tunnistamisen ekosysteemien kehittämisessä on harkittava asianmukaisesti. Käyttäjät odottavat nykyään saumattomia verkkokokemuksia, mobiilisovelluksia ja kertakirjautumisratkaisuja, joita voidaan käyttää julkisen ja yksityisen sektorin verkkopalveluissa ja jotka kattavat kaikki tunnistamiseen liittyvät käyttötapaukset nimettömästä kirjautumisesta aina verkkoalustaan, jolla on käytössä suojattu tunnistautuminen sähköistä terveydenhuoltoa tai sähköisiä pankkipalveluja varten. Suojatusta verkkotunnistautumisesta ja tunnisteattribuuttien vaihdosta on tulossa yhä tärkeämpää, kun identiteetin kannalta arkaluontoisten ja yksilöllisten palveluiden määrä kasvaa. Mahdollisuudesta tunnistautua digitaalisesti tulee tärkeä sosiaalisen osallisuuden tekijä ja digitaalisen identiteetin tarjoamisesta strateginen etu. Euroopan komission puheenjohtaja ilmoitti 16. syyskuuta 2020 pitämässään unionin tilaa koskevassa puheessa komission tavoitteesta tarjota kaikille EU:n kansalaisille turvallinen ja luotettu digitaalinen identiteetti: ”Haluamme säännöt, joiden keskiössä ovat ihmiset. (...) Tähän sisältyy muun muassa valta omien henkilötietojen suhteen, mikä toteutuu edelleen aivan liian harvoin. Aina kun jokin sovellus tai verkkosivusto pyytää meidän luomaan uuden digitaalisen identiteetin tai kirjautumaan helposti jonkin suuren verkkoalustan kautta, emme alkuunkaan tiedä, mitä meitä koskeville tiedoille tapahtuu. Sen takia komissio aikoo piakkoin ehdottaa suojattua eurooppalaista sähköistä henkilöllisyyttä. Sähköistä henkilöllisyyttä, johon voimme luottaa ja jota kaikki ihmiset voivat käyttää eri puolilla Eurooppaa esimerkiksi veroja maksaessaan tai polkupyörää vuokratessaan. Teknologiaa, jonka avulla voimme itse valvoa, mitä meitä koskevia tietoja käytetään ja miten.” Eurooppa-neuvosto antoi tukensa komission tavoitteelle ja kehotti 1. ja 2. lokakuuta 2020 antamissaan päätelmissä komissiota esittämään ehdotuksen eurooppalaista digitaalista tunnistamista koskevasta aloitteesta vuoden 2021 puoliväliin mennessä: Eurooppa-neuvosto kehottaa päätelmissään ”kehittämään EU:n laajuisen suojatun julkisen sähköisen tunnistamisjärjestelmän (e-ID) kehyksen, myös yhteentoimivat digitaaliset allekirjoitukset, jotta ihmiset voivat valvoa verkkohenkilöllisyyttään ja verkossa olevia tietojaan ja jotta heillä on pääsy julkisiin, yksityisiin ja rajatylittäviin digitaalisiin palveluihin. Se pyytää komissiota esittämään ehdotuksen eurooppalaista digitaalista tunnistamista koskevasta aloitteesta vuoden 2021 puoliväliin mennessä.” Sähköisen tunnistamisen avulla kansalaiset ja yritykset voivat verkossa asioidessaan todistaa, keitä he ovat. Luottamuspalvelut, kuten sähköiset allekirjoitukset, tekevät verkkotransaktioista turvallisempia, helppokäyttöisempiä ja tehokkaampia. eIDAS-asetus muodostaa ainoan rajat ylittävän kehyksen luonnollisten henkilöiden ja oikeushenkilöiden luotetulle sähköiselle tunnistamiselle ja luottamuspalveluille. eIDAS-järjestelmä mahdollistaa julkisten palvelujen käyttämiseen tarvittavien virallisten sähköisten identiteettien rajat ylittävän tunnustamisen sillä ehdolla, että sähköiset tunnistusjärjestelmät on ilmoitettu eIDAS-järjestelmässä. eIDAS-järjestelmällä perustetaan myös EU:n markkinat rajojen yli tunnustetuille luottamuspalveluille, joilla on sama oikeudellinen asema kuin perinteisillä vastaavilla paperipohjaisilla prosesseilla.

2.Arvioinnin tärkeimmät havainnot Arvioinnin tärkeimmät havainnot voidaan tiivistää arviointiperusteiden mukaisesti seuraavien otsikoiden alle. 2.1.Vaikuttavuus Sähköistä identiteettiä koskevat säännökset ovat johtaneet eIDAS-verkoston luomiseen. Verkoston tarkoituksena on antaa ilmoitetun sähköisen tunnistamisen järjestelmän haltijoille mahdollisuus käyttää julkisia verkkopalveluja yli rajojen. EU:n tasolla on saavutettu yhteentoimivuus, joka koskee vain rajallista määrää sähköisen tunnistamisen järjestelmiä. eIDAS-asetuksella on onnistuttu saamaan aikaan oikeusvarmuus, joka koskee luottamuspalvelujen vastuuta, todistustaakkaa, oikeusvaikutuksia ja kansainvälisiä näkökohtia, mutta joitakin kysymyksiä on vielä avoinna. Luottamuspalvelujen saatavuus ja käyttöönotto EU:ssa on lisääntynyt eIDAS-asetuksen käyttöönoton jälkeen, mutta jäsenvaltioiden ja eri luottamuspalvelujen välillä on eroja. Joistakin saavutuksista huolimatta asetuksen vaikuttavuuspotentiaalia ei ole hyödynnetty kokonaan. Sähköisen tunnistamisen järjestelmiä on ilmoitettu vain rajallinen määrä, mikä rajoittaa niiden EU:n kansalaisten määrää, jotka voivat käyttää ilmoitettua sähköisen tunnistamisen järjestelmää (59 prosenttia väestöstä). Ilmoitettujen sähköisen tunnistamisen järjestelmien hyväksyntä on vähäistä, koska kaikki eIDAS-solmupisteet eivät ole toiminnassa, vain rajallinen määrä julkisia palveluja tarjoaa eIDAS-ilmoitusta tai on yhteydessä infrastruktuuriin ja tekniset virheet estävät käyttäjiltä tehokkaan todentamisen. Luottamuspalvelujen osalta asetuksen tavoite pysyä teknologianeutraalina on johtanut vaatimusten monenlaiseen tulkintaan jäsenvaltioissa, mikä johtuu myös siitä, että täydentäviä täytäntöönpanosäädöksiä ei ole hyväksytty. Ei voida päätellä, että tasapuoliset toimintaedellytykset olisi saavutettu kaikilta osin EU:n tasolla. eIDAS-asetuksella on kuitenkin luotu vahvat puitteet, joita voidaan täydentää tarvittavilla standardeilla ja vaatimuksilla markkinoiden nykyisen hajanaisuuden ja valvontaelinten ja vaatimustenmukaisuuden arviointilaitosten tulkinnoissa esiintyvien erojen vähentämiseksi sekä valvontaelinten välisen yhteistyön vahvistamiseksi. 2.2.Tehokkuus Perustason arviointi osoittaa, että kvantifioitavat kustannukset ovat olleet tähän mennessä suuremmat kuin hyödyt. Sähköisen tunnistamisen alalla tämä johtuu vähäisestä käytöstä, jossa hyödyt eivät ole toteutuneet. Keskeiset sidosryhmät, joille eIDAS-asetuksen sähköistä tunnistamista koskeva osa on tuottanut kustannuksia ja hyötyjä, ovat kansalliset viranomaiset, eIDAS-solmupisteiden ylläpitäjät, sähköisten identiteettien tarjoajat ja palveluntarjoajat. Luottamuspalvelujen osalta tärkeimmät sidosryhmät, joihin on kohdistunut suurin osa kustannuksista ja hyödyistä, ovat akkreditointi-, vaatimustenmukaisuuden arviointi- ja valvontaelimet sekä hyväksytyt ja ei-hyväksytyt luottamuspalvelujen tarjoajat. Yksittäisten sidosryhmien hyödyistä huomattava osa on odotettavissa olevia hyötyjä (diskontattu tuleviksi hyödyiksi), joten niitä tuskin voidaan määrittää. Toistuvat hallintokustannukset luottamuspalvelujen alalla ovat vähäisiä ja liittyvät pääasiassa vaatimustenmukaisuuden varmistamiseen. Yksittäisten sidosryhmien hyödyistä huomattava osa on tässä vaiheessa vain hypoteettisia (diskontattu tuleviksi hyödyiksi) ja tuskin määritettävissä. Luottamuspalvelujen tarjoajat kirjaavat hyödyt tulojen muodossa, mikä johtuu luottamuspalvelujen tarjoamisesta muissa EU-maissa ja markkinapohjan laajentamisesta. 2.3.Merkityksellisyys Sähköisen tunnistamisen ekosysteemi on muuttunut perusteellisesti sen jälkeen, kun eIDAS-asetus otettiin käyttöön, ja yksityisten tunnistuspalvelujen tarjoajien merkitys on kasvanut. Kun otetaan huomioon digitaalisten transaktioiden lisääntyminen, kaikilla EU:n kansalaisilla olisi oltava käytössään turvallinen ja yhteentoimiva digitaalinen identiteetti. Tällä hetkellä näin ei ole. eIDAS-järjestelmän oikeudellisen kehyksen tavoitteet ovat edelleen merkityksellisiä alun perin määriteltyjen ongelmien ratkaisemiseksi. Niitä ovat erityisesti tarve varmistaa markkinoiden hajanaisuuden vähentäminen varmistamalla luottamuspalvelujen rajat ylittävä ja eri alat kattava yhteentoimivuus yhteisten standardien avulla. eIDAS-asetuksen nykyinen soveltamisala ja painopiste eli EU:n jäsenvaltioiden ilmoittamat sähköisen tunnistamisen järjestelmät ja julkisten verkkopalvelujen käytön mahdollistaminen vaikuttavat liian rajallisilta. Eräät keskeiset seikat, jotka estävät käyttäjiä ja yksityisen sektorin palveluntarjoajia ottamasta järjestelmiä käyttöön, ovat estäneet sääntelykehyksen täysimääräisen hyödyntämisen. Vaikka eIDAS-ratkaisuihin on viitattu useissa alakohtaisissa EU:n säädöksissä, eIDAS-asetus ei ole vielä vastannut tiettyjen alojen tarpeisiin (esimerkiksi koulutuksen, pankkitoiminnan, matkustamisen ja ilmailun aloilla). Yksi nykyisen kehyksen rajoitteista näiden alakohtaisten tarpeiden osalta on alakohtaisten erityisattribuuttien puuttuminen. Keskeinen ongelma on eIDAS-järjestelmän kyky pysyä ajan tasalla luottamuspalvelujen alan teknologian uusimmasta kehityksestä. Luottamuspalvelujen luetteloa laajentamalla, erityisesti ottamalla käyttöön sähköiseen arkistointiin liittyvä luottamuspalvelu, siirrettäviä valtuustietoja tukeva luottamuspalvelu ja sähköisiin tilikirjoihin liittyvä luottamuspalvelu, otettaisiin huomioon useita käyttötapauksia ja tarjottaisiin kansalaisille ja yrityksille mahdollisuus todistaa digitaalisesti, keitä he/ne ovat, tai todistaa attribuuttinsa/ominaisuutensa ilman fyysisiä asiakirjoja. 2.4.Johdonmukaisuus Arviointi osoittaa, että asetuksen sähköistä tunnistamista koskevaa osaa tukee yleisesti ottaen johdonmukainen järjestelmä, jossa sähköiset identiteetit tunnustetaan vastavuoroisesti ilmoitusten ja vertaisarvioinnin perusteella. Luottamuspalvelujen puitteet tarjoavat johdonmukaisen valvontajärjestelmän luottamuspalveluille. On kuitenkin havaittu tiettyjä seikkoja, jotka vaikuttavat asetuksen sisäiseen johdonmukaisuuteen. Sähköisten identiteettien osalta eIDAS-järjestelmässä vahvistetun ilmoitus- ja vertaisarviointijärjestelmän tarkoituksena oli saada aikaan yhteisymmärrys sähköisen tunnistamisen järjestelmän tarjoamasta luotettavuustasosta, mutta käytännön toteutuksen arviointi osoittaa, että näin ei aina ole. Vaikka asetuksessa kannustetaan joustavuuteen ja teknologianeutraaliuteen, yhteisymmärrystä siitä, mikä on korotettu ja korkea luotettavuustaso, ei edelleenkään ole saavutettu. Keskittyminen julkisiin palveluihin on ristiriidassa sen kanssa, että käyttäjä voi rajoittaa lähetettyjen tietojen määrän tietyssä palvelussa tapahtuvan todentamisen edellyttämään vähimmäismäärään, koska vähimmäistiedot lähetetään aina henkilön tunnistamiseksi. Nykyisen eIDAS-järjestelmän täytäntöönpano ei anna käyttäjälle mahdollisuutta helpottaa yleisen tietosuoja-asetuksen mukaisten tietojen minimointia ja tietosuojaa koskevien periaatteiden täytäntöönpanoa oletusarvoisesti määräämällä, mitä tietoja jaetaan ja kenen kanssa. Säännöt, jotka koskevat luottamuspalvelujen tarjoajien arviointia asetuksen toiminnallisten vaatimusten nojalla hyväksynnän saamiseksi, osoittavat joitakin puutteita, sillä vaatimustenmukaisuuden arviointilaitosten roolia määritettäessä ei ole annettu riittävästi yksityiskohtaista tietoa niiden velvollisuuksista, vastuusta tai pätevyydestä. Joidenkin säännösten mukaan jää jäsenvaltioiden tehtäväksi tunnustaa tietyt tunnistamismenetelmät (kuten biometrinen todentaminen) kansallisella tasolla, mikä haittaa sääntelyyn liittyviä tasapuolisia toimintaedellytyksiä ja luo epävarmuutta. 2.5.EU:n tasolla saatava lisäarvo