KOMISJA EUROPEJSKA Bruksela, dnia 3.6.2021 COM(2021) 281 final 2021/0136(COD) Wniosek ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY zmieniające rozporządzenie (UE) nr 910/2014 w odniesieniu do ustanowienia europejskich ram tożsamości cyfrowej {SEC(2021) 228 final} - {SWD(2021) 124 final} - {SWD(2021) 125 final}



UZASADNIENIE 1.KONTEKST WNIOSKU •Przyczyny i cele wniosku Niniejsze uzasadnienie towarzyszy wnioskowi dotyczącemu rozporządzenia Parlamentu Europejskiego i Rady zmieniającego rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 910/2014 z dnia 23 lipca 2014 r. w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym (rozporządzenie eIDAS). Ten instrument prawny służy zapewnieniu w kontekście korzystania transgranicznego: –dostępu do wysoce bezpiecznych i wiarygodnych rozwiązań w zakresie tożsamości elektronicznej; –aby usługi publiczne i prywatne mogły opierać się na zaufanych i bezpiecznych rozwiązaniach w zakresie tożsamości cyfrowej; –aby osoby fizyczne i prawne były uprawnione do korzystania z rozwiązań w zakresie tożsamości cyfrowej; –aby rozwiązania te były powiązane z różnymi atrybutami i umożliwiały ukierunkowane udostępnianie danych dotyczących tożsamości ograniczone do potrzeb konkretnej żądanej usługi; –akceptacji kwalifikowanych usług zaufania w UE i równych warunków ich świadczenia. Na rynku powstaje nowe środowisko, w którym uwaga nie jest skoncentrowana na świadczeniu i stosowaniu sztywnych tożsamości cyfrowych, ale na zapewnieniu szczególnych atrybutów związanych z takimi tożsamościami i poleganiu na takich atrybutach. Wzrasta zapotrzebowanie na rozwiązania w zakresie tożsamości elektronicznej, w ramach których zapewnia się tego rodzaju zdolności i dzięki którym następuje przyrost wydajności i osiągnięty zostaje wysoki poziom zaufania w całej UE, zarówno w sektorze prywatnym, jak i w sektorze publicznym, w związku z koniecznością identyfikacji i uwierzytelnienia użytkowników przy zapewnieniu wysokiego poziomu bezpieczeństwa. Ocena rozporządzenia eIDAS wykazała, że w jego obecnym kształcie te nowe potrzeby rynkowe nie są zaspokajane ze względu na jego wewnętrzne ograniczenia do sektora publicznego, ograniczone możliwości i złożoność procesu połączenia z systemem dostawców usług online z sektora prywatnego, niewystarczającą dostępność notyfikowanych rozwiązań z zakresu identyfikacji elektronicznej we wszystkich państwach członkowskich oraz brak elastyczności rozporządzenia umożliwiającej uwzględnienie różnego rodzaju przypadków użycia. Ponadto rozwiązania w zakresie tożsamości wykraczające poza zakres eIDAS, takie jak te, które oferują dostawcy mediów społecznościowych i instytucje finansowe, budzą obawy dotyczące prywatności i ochrony danych. Rozwiązania te nie mogą zapewnić skutecznej reakcji na nowe potrzeby rynkowe i nie mają zasięgu transgranicznego, który pozwalałby zaspokoić szczególne potrzeby sektorowe, w przypadku gdy identyfikacja jest wrażliwa i wymaga wysokiego stopnia pewności. Od wejścia w życie części rozporządzenia dotyczącej identyfikacji elektronicznej we wrześniu 2018 r. tylko 14 państw członkowskich notyfikowało przynajmniej jeden system identyfikacji elektronicznej. W rezultacie jedynie 59 % mieszkańców UE ma dostęp do zaufanych i bezpiecznych systemów identyfikacji elektronicznej o wymiarze transgranicznym. Tylko siedem systemów to rozwiązania w pełni mobilne, odpowiadające obecnym oczekiwaniom użytkowników. Ponieważ nie wszystkie węzły techniczne mające zapewniać połączenie z ramami interoperacyjności eIDAS w pełni funkcjonują, dostęp transgraniczny jest ograniczony; z bardzo niewielu usług publicznych online dostępnych w kraju można korzystać transgranicznie za pośrednictwem sieci eIDAS. Dzięki europejskim ramom tożsamości cyfrowej opartym na przeglądzie obecnych ram do 2030 r. co najmniej 80 % obywateli powinno mieć możliwość korzystania z rozwiązań w zakresie tożsamości cyfrowej na potrzeby uzyskiwania dostępu do kluczowych usług publicznych. Ponadto bezpieczeństwo i kontrola, jakie oferują europejskie ramy tożsamości cyfrowej, powinny dawać obywatelom i rezydentom całkowitą pewność, że ramy te zapewnią wszystkim środki pozwalające kontrolować, kto ma dostęp do ich cyfrowego bliźniaka i do jakich konkretnie danych. Będzie to również wymagało wysokiego poziomu bezpieczeństwa w odniesieniu do wszystkich aspektów świadczenia usług w zakresie tożsamości cyfrowej, w tym wydawania europejskiego portfela tożsamości cyfrowej, oraz infrastruktury służącej do gromadzenia, przechowywania i ujawniania danych dotyczących tożsamości cyfrowej. Ponadto obecne ramy eIDAS nie obejmują dostarczania atrybutów elektronicznych, takich jak orzeczenia lekarskie lub kwalifikacje zawodowe, co utrudnia zapewnienie ogólnoeuropejskiego prawnego uznawania takich danych uwierzytelniających w postaci elektronicznej. Rozporządzenie eIDAS nie daje użytkownikom również możliwości ograniczenia udostępniania danych dotyczących tożsamości do tego, co jest absolutnie niezbędne do świadczenia usługi. Chociaż z oceny rozporządzenia eIDAS wynika, że ramy świadczenia usług zaufania są raczej skuteczne, gdyż zapewniają wysoki poziom zaufania oraz upowszechnianie i wykorzystywanie większości usług zaufania, potrzebne są dalsze działania, aby osiągnąć pełną harmonizację i akceptację. W przypadku kwalifikowanych certyfikatów uwierzytelniania witryn internetowych obywatele muszą być w stanie na takich certyfikatach polegać i korzystać z bezpiecznych i wiarygodnych informacji o tym, kto stoi za daną witryną internetową, co pozwoli ograniczyć oszustwa. Ponadto aby zareagować na dynamikę rynków i rozwój technologiczny, w niniejszym wniosku rozszerzono obecny wykaz usług zaufania eIDAS o trzy nowe kwalifikowane usługi zaufania, mianowicie świadczenie usług archiwizacji elektronicznej, rejestry elektroniczne oraz zarządzanie urządzeniami do składania podpisów i pieczęci elektronicznych na odległość. Niniejszy wniosek przewiduje również zharmonizowane podejście do bezpieczeństwa – dla obywateli, którzy korzystają z europejskiej tożsamości cyfrowej reprezentującej ich online, oraz dla dostawców usług online, którzy będą mogli w pełni polegać na rozwiązaniach w zakresie tożsamości cyfrowej i akceptować je niezależnie od tego, gdzie je wydano. Niniejszy wniosek wiąże się ze zmianami dla wydawców europejskich rozwiązań w zakresie tożsamości cyfrowej, gdyż przewidziano w nim wspólną architekturę techniczną i ramy odniesienia oraz wspólne normy, które mają powstać we współpracy z państwami członkowskimi. Zharmonizowane podejście jest konieczne, by uniknąć sytuacji, w której opracowywanie w państwach członkowskich nowych rozwiązań w zakresie tożsamości cyfrowej prowadzi do dalszej fragmentacji powodowanej stosowaniem rozbieżnych rozwiązań krajowych. Zharmonizowane podejście wzmocni także jednolity rynek, ponieważ umożliwi obywatelom, innym rezydentom i przedsiębiorstwom identyfikację online w sposób bezpieczny, dogodny i jednolity w całej UE na potrzeby dostępu zarówno do usług publicznych, jak i prywatnych. Użytkownicy będą mogli polegać na ulepszonym ekosystemie tożsamości elektronicznej i usług zaufania uznawanym i akceptowanym w całej Unii. Aby uniknąć fragmentacji i barier wynikających z rozbieżnych norm, Komisja przyjmie zalecenie w tym samym czasie co niniejszy wniosek. W zaleceniu tym Komisja określi proces wspierania wspólnego podejścia umożliwiającego państwom członkowskim i innym zainteresowanym stronom z sektora publicznego i prywatnego działanie – w ścisłej koordynacji z Komisją – na rzecz opracowania zestawu narzędzi, aby uniknąć rozbieżnych podejść i zagrożenia dla przyszłego wdrożenia europejskich ram tożsamości cyfrowej. •Spójność z przepisami obowiązującymi w tej dziedzinie polityki

Niniejszy wniosek opiera się na rozporządzeniu eIDAS w jego obecnym kształcie, na roli państw członkowskich jako dostawców tożsamości prawnej oraz na ramach świadczenia usług zaufania w Unii Europejskiej. Wniosek uzupełnia inne instrumenty polityki na szczeblu UE, których celem jest przełożenie korzyści płynących z rynku wewnętrznego na świat cyfrowy, w szczególności dzięki zwiększeniu możliwości transgranicznego dostępu obywateli do usług, i jest w pełni spójny z tymi instrumentami. W tym względzie we wniosku realizuje się mandat polityczny, którego udzieliły Rada Europejska i przewodnicząca Komisji Europejskiej, dotyczący ustanowienia ogólnounijnych ram publicznej tożsamości elektronicznej zapewniających każdemu obywatelowi lub rezydentowi możliwość dostępu do bezpiecznej europejskiej tożsamości elektronicznej, którą można wykorzystywać w dowolnym miejscu w UE do celów identyfikacji i uwierzytelniania na potrzeby dostępu do usług w sektorze publicznym i prywatnym, oraz umożliwiających obywatelom kontrolowanie, jakie dane są przekazywane i w jaki sposób są one wykorzystywane. •Spójność z innymi politykami Unii Wniosek jest spójny z priorytetami transformacji cyfrowej określonymi w strategii „Kształtowanie cyfrowej przyszłości Europy” i przyczyni się do osiągnięcia celów wyznaczonych w komunikacie dotyczącym cyfrowej dekady. Wszelkie przetwarzanie danych osobowych na podstawie niniejszego rozporządzenia powinno odbywać się w pełnej zgodności z ogólnym rozporządzeniem o ochronie danych (zwanym dalej „RODO”). Ponadto w niniejszym rozporządzeniu wprowadza się szczególne zabezpieczenia służące ochronie danych. W celu zapewnienia wysokiego poziomu bezpieczeństwa wniosek jest również spójny z polityką Unii w obszarach związanych z cyberbezpieczeństwem. Wniosek opracowano w sposób ograniczający fragmentację, z zastosowaniem ogólnych wymogów cyberbezpieczeństwa do dostawców usług zaufania regulowanych rozporządzeniem eIDAS. Niniejszy wniosek jest ponadto spójny z innymi politykami sektorowymi opartymi na korzystaniu z tożsamości elektronicznej, elektronicznych poświadczeń atrybutów i innych usług zaufania. Obejmuje to rozporządzenie w sprawie jednolitego portalu cyfrowego, wymogi związane z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu, które należy spełnić w sektorze finansowym, inicjatywy na rzecz udostępniania danych uwierzytelniających dotyczących zabezpieczenia społecznego na potrzeby cyfrowego prawa jazdy lub przyszłych cyfrowych dokumentów podróży oraz inne inicjatywy mające na celu zmniejszenie obciążenia administracyjnego obywateli i przedsiębiorstw z wykorzystaniem w pełni możliwości wynikających z transformacji cyfrowej procedur zarówno w sektorze publicznym, jak i prywatnym. Portfel umożliwi ponadto stosowanie kwalifikowanych podpisów elektronicznych, które mogą ułatwić udział w życiu politycznym. 2.PODSTAWA PRAWNA, POMOCNICZOŚĆ I PROPORCJONALNOŚĆ •Podstawa prawna Celem niniejszej inicjatywy jest wsparcie transformacji Unii w kierunku jednolitego rynku cyfrowego. W kontekście postępującej cyfryzacji transgranicznych usług publicznych i prywatnych, które opierają się na stosowaniu rozwiązań w zakresie tożsamości cyfrowej, istnieje ryzyko, że w obecnych ramach prawnych obywatele nadal będą napotykać przeszkody i nie będą w stanie w pełni korzystać w całej UE z usług online w sposób niezakłócony ani chronić swojej prywatności. Występuje także ryzyko, że niedociągnięcia obecnych ram prawnych dotyczących usług zaufania zwiększyłyby fragmentację i zmniejszyłyby zaufanie, gdyby zaradzenie im pozostawiono wyłącznie w gestii państw członkowskich. W związku z tym jako odpowiednią podstawę prawną niniejszej inicjatywy wskazuje się art. 114 TFUE. •Pomocniczość (w przypadku kompetencji niewyłącznych) Obywatele i przedsiębiorstwa powinni móc korzystać z dostępności wysoce bezpiecznych i wiarygodnych rozwiązań w zakresie tożsamości cyfrowej, które mogą być stosowane w całej UE, oraz z możliwości przenoszenia elektronicznych poświadczeń atrybutów powiązanych z tożsamością. Najnowsze osiągnięcia technologiczne, sytuacja na rynku i zapotrzebowanie użytkowników wymagają dostępności bardziej przyjaznych dla użytkownika rozwiązań transgranicznych, które umożliwiają dostęp do usług online w całej UE, czego rozporządzenie eIDAS w swoim obecnym kształcie nie może zaoferować. Użytkownicy coraz bardziej przyzwyczajają się także do rozwiązań dostępnych na całym świecie, na przykład w kontekście korzystania z rozwiązań takich jak pojedyncze logowanie, które większe platformy mediów społecznościowych zapewniają do celów dostępu do usług online. Państwa członkowskie nie są w stanie samodzielnie sprostać wyzwaniom, jakie stwarza to pod względem władzy rynkowej dużych dostawców usług – potrzebne są interoperacyjność i wiarygodne systemy identyfikacji elektronicznej na szczeblu UE. Ponadto elektroniczne poświadczenia atrybutów wydawane i akceptowane w jednym państwie członkowskim, takie jak elektroniczne świadectwo zdrowia, często nie są prawnie uznawane i akceptowane w innych państwach członkowskich. Stwarza to ryzyko, że państwa członkowskie będą nadal opracowywać fragmentaryczne rozwiązania krajowe, które nie mogą funkcjonować w kontekście transgranicznym. Jeżeli chodzi o świadczenie usług zaufania, to mimo że są one w dużej mierze uregulowane i funkcjonują zgodnie z obowiązującymi przepisami, praktyki krajowe również stwarzają ryzyko większej fragmentacji. Interwencja na szczeblu UE jest ostatecznie najodpowiedniejsza, aby zapewnić obywatelom i przedsiębiorstwom środki umożliwiające identyfikację transgraniczną i wymianę osobistych atrybutów tożsamości i danych uwierzytelniających za pomocą wysoce bezpiecznych i wiarygodnych rozwiązań w zakresie tożsamości cyfrowej zgodnie z unijnymi przepisami o ochronie danych. Wymaga to zaufanej i bezpiecznej identyfikacji elektronicznej oraz ram regulacyjnych łączących tę identyfikację z atrybutami i danymi uwierzytelniającymi na szczeblu UE. Jedynie w drodze interwencji na szczeblu UE można ustanowić zharmonizowane warunki, które zapewniają użytkownikom kontrolę nad transgranicznymi usługami cyfrowymi online i dostęp do nich, oraz ramy interoperacyjności, które ułatwią wykorzystywanie bezpiecznych rozwiązań w zakresie tożsamości cyfrowej w usługach online niezależnie od tego, gdzie w UE wydano dane rozwiązanie lub gdzie mieszka dany obywatel. Jak w dużej mierze wynika z przeglądu stosowania rozporządzenia eIDAS, jest mało prawdopodobne, by interwencja krajowa była równie efektywna i skuteczna. •Proporcjonalność Niniejsza inicjatywa jest proporcjonalna do zamierzonych celów i stanowi odpowiedni instrument służący ustanowieniu niezbędnej struktury interoperacyjności na potrzeby utworzenia unijnego ekosystemu tożsamości cyfrowej opartego na tożsamościach prawnych wydawanych przez państwa członkowskie oraz na dostarczaniu kwalifikowanych i niekwalifikowanych atrybutów tożsamości cyfrowej. Wnosi ona wyraźny wkład w osiągniecie celu, jakim jest poprawa jednolitego rynku cyfrowego dzięki bardziej zharmonizowanym ramom prawnym. Zharmonizowane europejskie portfele tożsamości cyfrowej, które państwa członkowskie mają wydawać na podstawie wspólnych norm technicznych, również stanowią wspólne podejście unijne przynoszące korzyści użytkownikom i stronom korzystającym z dostępności bezpiecznych rozwiązań transgranicznych w zakresie tożsamości elektronicznej. Niniejsza inicjatywa służy wyeliminowaniu ograniczeń obecnej infrastruktury interoperacyjności identyfikacji elektronicznej opartej na wzajemnym uznawaniu różnych krajowych systemów identyfikacji elektronicznej. Biorąc pod uwagę wyznaczone cele, uznaje się, że inicjatywa ta jest wystarczająco proporcjonalna, a jej koszty będą prawdopodobnie współmierne do potencjalnych korzyści. Proponowane rozporządzenie będzie wiązało się z kosztami finansowymi i administracyjnymi dla państw członkowskich jako wydawców europejskich portfeli tożsamości cyfrowej oraz dla dostawców usług zaufania i usług online. Nad kosztami tymi prawdopodobnie będą jednak przeważały znaczne potencjalne korzyści dla obywateli i użytkowników wynikające bezpośrednio z szerszego transgranicznego uznawania i akceptacji usług w zakresie tożsamości elektronicznej i atrybutów. Kosztów związanych z tworzeniem nowych norm i dostosowywaniem się do nich dostawców usług zaufania i usług online nie można uniknąć, jeżeli ma zostać osiągnięty cel dotyczący używalności i dostępności. Inicjatywa ta ma na celu wykorzystanie inwestycji, które państwa członkowskie już poczyniły w ramach krajowych systemów tożsamości, i oparcie się na nich. Ponadto koszty dodatkowe wynikające z wniosku mają posłużyć wsparciu harmonizacji i są uzasadnione oczekiwaniem, że w dłuższej perspektywie doprowadzą do spadku obciążenia administracyjnego i kosztów przestrzegania przepisów. Koszty związane z akceptacją atrybutów uwierzytelniania tożsamości cyfrowej w sektorach regulowanych również można uznać za konieczne i proporcjonalne, o ile przyczyniają się one do osiągnięcia ogólnego celu i stanowią środki, za których pomocą sektory regulowane mogą wypełniać zobowiązania prawne na potrzeby zgodnej z prawem identyfikacji użytkownika. •Wybór instrumentu Wybór rozporządzenia jako instrumentu prawnego jest uzasadniony potrzebą zapewnienia na rynku wewnętrznym jednolitych warunków stosowania europejskiej tożsamości cyfrowej za pomocą zharmonizowanych ram, których celem jest osiągnięcie niezakłóconej interoperacyjności oraz zapewnienie europejskim obywatelom i przedsiębiorstwom możliwości korzystania z usług publicznych i prywatnych w całej Unii przy użyciu wysoce bezpiecznych i wiarygodnych systemów identyfikacji elektronicznej. 3.WYNIKI OCEN EX POST, KONSULTACJI Z ZAINTERESOWANYMI STRONAMI I OCEN SKUTKÓW •Oceny ex post/oceny adekwatności obowiązującego prawodawstwa

Ocenę funkcjonowania rozporządzenia eIDAS przeprowadzono w ramach procesu przeglądu wymaganego w art. 49 tego rozporządzenia. Z głównych ustaleń oceny w odniesieniu do tożsamości elektronicznej wynika, że nie wykorzystano pełnego potencjału rozporządzenia eIDAS. Notyfikowano jedynie ograniczoną liczbę systemów identyfikacji elektronicznej, co sprawia, że liczba obywateli Unii objętych notyfikowanymi systemami identyfikacji elektronicznej jest ograniczona do ok. 59 % ludności. Ponadto poziom akceptacji notyfikowanych systemów identyfikacji elektronicznej jest ograniczony zarówno na szczeblu państw członkowskich, jak i dostawców usług. Wydaje się również, że tylko nieliczne usługi dostępne za pośrednictwem krajowego systemu identyfikacji elektronicznej są połączone z krajową infrastrukturą eIDAS. W badaniu oceniającym stwierdzono również, że obecny zakres stosowania rozporządzenia eIDAS i główny jego przedmiot, czyli systemy identyfikacji elektronicznej notyfikowane przez państwa członkowskie UE i umożliwienie dostępu do usług publicznych online, są zbyt ograniczone i niewystarczające. Zdecydowana większość potrzeb w zakresie tożsamości elektronicznej i uwierzytelniania na odległość nadal występuje po stronie sektora prywatnego, w szczególności w obszarach takich jak: bankowość, telekomunikacja i obsługa platform, gdzie operatorzy zgodnie z prawem są zobowiązani do weryfikacji tożsamości klientów. Wartość dodana rozporządzenia eIDAS w odniesieniu do tożsamości elektronicznej jest ograniczona ze względu na jej mały zasięg oraz nieznaczne rozpowszechnienie i wykorzystanie. Problemy wskazane w niniejszym wniosku są związane z niedociągnięciami obecnych ram eIDAS, a także z zasadniczymi zmianami kontekstowymi dotyczącymi rynków oraz rozwoju społecznego i technologicznego, wskutek których pojawiają się nowe potrzeby użytkowników i rynku. •Konsultacje z zainteresowanymi stronami Otwarte konsultacje publiczne rozpoczęto w dniu 24 lipca 2020 r., a zamknięto w dniu 2 października 2020 r. Komisja otrzymała łącznie 318 odpowiedzi. Komisja otrzymała również 106 odpowiedzi udzielonych w ukierunkowanym badaniu opinii zainteresowanych stron. Na różnych posiedzeniach dwustronnych i wielostronnych oraz w ramach badań organizowanych od początku 2020 r. zebrano również opinie państw członkowskich. Obejmuje to w szczególności badanie przeprowadzone w okresie lipiec–sierpień 2020 r. wśród przedstawicieli państw członkowskich w sieci współpracy eIDAS oraz różne specjalne warsztaty. Komisja przeprowadziła również wywiady pogłębione z przedstawicielami branży i zorganizowała spotkania dwustronne z zainteresowanymi przedsiębiorcami z różnych sektorów (np. handlu elektronicznego, opieki zdrowotnej, usług finansowych, telekomunikacji, produkcji sprzętu itp.). Zdecydowana większość respondentów uczestniczących w otwartych konsultacjach publicznych z zadowoleniem przyjęła utworzenie jednolitej i powszechnie akceptowanej tożsamości cyfrowej opartej na tożsamościach prawnych wydawanych przez państwa członkowskie. Państwa członkowskie w dużej mierze opowiadają się za potrzebą wzmocnienia obecnego rozporządzenia eIDAS w taki sposób, aby zapewnić obywatelom możliwość dostępu zarówno do usług publicznych, jak i prywatnych, oraz uznają potrzebę ustanowienia usługi zaufania umożliwiającej wydawanie elektronicznych poświadczeń atrybutów i transgraniczne korzystanie z nich. Ogólnie rzecz biorąc, państwa członkowskie podkreśliły potrzebę oparcia europejskich ram tożsamości cyfrowej na doświadczeniach wyniesionych z rozwiązań krajowych i na mocnych stronach tych rozwiązań, co ma na celu osiągnięcie synergii i czerpanie korzyści z poczynionych inwestycji. Wiele zainteresowanych stron wspomniało o tym, że pandemia COVID-19 uwidoczniła wartość bezpiecznej identyfikacji na odległość dla wszystkich osób w kontekście dostępu do usług publicznych i prywatnych. W kwestii usług zaufania większość podmiotów zgadza się, że obecne ramy stanowią sukces, jednak konieczne były pewne dodatkowe środki służące dalszej harmonizacji niektórych praktyk związanych z identyfikacją na odległość i nadzorem krajowym. Te zainteresowane strony, których baza klientów jest w dużej mierze krajowa, wyraziły większe wątpliwości co do wartości dodanej europejskich ram tożsamości cyfrowej. W sektorze publicznym i prywatnym w coraz większym stopniu postrzega się portfele tożsamości cyfrowej jako najwłaściwszy instrument umożliwiający użytkownikom wybór, kiedy i któremu prywatnemu dostawcy usług będą udostępniać różne atrybuty w zależności od przypadku użycia i bezpieczeństwa potrzebnego w odniesieniu do danej transakcji. Za główny atut rozwiązania wytrzymującego próbę czasu uznano tożsamości cyfrowe oparte na cyfrowych portfelach przechowywanych w bezpieczny sposób na urządzeniach przenośnych. Zarówno rynek prywatny (np. Apple, Google, Thales), jak i rządy już zmierzają w tym kierunku. •Gromadzenie i wykorzystanie wiedzy eksperckiej Niniejszy wniosek opiera się na informacjach zebranych w ramach konsultacji z zainteresowanymi stronami do celów oceny skutków i sprawozdań oceniających na temat rozporządzenia eIDAS w świetle obowiązków w zakresie przeglądu określonych w art. 49 tego rozporządzenia. Zorganizowano liczne spotkania z przedstawicielami państw członkowskich i ekspertami. •Ocena skutków W odniesieniu do niniejszego wniosku przeprowadzono ocenę skutków. W dniu 19 marca 2021 r. Rada ds. Kontroli Regulacyjnej wydała opinię negatywną z pewnymi uwagami. Po przedłożeniu zmienionego wniosku w dniu 5 maja 2021 r. Rada wydała opinię pozytywną. Komisja przeanalizowała różne warianty strategiczne mające na celu osiągnięcie ogólnego celu niniejszej inicjatywy, jakim jest zapewnienie należytego funkcjonowania rynku wewnętrznego, w szczególności pod względem dostarczania i stosowania wysoce bezpiecznych i wiarygodnych rozwiązań w zakresie tożsamości elektronicznej. W ocenie skutków zbadano scenariusz odniesienia, warianty strategiczne oraz ich skutki dla trzech rozważanych wariantów strategicznych. Każdy wariant stanowi wybór do rozważenia z punktu widzenia polityki w zależności od poziomu ambicji. Pierwszy wariant odpowiada niskiemu poziomowi ambicji i obejmuje zestaw środków mających na celu głównie zwiększenie skuteczności i efektywności rozporządzenia eIDAS w jego obecnym kształcie. Pierwszy wariant przewiduje wprowadzenie obowiązku notyfikacji krajowych systemów identyfikacji elektronicznej i usprawnienie istniejących instrumentów dostępnych na potrzeby osiągnięcia wzajemnego uznawania, opiera się zatem na zaspokojeniu potrzeb obywateli w drodze wykorzystania dostępności różnych krajowych systemów identyfikacji elektronicznej, które mają stać się interoperacyjne. Drugi wariant odzwierciedla średni poziom ambicji i ma na celu głównie rozszerzenie możliwości bezpiecznej wymiany danych związanych z tożsamością, co będzie stanowić uzupełnienie rządowych systemów identyfikacji elektronicznej i przyczyni się do obserwowanego obecnie przechodzenia na usługi w zakresie tożsamości oparte na atrybutach. Celem tego wariantu byłoby zaspokojenie zapotrzebowania użytkowników i utworzenie nowej kwalifikowanej usługi zaufania w celu dostarczania elektronicznych poświadczeń atrybutów powiązanych z zaufanymi źródłami i możliwych do egzekwowania w wymiarze transgranicznym. Rozszerzyłoby to zakres stosowania obecnego rozporządzenia eIDAS i umożliwiłoby uwzględnienie największej możliwej liczby przypadków użycia, które opierają się na weryfikacji atrybutów tożsamości powiązanych z osobą przy zapewnieniu wysokiego poziomu bezpieczeństwa. Trzeci – preferowany – wariant odpowiada najwyższemu poziomowi ambicji i ma na celu uregulowanie dostarczania wysoce bezpiecznego osobistego portfela tożsamości cyfrowej wydawanego przez państwa członkowskie. Uznano, że preferowany wariant w najbardziej skuteczny sposób przyczyni się do osiągnięcia celów niniejszej inicjatywy. Aby w pełni osiągnąć cele polityki, preferowany wariant oparto na większości środków ocenionych w ramach wariantu pierwszego (korzystanie z tożsamości prawnych poświadczonych przez państwa członkowskie i dostępność wzajemnie uznawanych środków identyfikacji elektronicznej) oraz wariantu drugiego (elektroniczne poświadczenia atrybutów prawnie uznawane transgranicznie). Jeżeli chodzi o ogólne ramy usług zaufania, poziom ambicji wymaga zestawu środków, które umożliwiają osiągnięcie celów polityki bez konieczności stosowania podejścia etapowego. Nowa kwalifikowana usługa zaufania na potrzeby zarządzania urządzeniami do składania podpisów i pieczęci elektronicznych na odległość przyniosłaby znaczne korzyści pod względem bezpieczeństwa, jednolitości, pewności prawa i możliwości wyboru oferowanych konsumentom zarówno w związku z certyfikacją kwalifikowanych urządzeń do składania podpisu, jak i w odniesieniu do wymogów, które muszą spełniać kwalifikowani dostawcy usług zaufania zarządzający takimi urządzeniami. Nowe przepisy wzmocniłyby ogólne ramy regulacyjne i nadzorcze na potrzeby świadczenia usług zaufania. Skutki wariantów strategicznych dla różnych kategorii zainteresowanych stron wyjaśniono szczegółowo w załączniku 3 do oceny skutków uzupełniającej niniejszą inicjatywę. Ocena ta ma zarówno charakter ilościowy, jak i jakościowy. Z badania przeprowadzonego na potrzeby oceny skutków wynika, że minimalne wymierne koszty można oszacować na ponad 3,2 mld EUR, ponieważ niektórych pozycji kosztów nie można określić ilościowo. Łączne wymierne korzyści oszacowano na 3,9–9,6 mld EUR. Jeżeli chodzi o szersze skutki gospodarcze, oczekuje się, że preferowany wariant będzie miał pozytywne skutki dla innowacji, handlu międzynarodowego i konkurencyjności, przyczyni się do wzrostu gospodarczego oraz doprowadzi do dodatkowych inwestycji w rozwiązania w zakresie tożsamości cyfrowej. Oczekuje się na przykład, że dodatkowe inwestycje w wysokości 500 mln EUR, do których dojdzie w wyniku zmian legislacyjnych w ramach wariantu trzeciego, przyniosą po 10 latach korzyści o wartości 1 268 mln EUR (przy przyjęciu na poziomie 67 %). Oczekuje się również, że preferowany wariant będzie miał pozytywne skutki dla zatrudnienia – w ciągu pięciu lat od wdrożenia przyczyni się do powstania 5 000–27 000 dodatkowych miejsc pracy. Będzie to efektem dodatkowych inwestycji i mniejszych kosztów dla przedsiębiorstw korzystających z rozwiązań w zakresie identyfikacji elektronicznej. Oczekuje się, że pozytywne skutki dla środowiska będą największe w przypadku wariantu trzeciego, który ma w jak największym stopniu zwiększyć upowszechnienie i używalność identyfikacji elektronicznej, co będzie miało pozytywne skutki pod względem redukcji emisji związanych ze świadczeniem usług publicznych. Rejestry elektroniczne zapewniają użytkownikom dowody i niezmienną ścieżkę audytu w odniesieniu do kolejności transakcji i zapisów danych, chroniąc integralność danych. Chociaż tej usługi zaufania nie uwzględniono w ocenie skutków, opiera się ona na istniejących usługach zaufania, ponieważ łączy znaczniki czasu danych i ich kolejność z pewnością w odniesieniu do twórcy danych, co stanowi rozwiązanie podobne do podpisu elektronicznego. Ta usługa zaufania jest niezbędna, by zapobiec fragmentacji rynku wewnętrznego dzięki określeniu jednolitych ogólnoeuropejskich ram umożliwiających transgraniczne uznawanie usług zaufania wykorzystywanych w prowadzeniu kwalifikowanych rejestrów elektronicznych. Integralność danych jest z kolei bardzo ważna dla łączenia danych ze źródeł zdecentralizowanych, dla rozwiązań w zakresie tożsamości opartych na autonomii jednostki, przypisywania własności do aktywów cyfrowych, rejestrowania procesów biznesowych na potrzeby kontroli zgodności z kryteriami zrównoważonego rozwoju oraz dla różnych przypadków użycia na rynkach kapitałowych.

•Sprawność regulacyjna i uproszczenie W niniejszym wniosku ustanawia się środki, które będą miały zastosowanie do organów publicznych, obywateli i dostawców usług online. Zmniejszy to koszty administracyjne i koszty przestrzegania przepisów, które ponosi administracja publiczna, oraz koszty operacyjne i wydatki związane z bezpieczeństwem, które ponoszą dostawcy usług online. Obywatele odniosą korzyści w postaci oszczędności wynikających ze zmniejszenia obciążenia administracyjnego, gdyż będą mogli korzystać w pełni ze środków cyfrowych do celów identyfikacji oraz z możliwości bezpiecznej wymiany atrybutów tożsamości cyfrowej o takiej samej wartości prawnej w wymiarze transgranicznym. Dostawcy tożsamości elektronicznej również skorzystają na niższych kosztach przestrzegania przepisów. •Prawa podstawowe Ponieważ dane osobowe wchodzą w zakres stosowania niektórych elementów rozporządzenia, środki zaprojektowano w taki sposób, by były w pełni zgodne z przepisami o ochronie danych. We wniosku udoskonalono na przykład możliwości w zakresie udostępniania danych i umożliwiania uznaniowego ujawniania informacji. Za pomocą europejskiego portfela tożsamości cyfrowej użytkownik będzie mógł kontrolować ilość danych przekazywanych stronom ufającym i uzyskiwać informacje o atrybutach wymaganych do świadczenia konkretnej usługi. Dostawcy usług muszą informować państwa członkowskie o zamiarze stosowania europejskiego portfela tożsamości cyfrowej, co umożliwi państwom członkowskim kontrolowanie, czy dostawcy usług wymagają zbiorów danych wrażliwych, na przykład dotyczących zdrowia, wyłącznie w zakresie zgodnym z prawem krajowym. 4.WPŁYW NA BUDŻET Aby w optymalny sposób osiągnąć cele niniejszej inicjatywy, trzeba sfinansować szereg działań zarówno na poziomie Komisji, na którym przewiduje się przydział ok. 60 EPC w latach 2022–2027, jak i na poziomie państw członkowskich poprzez ich aktywne uczestnictwo w grupach ekspertów i komitetach powiązanych z pracami w ramach tej inicjatywy i składających się z przedstawicieli państw członkowskich. Łączne zasoby finansowe niezbędne do celów wdrożenia wniosku w latach 2022–2027 wyniosą do 30,825 mln EUR, z której to kwoty 8,825 mln EUR zostanie przeznaczone na koszty administracyjne, a do 22 mln EUR – na wydatki operacyjne objęte programem „Cyfrowa Europa” (do uzgodnienia). Finansowanie będzie przeznaczone na pokrycie kosztów związanych z utrzymaniem, opracowywaniem, hostingiem, obsługą i wspieraniem modułów identyfikacji elektronicznej i usług zaufania. Może być również przeznaczone na dotacje mające na celu łączenie usług z ekosystemem europejskiego portfela tożsamości cyfrowej oraz opracowanie norm i specyfikacji technicznych. Ponadto środki finansowe posłużą również sfinansowaniu corocznych badań i analiz dotyczących skuteczności i efektywności rozporządzenia w osiąganiu jego celów. Szczegółowy przegląd związanych z tym kosztów znajduje się w „ocenie skutków finansowych regulacji” związanej z niniejszą inicjatywą. 5.ELEMENTY FAKULTATYWNE •Plany wdrożenia i monitorowanie, ocena i sprawozdania Skutki będą monitorowane i oceniane zgodnie z wytycznymi dotyczącymi lepszego stanowienia prawa obejmującymi wdrażanie i stosowanie rozporządzenia, którego dotyczy niniejszy wniosek. Uzgodnienia w zakresie monitorowania stanowią istotną część wniosku, w szczególności w świetle niedociągnięć obecnych ram sprawozdawczości wskazanych w badaniu oceniającym. Oprócz wymogów dotyczących sprawozdawczości wprowadzonych w proponowanym rozporządzeniu, których celem jest zapewnienie lepszej bazy danych i analiz, ramy monitorowania będą obejmować następujące elementy: 1) zakres, w jakim niezbędne zmiany wdrożono zgodnie z przyjętymi środkami; 2) czy wprowadzono niezbędne zmiany w odpowiednich systemach krajowych; 3) czy stosowano się do niezbędnych zmian w zobowiązaniach w zakresie zgodności podmiotów objętych regulacją. Komisja Europejska (1, 2 i 3) oraz właściwe organy krajowe (2 i 3) będą odpowiedzialne za gromadzenie danych na podstawie uprzednio określonych wskaźników. W kwestii stosowania proponowanego instrumentu Komisja Europejska i właściwe organy krajowe będą oceniać w drodze corocznych badań: 1) dostęp wszystkich obywateli Unii do środków identyfikacji elektronicznej; 2) zwiększone uznawanie i akceptację systemów identyfikacji elektronicznej w wymiarze transgranicznym; 3) środki zachęcające sektor prywatny do przyjęcia proponowanych rozwiązań i pobudzające rozwój nowych usług w zakresie tożsamości cyfrowej. Komisja Europejska będzie w ramach corocznych badań gromadzić informacje kontekstowe na temat: 1) wielkość rynku tożsamości cyfrowych; 2) wydatków na zamówienia publiczne związanych z tożsamością cyfrową; 3) odsetka przedsiębiorstw świadczących usługi online; 4) odsetka transakcji online wymagających silnego uwierzytelnienia klienta; 5) odsetka obywateli Unii korzystających z usług prywatnych i publicznych online. •Szczegółowe objaśnienia poszczególnych przepisów wniosku W art. 6a projektu rozporządzenia zobowiązuje się państwa członkowskie do wydania w ramach notyfikowanego systemu identyfikacji elektronicznej europejskiego portfela tożsamości cyfrowej zgodnie ze wspólnymi normami technicznymi po przeprowadzeniu obowiązkowej oceny zgodności i dobrowolnej certyfikacji w europejskich ramach certyfikacji cyberbezpieczeństwa ustanowionych na mocy aktu o cyberbezpieczeństwie. Zawiera on przepisy zapewniające osobom fizycznym i prawnym możliwość bezpiecznego żądania i otrzymywania, przechowywania, łączenia i wykorzystywania danych identyfikujących osobę i elektronicznych poświadczeń atrybutów na potrzeby uwierzytelniania online i offline oraz umożliwienia dostępu do towarów i usług publicznych i prywatnych online pod kontrolą użytkownika. Certyfikacja ta nie narusza przepisów RODO w tym sensie, że operacje przetwarzania danych osobowych związane z europejskim portfelem tożsamości cyfrowej mogą być certyfikowane wyłącznie na podstawie art. 42 i 43 RODO. Art. 6b wniosku zawiera przepisy szczegółowe dotyczące wymogów mających zastosowanie do stron ufających w celu zapobiegania oszustwom oraz zapewnienia uwierzytelniania danych identyfikujących osobę i elektronicznych poświadczeń atrybutów pochodzących z europejskiego portfela tożsamości cyfrowej. Aby udostępnić więcej środków identyfikacji elektronicznej do użytku transgranicznego oraz zwiększyć skuteczność procesu wzajemnego uznawania notyfikowanych systemów identyfikacji elektronicznej, w art. 7 nałożono na państwa członkowskie obowiązek zgłoszenia co najmniej jednego systemu identyfikacji elektronicznej. Aby zapewnić niepowtarzalną i trwałą identyfikację osób fizycznych, w art. 11a dodano ponadto przepisy ułatwiające unikalną identyfikację. Dotyczy to przypadków, w których identyfikacja jest wymagana na mocy prawa, np. w obszarze zdrowia, w obszarze finansów, aby wywiązać się z obowiązków w zakresie przeciwdziałania praniu pieniędzy, lub do celów sądowych. W tym celu państwa członkowskie będą zobowiązane do włączenia do minimalnego zbioru danych identyfikujących osobę unikalnego i trwałego identyfikatora. Możliwość korzystania przez państwa członkowskie z certyfikacji w celu zapewnienia zgodności z rozporządzeniem, a tym samym zastąpienie procesu wzajemnej oceny, zwiększa skuteczność wzajemnego uznawania. W sekcji 3 przedstawiono nowe przepisy dotyczące transgranicznego korzystania z europejskiego portfela tożsamości cyfrowej, aby zapewnić użytkownikom możliwości korzystania z tych portfeli w celu uzyskiwania dostępu do usług online świadczonych przez podmioty sektora publicznego i prywatnych dostawców usług, które to usługi wymagają silnego uwierzytelniania użytkownika. W rozdziale III dotyczącym usług zaufania zmieniono art. 14 dotyczący aspektów międzynarodowych, aby umożliwić Komisji przyjmowanie decyzji wykonawczych potwierdzających równoważność wymogów mających zastosowanie do dostawców usług zaufania mających siedzibę w państwach trzecich i do świadczonych przez nich usług, poza korzystaniem z umów o wzajemnym uznawaniu zgodnie z art. 218 TFUE. W odniesieniu do przepisów ogólnych mających zastosowanie do usług zaufania, w tym do kwalifikowanych dostawców usług zaufania, zmieniono art. 17, 18, 20, 21 i 24 w celu dostosowania ich do przepisów mających zastosowanie do bezpieczeństwa sieci i informacji w UE. Jeżeli chodzi o metody, które kwalifikowani dostawcy usług zaufania mają stosować na potrzeby weryfikacji tożsamości osób fizycznych lub prawnych, którym wydawane są kwalifikowane certyfikaty, zharmonizowano i doprecyzowano przepisy dotyczące korzystania ze środków identyfikacji na odległość, aby zapewnić stosowanie tych samych przepisów w całej UE. W rozdziale III przedstawiono nowy art. 29a w celu określenia wymogów dotyczących kwalifikowanej usługi zarządzania urządzeniami do składania podpisu elektronicznego na odległość. Nowa kwalifikowana usługa zaufania będzie bezpośrednio powiązana ze środkami przywołanymi i ocenionymi w ocenie skutków oraz oparta na nich, w szczególności środkach dotyczących „harmonizacji procesu certyfikacji do celów składania podpisu elektronicznego na odległość” i innych środkach wymagających zharmonizowania przez państwa członkowskie praktyk nadzoru. W celu zapewnienia użytkownikom możliwości zidentyfikowania, kto stoi za daną witryną internetową, zmieniono art. 45, aby zobowiązać dostawców przeglądarek internetowych do ułatwienia korzystania z kwalifikowanych certyfikatów uwierzytelniania witryn internetowych.

W rozdziale III przedstawiono trzy nowe sekcje. Nową sekcją 9 wprowadzono przepisy dotyczące skutków prawnych elektronicznych poświadczeń atrybutów, ich stosowania w określonych sektorach oraz wymogów dotyczących kwalifikowanych poświadczeń atrybutów. W celu zapewnienia wysokiego poziomu zaufania w art. 45d dodano przepis dotyczący weryfikacji atrybutów w zestawieniu ze źródłami autentycznymi. Aby zapewnić użytkownikom europejskiego portfela tożsamości cyfrowej możliwość korzystania z dostępności elektronicznych poświadczeń atrybutów i otrzymywania takich poświadczeń w odniesieniu do tego portfela, w art. 45e dodano stosowny wymóg. Art. 45f zawiera natomiast dodatkowe przepisy w odniesieniu do świadczenia usług elektronicznego poświadczania atrybutów, w tym dotyczące ochrony danych osobowych. Nowa sekcja 10 umożliwia świadczenie kwalifikowanych usług archiwizacji elektronicznej na szczeblu UE. Art. 45g dotyczący kwalifikowanych usług archiwizacji elektronicznej uzupełnia art. 34 i 40, które odnoszą się kwalifikowanych usług konserwacji kwalifikowanych podpisów elektronicznych i kwalifikowanych pieczęci elektronicznych. W nowej sekcji 11 ustanowiono ramy usług zaufania w odniesieniu do tworzenia i prowadzenia rejestrów elektronicznych i kwalifikowanych rejestrów elektronicznych. Rejestr elektroniczny łączy stosowanie znaczników czasu danych i kolejności danych z pewnością co do twórcy danych, co stanowi rozwiązanie podobne do podpisu elektronicznego, przy czym dodatkową korzyścią wynikającą z rejestru jest umożliwienie bardziej zdecentralizowanego zarządzania, które jest odpowiednie dla współpracy wielostronnej. Jest to ważne w przypadku różnych przypadków użycia, które mogą być oparte na rejestrach elektronicznych. Rejestry elektroniczne pomagają przedsiębiorstwom osiągnąć oszczędności kosztów dzięki zwiększeniu skuteczności i bezpieczeństwa koordynacji wielostronnej, a także ułatwiają nadzór regulacyjny. Wobec braku europejskich uregulowań istnieje ryzyko, że ustawodawcy krajowi ustanowią rozbieżne normy krajowe. Aby zapobiec fragmentacji, konieczne jest określenie jednolitych ogólnoeuropejskich ram umożliwiających transgraniczne uznawanie usług zaufania wykorzystywanych w prowadzeniu rejestrów elektronicznych. Ta ogólnoeuropejska norma dotycząca operatorów węzłów będzie miała zastosowanie niezależnie od innych przepisów prawa wtórnego UE. W przypadku gdy rejestry elektroniczne wykorzystuje się w obsłudze emisji obligacji lub obrotu nimi, lub na potrzeby kryptoaktywów, przypadki użycia powinny być zgodne z wszystkimi mającymi zastosowanie przepisami finansowymi, np. z dyrektywą w sprawie rynków instrumentów finansowych, dyrektywą w sprawie usług płatniczych i przyszłym rozporządzeniem w sprawie rynków kryptoaktywów. Jeżeli przypadki użycia dotyczą danych osobowych, dostawcy usług będą musieli przestrzegać RODO. W 2017 r. 75 % wszystkich przypadków użycia rejestrów elektronicznych dotyczyło bankowości i finansów. Przypadki użycia rejestrów elektronicznych są obecnie coraz bardziej zróżnicowane: 17 % dotyczy obszaru komunikacji i mediów; 15 % – produkcji i zasobów naturalnych, 10 % – sektora rządowego, 8 % – ubezpieczeń, 5 % – handlu detalicznego, 6 % – transportu, 5 % – usług użyteczności publicznej. Ponadto w rozdziale VI wprowadzono nowy art. 48b, aby zapewnić gromadzenie danych statystycznych dotyczących korzystania z europejskiego portfela tożsamości cyfrowej na potrzeby monitorowania skuteczności zmienionego rozporządzenia. 2021/0136 (COD) Wniosek ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY zmieniające rozporządzenie (UE) nr 910/2014 w odniesieniu do ustanowienia europejskich ram tożsamości cyfrowej PARLAMENT EUROPEJSKI I RADA UNII EUROPEJSKIEJ, uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 114, uwzględniając wniosek Komisji Europejskiej, po przekazaniu projektu aktu ustawodawczego parlamentom narodowym, uwzględniając opinię Europejskiego Komitetu Ekonomiczno-Społecznego, stanowiąc zgodnie ze zwykłą procedurą ustawodawczą, a także mając na uwadze, co następuje: (1)W komunikacie Komisji z dnia 19 lutego 2020 r. pt. „Kształtowanie cyfrowej przyszłości Europy” zapowiedziano przegląd rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 w celu zwiększenia jego skuteczności, zwiększenia korzyści dla sektora prywatnego i promowania wiarygodnych tożsamości cyfrowych dla wszystkich Europejczyków. (2)W konkluzjach z dni 1–2 października 2020 r. Rada Europejska wezwała Komisję do przedstawienia wniosku w sprawie opracowania ogólnounijnych ram bezpiecznej publicznej identyfikacji elektronicznej, w tym interoperacyjnych podpisów cyfrowych, by zapewnić ludziom kontrolę nad ich tożsamością i danymi w internecie, a także by umożliwić dostęp do publicznych, prywatnych i transgranicznych usług cyfrowych.

(3)W komunikacie Komisji z dnia 9 marca 2021 r. pt. „Cyfrowy kompas na 2030 r.: europejska droga w cyfrowej dekadzie” wyznaczono cel ram Unii, zgodnie z którym do 2030 r. powinny one zapewnić wprowadzenie na szeroką skalę zaufanej, kontrolowanej przez użytkownika tożsamości, dzięki której każdy obywatel będzie mógł kontrolować swoje kontakty i obecność online. (4)Bardziej zharmonizowane podejście do identyfikacji cyfrowej powinno ograniczyć ryzyko i koszty wynikające z obecnej fragmentacji, która spowodowana jest stosowaniem rozbieżnych rozwiązań krajowych, oraz wzmocni jednolity rynek poprzez umożliwienie obywatelom, innym rezydentom określonym w prawie krajowym i przedsiębiorstwom identyfikacji online w dogodny i jednolity sposób w całej Unii. Każdy powinien mieć możliwość bezpiecznego dostępu do usług publicznych i prywatnych za pomocą ulepszonego ekosystemu usług zaufania oraz zweryfikowanych dowodów potwierdzających tożsamość i poświadczeń atrybutów takich jak dyplom ukończenia studiów wyższych prawnie uznawany i akceptowany w całej Unii. Ramy europejskiej tożsamości cyfrowej mają na celu przejście od polegania wyłącznie na krajowych rozwiązaniach w zakresie tożsamości cyfrowej do dostarczania elektronicznych poświadczeń atrybutów ważnych na szczeblu europejskim. Dostawcy elektronicznych poświadczeń atrybutów powinni odnieść korzyści dzięki jasnemu i jednolitemu zestawowi przepisów, a administracje publiczne powinny mieć możliwość polegania na dokumentach elektronicznych w określonym formacie. (5)Aby wspierać konkurencyjność europejskich przedsiębiorstw, dostawcy usług online powinni móc polegać na rozwiązaniach w zakresie tożsamości cyfrowej uznawanych w całej Unii, niezależnie od państwa członkowskiego, w którym zostały wydane, a tym samym czerpać korzyści ze zharmonizowanego europejskiego podejścia do zaufania, bezpieczeństwa i interoperacyjności. Zarówno użytkownicy, jak i dostawcy usług powinni mieć możliwość korzystania z przyznania elektronicznym poświadczeniom atrybutów takiej samej wartości prawnej w całej UE. (6)W ramach wdrażania niniejszego rozporządzenia do przetwarzania danych osobowych ma zastosowanie rozporządzenie (UE) 2016/679. W związku z tym w niniejszym rozporządzeniu należy ustanowić określone zabezpieczenia uniemożliwiające dostawcom środków identyfikacji elektronicznej i elektronicznego poświadczenia atrybutów łączenie danych osobowych pochodzących z innych usług z danymi osobowymi dotyczącymi usług objętych zakresem stosowania niniejszego rozporządzenia. (7)Konieczne jest określenie zharmonizowanych warunków na potrzeby ustanowienia ram europejskich portfeli tożsamości cyfrowej wydawanych przez państwa członkowskie, które to ramy powinny uprawniać wszystkich obywateli Unii i innych rezydentów określonych w prawie krajowym do bezpiecznego udostępniania danych związanych z ich tożsamością w sposób przyjazny dla użytkownika i dogodny oraz pod wyłączną kontrolą użytkownika. Należy rozwijać technologie wykorzystywane do osiągnięcia tych celów, dążąc do zapewnienia najwyższego poziomu bezpieczeństwa, wygody użytkowników i szerokiej używalności. Państwa członkowskie powinny zapewnić równy dostęp do identyfikacji cyfrowej wszystkim swoim obywatelom i rezydentom. (8)W celu zapewnienia zgodności z prawem Unii lub prawem krajowym zgodnym z prawem Unii dostawcy usług powinni informować państwa członkowskie o zamiarze polegania na europejskich portfelach tożsamości cyfrowej. Pozwoli to państwom członkowskim chronić użytkowników przed oszustwami i zapobiegać nielegalnemu wykorzystywaniu danych dotyczących tożsamości i elektronicznych poświadczeń atrybutów, a także zapewnić, aby przetwarzanie danych wrażliwych, takich jak dane dotyczące zdrowia, mogło być weryfikowane przez strony ufające zgodnie z prawem Unii lub prawem krajowym. (9)Wszystkie europejskie portfele tożsamości cyfrowej powinny umożliwiać użytkownikom elektroniczną identyfikację i uwierzytelnianie online i offline w kontekście transgranicznym na potrzeby dostępu do szerokiego zakresu usług publicznych i prywatnych. Bez uszczerbku dla prerogatyw państw członkowskich w zakresie identyfikacji ich obywateli i rezydentów, portfele mogą również zaspokajać potrzeby instytucjonalne administracji publicznych, organizacji międzynarodowych oraz instytucji, organów i jednostek organizacyjnych Unii. Korzystanie z portfeli offline byłoby ważne w wielu sektorach, w tym w sektorze opieki zdrowotnej, w którym usługi są często świadczone w ramach kontaktu osobistego, a w przypadku recept elektronicznych powinna istnieć możliwość stosowania kodów QR lub podobnych technologii do weryfikacji autentyczności. W opartych na „wysokim” poziomie bezpieczeństwa europejskich portfelach tożsamości cyfrowej należy wykorzystać potencjał, jaki oferują rozwiązania odporne na ingerencję, takie jak zabezpieczenia, by zapewnić zgodność z wymogami bezpieczeństwa określonymi w niniejszym rozporządzeniu. Europejskie portfele tożsamości cyfrowej powinny również umożliwiać użytkownikom tworzenie i używanie kwalifikowanych podpisów i pieczęci elektronicznych akceptowanych w całej UE. Aby zapewnić obywatelom i przedsiębiorstwom w całej UE korzyści w zakresie uproszczenia przepisów i zmniejszenia kosztów, w tym poprzez umożliwienie korzystania z uprawnień do reprezentowania i zgód elektronicznych, państwa członkowskie powinny wydawać europejskie portfele tożsamości cyfrowej oparte na wspólnych normach, aby zapewnić niezakłóconą interoperacyjność i wysoki poziom bezpieczeństwa. Wyłącznie właściwe organy państw członkowskich mogą zapewnić wysoki stopień pewności przy ustalaniu tożsamości danej osoby, gwarantując tym samym, że osoba podająca daną tożsamość jest faktycznie osobą, za którą się podaje. Europejskie portfele tożsamości cyfrowej muszą być zatem oparte się na tożsamości prawnej obywateli, innych rezydentów lub osób prawnych. Zaufanie do europejskich portfeli tożsamości cyfrowej ulegnie zwiększeniu ze względu na fakt, że podmioty je wydające są zobowiązane do wdrożenia odpowiednich środków technicznych i organizacyjnych w celu zapewnienia poziomu bezpieczeństwa współmiernego do stwarzanego ryzyka dla praw i wolności osób fizycznych zgodnie z rozporządzeniem (UE) 2016/679. (10)W celu osiągnięcia wysokiego poziomu bezpieczeństwa i wiarygodności w niniejszym rozporządzeniu ustanowiono wymogi dotyczące europejskich portfeli tożsamości cyfrowej. Zgodność europejskich portfeli tożsamości cyfrowej z tymi wymogami powinna być certyfikowana przez akredytowane podmioty sektora publicznego lub prywatnego wyznaczone przez państwa członkowskie. Poleganie na systemie certyfikacji opartym na dostępności norm wspólnie uzgodnionych z państwami członkowskimi powinno zapewnić wysoki poziom zaufania i interoperacyjności. Certyfikacja powinna w szczególności opierać się na odpowiednich europejskich programach certyfikacji cyberbezpieczeństwa ustanowionych na podstawie rozporządzenia (UE) 2019/881. Certyfikacja taka powinna pozostawać bez uszczerbku dla certyfikacji w odniesieniu do przetwarzania danych osobowych na podstawie rozporządzenia (UE) 2016/679. (11)Europejskie portfele tożsamości cyfrowej powinny zapewniać najwyższy poziom bezpieczeństwa danych osobowych wykorzystywanych do uwierzytelniania niezależnie od tego, czy dane te są przechowywane lokalnie, czy przy użyciu rozwiązań opartych na chmurze, z uwzględnieniem różnych poziomów ryzyka. Wykorzystywanie danych biometrycznych do uwierzytelniania jest jedną z metod identyfikacji zapewniających wysoki poziom pewności, zwłaszcza w połączeniu z innymi elementami uwierzytelniania. Ponieważ dane biometryczne dotyczą unikalnych cech danej osoby, korzystanie z tych danych wymaga środków organizacyjnych i środków bezpieczeństwa współmiernych do ryzyka, jakie takie przetwarzanie może stwarzać dla praw i wolności osób fizycznych, oraz musi być zgodne z rozporządzeniem (UE) 2016/679. (12)Aby zapewnić otwartość europejskich ram tożsamości cyfrowej na innowacje i rozwój technologiczny oraz aby ramy te wytrzymywały próbę czasu, należy zachęcać państwa członkowskie do wspólnego tworzenia piaskownic do testowania innowacyjnych rozwiązań w kontrolowanym i bezpiecznym środowisku, w szczególności w celu poprawy funkcjonalności, ochrony danych osobowych, bezpieczeństwa i interoperacyjności tych rozwiązań oraz w celu uzyskiwania informacji na potrzeby przyszłych aktualizacji technicznych dokumentów referencyjnych i wymogów prawnych. Środowisko to powinno sprzyjać włączeniu europejskich małych i średnich przedsiębiorstw, przedsiębiorstw typu start-up oraz innowatorów i badaczy indywidualnych. (13)Rozporządzenie (UE) 2019/1157 zwiększa bezpieczeństwo dowodów osobistych z ulepszonymi zabezpieczeniami do sierpnia 2021 r. Państwa członkowskie powinny rozważyć możliwość notyfikowania tych dowodów w ramach systemów identyfikacji elektronicznej, aby zwiększyć transgraniczną dostępność środków identyfikacji elektronicznej. (14)Proces notyfikacji systemów identyfikacji elektronicznej należy uprościć i przyspieszyć, aby promować dostęp do wygodnych, zaufanych, bezpiecznych i innowacyjnych rozwiązań w zakresie uwierzytelniania i identyfikacji oraz, w stosownych przypadkach, zachęcać prywatnych dostawców tożsamości do oferowania organom państw członkowskich systemów identyfikacji elektronicznej do notyfikacji jako krajowe systemy elektronicznych dowodów tożsamości na podstawie rozporządzenia (UE) nr 910/2014. (15)Usprawnienie obecnych procedur notyfikacji i wzajemnej oceny zapobiegnie niejednorodnemu podejściu do oceny różnych notyfikowanych systemów identyfikacji elektronicznej i ułatwi budowanie zaufania między państwami członkowskimi. Nowe, uproszczone mechanizmy powinny sprzyjać współpracy państw członkowskich w zakresie bezpieczeństwa i interoperacyjności notyfikowanych systemów identyfikacji elektronicznej. (16)Państwa członkowskie powinny odnieść korzyści dzięki nowym, elastycznym narzędziom służącym do zapewniania zgodności z wymogami niniejszego rozporządzenia i odpowiednich aktów wykonawczych. Niniejsze rozporządzenie powinno umożliwiać państwom członkowskim korzystanie ze sprawozdań i ocen sporządzonych przez akredytowane jednostki oceniające zgodność lub z dobrowolnych programów certyfikacji bezpieczeństwa ICT, takich jak programy certyfikacji, które mają zostać ustanowione na szczeblu Unii na podstawie rozporządzenia (UE) 2019/881, do celów poparcia twierdzeń dotyczących dostosowania programów lub ich części do wymogów rozporządzenia w zakresie interoperacyjności i bezpieczeństwa notyfikowanych systemów identyfikacji elektronicznej. (17)Dostawcy usług wykorzystują dane dotyczące tożsamości dostarczone przez zbiór danych identyfikujących osobę dostępnych w ramach systemów identyfikacji elektronicznej na podstawie rozporządzenia (UE) nr 910/2014, aby dopasować użytkownika z innego państwa członkowskiego do tożsamości prawnej danego użytkownika. Pomimo korzystania ze zbioru danych eIDAS w wielu przypadkach zapewnienie dokładnego dopasowania wymaga jednak dodatkowych informacji na temat użytkownika oraz określonych procedur unikalnej identyfikacji na szczeblu krajowym. W celu dalszego wspomagania używalności środków identyfikacji elektronicznej w niniejszym rozporządzeniu należy zobowiązać państwa członkowskie do wprowadzenia konkretnych środków służących zapewnieniu prawidłowego dopasowania tożsamości w procesie identyfikacji elektronicznej. W tym samym celu w niniejszym rozporządzeniu należy również rozszerzyć obowiązkowy minimalny zbiór danych i wprowadzić wymóg stosowania unikalnego i trwałego identyfikatora elektronicznego zgodnego z prawem Unii w przypadkach, w których konieczna jest zgodna z prawem unikalna i trwała identyfikacja użytkownika na jego żądanie. (18)Zgodnie z dyrektywą (UE) 2019/882 osoby z niepełnosprawnościami powinny mieć możliwość korzystania z europejskich portfeli tożsamości cyfrowej, usług zaufania i produktów przeznaczonych dla użytkownika końcowego stosowanych do świadczenia tych usług na równi z innymi użytkownikami. (19)Niniejsze rozporządzenie nie powinno obejmować aspektów związanych z zawieraniem i ważnością umów lub innych zobowiązań prawnych, w przypadku gdy istnieją wymogi dotyczące formy wprowadzone na mocy prawa krajowego lub unijnego. Dodatkowo nie powinno ono mieć wpływu na krajowe wymogi w zakresie formy dotyczące rejestrów publicznych, w szczególności rejestrów handlowych i rejestrów gruntów. (20)Świadczenie usług zaufania i korzystanie z nich staje się coraz ważniejsze dla handlu międzynarodowego i współpracy międzynarodowej. Partnerzy międzynarodowi UE tworzą ramy zaufania oparte na rozporządzeniu (UE) nr 910/2014. Aby w związku z tym ułatwić uznawanie takich usług i ich dostawców, w przepisach wykonawczych można określić warunki, na których ramy zaufania państw trzecich można uznać za równoważne określonym w niniejszym rozporządzeniu ramom zaufania dotyczącym kwalifikowanych usług zaufania i kwalifikowanych dostawców tych usług, jako uzupełnienie możliwości wzajemnego uznawania usług zaufania i dostawców tych usług mających siedzibę w Unii i w państwach trzecich zgodnie z art. 218 Traktatu. (21)Niniejsze rozporządzenie powinno opierać się na aktach Unii zapewniających kontestowalne i uczciwe rynki w sektorze cyfrowym. Jest ono oparte w szczególności na rozporządzeniu (UE) XXX/XXXX [akt o rynkach cyfrowych], w którym wprowadza się przepisy dotyczące dostawców podstawowych usług platformowych wyznaczonych jako strażnicy dostępu, a także m.in. zakazuje się strażnikom dostępu nakładania na użytkowników biznesowych obowiązku korzystania z usługi identyfikacyjnej świadczonej przez strażnika dostępu w kontekście usług oferowanych przez użytkowników biznesowych za pośrednictwem podstawowych usług platformowych tego strażnika dostępu, jak również obowiązku oferowania takiej usługi identyfikacyjnej lub współdziałania z taką usługą. W art. 6 ust. 1 lit. f) rozporządzenia (UE) XXX/XXXX [akt o rynkach cyfrowych] zobowiązuje się strażników dostępu, aby zapewniali użytkownikom biznesowym i dostawcom usług pomocniczych możliwość uzyskania dostępu do tego samego systemu operacyjnego, sprzętu lub funkcji oprogramowania, które są dostępne dla strażnika dostępu lub wykorzystywane przez niego do świadczenia dowolnych usług pomocniczych, oraz gwarantowali interoperacyjność wspomnianych systemu operacyjnego, sprzętu lub funkcji oprogramowania. Zgodnie z art. 2 pkt 15 [aktu o rynkach cyfrowych] usługi identyfikacyjne stanowią rodzaj usług pomocniczych. Użytkownicy biznesowi i dostawcy usług pomocniczych powinni zatem mieć możliwość dostępu do takiego sprzętu lub oprogramowania, np. zabezpieczeń smartfonów, oraz współdziałać z nimi za pośrednictwem europejskich portfeli tożsamości cyfrowej lub notyfikowanych przez państwa członkowskie środków identyfikacji elektronicznej. (22)Aby uprościć obowiązki w zakresie cyberbezpieczeństwa nałożone na dostawców usług zaufania, a także umożliwić tym dostawcom i ich odpowiednim właściwym organom korzystanie z ram prawnych ustanowionych dyrektywą (UE) XXXX/XXXX (dyrektywą NIS 2), dostawcy usług zaufania są zobowiązani do wprowadzenia odpowiednich środków technicznych i organizacyjnych na podstawie dyrektywy (UE) XXXX/XXXX (dyrektywy NIS 2), takich jak środki służące przeciwdziałaniu awariom systemu, błędom ludzkim, szkodliwym działaniom lub zjawiskom naturalnym w celu zarządzania ryzykiem stwarzanym dla bezpieczeństwa sieci i systemów informatycznych, z których dostawcy ci korzystają przy świadczeniu swoich usług, a także w celu zgłaszania znaczących incydentów i zagrożeń dla cyberbezpieczeństwa zgodnie z dyrektywą (UE) XXXX/XXXX (dyrektywą NIS 2). Jeżeli chodzi o zgłaszanie incydentów, dostawcy usług zaufania powinni zgłaszać wszelkie incydenty mające znaczący wpływ na świadczenie ich usług, w tym incydenty spowodowane kradzieżą lub utratą urządzeń, uszkodzeniami kabla sieciowego lub incydenty występujące w kontekście identyfikacji osób. Wymogi w zakresie zarządzania ryzykiem w cyberprzestrzeni i obowiązki w zakresie zgłaszania incydentów określone w dyrektywie (UE) XXXX/XXXX [dyrektywie NIS 2] należy uznać za uzupełniające w stosunku do wymogów nałożonych niniejszym rozporządzeniem na dostawców usług zaufania. W stosownych przypadkach właściwe organy wyznaczone na podstawie dyrektywy (UE) XXXX/XXXX (dyrektywy NIS 2) powinny nadal stosować ustalone praktyki krajowe lub wytyczne dotyczące wdrażania wymogów w zakresie bezpieczeństwa i sprawozdawczości oraz nadzoru nad zgodnością z takimi wymogami na podstawie rozporządzenia (UE) nr 910/2014. Żadne wymogi wynikające z niniejszego rozporządzenia nie mają wpływu na obowiązek zawiadamiania o naruszeniach ochrony danych osobowych wynikający z rozporządzenia (UE) 2016/679.

(23)Należy zwrócić należytą uwagę na zapewnienie skutecznej współpracy między organami ds. bezpieczeństwa sieci i informacji a organami ds. eIDAS. W przypadkach, w których organ nadzoru na podstawie niniejszego rozporządzenia jest inny niż właściwe organy wyznaczone na podstawie dyrektywy (UE) XXXX/XXXX [dyrektywy NIS 2], organy te powinny ściśle i terminowo współpracować poprzez wymianę odpowiednich informacji, aby zapewnić skuteczny nadzór nad dostawcami usług zaufania i przestrzegania przez tych dostawców wymogów określonych w niniejszym rozporządzeniu i dyrektywie (UE) XXXX/XXXX [dyrektywie NIS 2]. Organy nadzoru określone w niniejszym rozporządzeniu powinny być w szczególności uprawnione do zwracania się do właściwego organu określonego w dyrektywie (UE) XXXXX/XXXX [dyrektywie NIS 2] o udzielenie odpowiednich informacji potrzebnych do przyznania statusu kwalifikowanego oraz do przeprowadzenia działań nadzorczych w celu zweryfikowania zgodności dostawców usług zaufania z odpowiednimi wymogami określonymi w dyrektywie NIS 2 lub zażądania od tych dostawców, by zaradzili niezgodności. (24)Istotne jest ustanowienie ram prawnych służących ułatwieniu transgranicznego uznawania między istniejącymi krajowymi systemami prawnymi, związanego z usługami rejestrowanego doręczenia elektronicznego. Ramy te mogłyby stworzyć także nowe możliwości rynkowe dla unijnych dostawców usług zaufania w odniesieniu do oferowania nowych ogólnoeuropejskich usług rejestrowanego doręczenia elektronicznego oraz zapewnić identyfikację odbiorców z wyższym poziomem pewności niż identyfikacja nadawcy. (25)W większości przypadków obywatele i inni rezydenci nie mogą prowadzić transgranicznej cyfrowej wymiany informacji związanych z tożsamością, takich jak: adresy, wiek i kwalifikacje zawodowe, prawa jazdy i inne zezwolenia oraz dane dotyczące płatności, w sposób bezpieczny i z zapewnieniem wysokiego stopnia ochrony danych. (26)Powinna istnieć możliwość wydawania i obsługi wiarygodnych atrybutów cyfrowych oraz przyczynienia się do zmniejszenia obciążenia administracyjnego dzięki umożliwieniu obywatelom i innym rezydentom korzystania z tych atrybutów w transakcjach prywatnych i publicznych. Obywatele i inni rezydenci powinni móc na przykład wykazać posiadanie ważnego prawa jazdy wydanego przez organ w jednym państwie członkowskim, który to dokument właściwe organy w innych państwach członkowskich mogą zweryfikować i na którym mogą polegać, oraz powinni móc korzystać ze swoich danych uwierzytelniających dotyczących zabezpieczenia społecznego lub z przyszłych cyfrowych dokumentów podróży w kontekście transgranicznym. (27)Każdy podmiot, który gromadzi, tworzy i wydaje poświadczone atrybuty, takie jak: dyplomy, licencje, akty urodzenia, powinien móc stać się dostawcą elektronicznego poświadczenia atrybutów. Strony ufające powinny korzystać z elektronicznych poświadczeń atrybutów jako równoważnych poświadczeniom w postaci papierowej. W związku z tym nie należy kwestionować skutku prawnego elektronicznego poświadczenia atrybutów z tego powodu, że poświadczenie to ma postać elektroniczną lub że nie spełnia wszystkich wymogów kwalifikowanego elektronicznego poświadczenia atrybutów. W tym celu należy ustanowić ogólne wymogi w celu zapewnienia, aby kwalifikowane elektroniczne poświadczenie atrybutów miało skutek prawny równoważny skutkowi prawnemu legalnie wystawionych poświadczeń w formie papierowej. Wymogi te powinny jednak mieć zastosowanie bez uszczerbku dla prawa Unii lub prawa krajowego określającego dodatkowe wymogi sektorowe w odniesieniu do formy mającej podstawowe skutki prawne, a w szczególności do transgranicznego uznawania kwalifikowanego elektronicznego poświadczenia atrybutów w stosownych przypadkach. (28)Do szerokiej dostępności i używalności europejskich portfeli tożsamości cyfrowej wymagana jest ich akceptacja przez prywatnych dostawców usług. Prywatne strony ufające świadczące usługi w obszarach transportu, energetyki, bankowości i usług finansowych, zabezpieczenia społecznego, zdrowia, wody pitnej, usług pocztowych, infrastruktury cyfrowej, edukacji lub telekomunikacji powinny akceptować korzystanie z europejskich portfeli tożsamości cyfrowej na potrzeby świadczenia usług, w przypadku gdy silne uwierzytelnienie użytkownika do celów identyfikacji w usługach online jest wymagane na mocy prawa krajowego lub unijnego lub na podstawie zobowiązania umownego. W przypadku gdy bardzo duże platformy internetowe zdefiniowane w art. 25 ust. 1 rozporządzenia [odniesienie do rozporządzenia w sprawie aktu o usługach cyfrowych] wymagają uwierzytelniania użytkowników do celów dostępu do usług online, platformy te powinny być zobowiązane do akceptowania wykorzystywania europejskich portfeli tożsamości cyfrowej na podstawie dobrowolnego wniosku użytkownika. Użytkownicy nie powinni być zobowiązani do korzystania z portfela do celów dostępu do usług prywatnych, ale jeżeli sobie tego życzą, duże platformy internetowe powinny akceptować w tym celu europejski portfel tożsamości cyfrowej przy jednoczesnym poszanowaniu zasady minimalizacji danych. Biorąc pod uwagę znaczenie bardzo dużych platform internetowych ze względu na ich zasięg, w szczególności wyrażony liczbą odbiorców usługi i transakcji finansowych, jest to konieczne, aby zwiększyć ochronę użytkowników przed oszustwami i zapewnić wysoki poziom ochrony danych. Aby przyczynić się do zapewnienia szerokiej dostępności i używalności środków identyfikacji elektronicznej, w tym europejskich portfeli tożsamości cyfrowej objętych zakresem niniejszego rozporządzenia, należy opracować samoregulacyjne kodeksy postępowania na szczeblu Unii („kodeksy postępowania”). Kodeksy postępowania powinny ułatwiać szeroką akceptację środków identyfikacji elektronicznej, w tym europejskich portfeli tożsamości cyfrowej, przez tych dostawców usług, którzy nie kwalifikują się jako bardzo duże platformy i którzy do celów uwierzytelniania użytkownika korzystają z usług identyfikacji elektronicznej świadczonych przez strony trzecie. Kodeksy te należy opracować w terminie 12 miesięcy od przyjęcia niniejszego rozporządzenia. Komisja powinna ocenić skuteczność tych postanowień pod względem dostępności i używalności dla użytkowników europejskich portfeli tożsamości cyfrowej po 18 miesiącach od ich wdrożenia oraz dokonać przeglądu postanowień w celu zapewnienia ich akceptacji w drodze aktów delegowanych przyjętych w świetle tej oceny. (29)Europejski portfel tożsamości cyfrowej powinien pod względem technicznym umożliwiać selektywne ujawnianie atrybutów stronom ufającym. Funkcja ta powinna stać się podstawową cechą projektową, co zwiększy wygodę i ochronę danych osobowych, w tym jeżeli chodzi o minimalizację przetwarzania danych osobowych. (30)Atrybuty dostarczane przez kwalifikowanych dostawców usług zaufania w ramach kwalifikowanego poświadczania atrybutów powinny być weryfikowane w zestawieniu ze źródłami autentycznymi bezpośrednio przez kwalifikowanego dostawcę usług zaufania albo przez wyznaczonych pośredników uznanych na poziomie krajowym zgodnie z prawem krajowym lub prawem Unii do celów bezpiecznej wymiany poświadczonych atrybutów między dostawcami usług w zakresie tożsamości lub poświadczania atrybutów a stronami ufającymi. (31)Bezpieczna identyfikacja elektroniczna i dostarczanie poświadczeń atrybutów powinny zapewniać sektorowi usług finansowych dodatkową elastyczność oraz rozwiązania umożliwiające identyfikację klientów i wymianę określonych atrybutów niezbędnych do spełnienia na przykład wymogów należytej staranności wobec klienta wynikających z rozporządzenia w sprawie przeciwdziałania praniu pieniędzy [odesłanie zostanie dodane po przyjęciu wniosku], wymogów dotyczących odpowiedniego zachowania wynikających z przepisów dotyczących ochrony inwestorów lub do spełnienia wymogów silnego uwierzytelniania klienta w odniesieniu do logowania do rachunku i inicjowania transakcji w dziedzinie usług płatniczych. (32)Usługi uwierzytelniania witryn internetowych dają użytkownikom pewność, że za daną witryną internetową stoi prawdziwy i prawowity podmiot. Usługi te przyczyniają się do budowy zaufania do prowadzenia działalności gospodarczej online, ponieważ użytkownicy będą mieli zaufanie do witryny internetowej, która została uwierzytelniona. Korzystanie przez witryny internetowe z usług uwierzytelniania witryn internetowych jest dobrowolne. Aby uwierzytelnianie witryny internetowej stało się środkiem zwiększającym zaufanie, zapewniającym użytkownikowi lepsze doświadczenie i wspierającym wzrost na rynku wewnętrznym, niniejsze rozporządzenie określa jednak minimalne obowiązki w zakresie bezpieczeństwa i odpowiedzialności dla dostawców usług uwierzytelniania witryn internetowych i dla tych usług. W tym celu przeglądarki internetowe powinny zapewniać obsługę kwalifikowanych certyfikatów uwierzytelniania witryn internetowych na podstawie rozporządzenia (UE) nr 910/2014 i interoperacyjność z tymi certyfikatami. Przeglądarki powinny uznawać i wyświetlać kwalifikowane certyfikaty uwierzytelniania witryn internetowych, aby zapewnić wysoki poziom bezpieczeństwa, umożliwiając właścicielom witryn internetowych potwierdzenie swojej tożsamości jako właścicieli, a użytkownikom – identyfikację właścicieli witryn internetowych z wysokim stopniem pewności. Aby szerzej propagować korzystanie z kwalifikowanych certyfikatów uwierzytelniania witryn internetowych, organy publiczne w państwach członkowskich powinny rozważyć włączenie tych certyfikatów do swoich witryn internetowych. (33)Wiele państw członkowskich wprowadziło krajowe wymogi dotyczące usług zapewniających bezpieczną i wiarygodną archiwizację cyfrową, aby umożliwić długoterminową konserwację dokumentów elektronicznych i powiązanych usług zaufania. Do zapewnienia pewności prawa i zaufania konieczne jest ustanowienie ram prawnych ułatwiających transgraniczne uznawanie kwalifikowanych usług archiwizacji elektronicznej. Ramy te mogłyby stworzyć także nowe możliwości rynkowe dla unijnych dostawców usług zaufania. (34)W kwalifikowanych rejestrach elektronicznych zapisuje się dane w sposób zapewniający unikalność, autentyczność i prawidłową kolejność zapisów danych oraz odporny na ingerencję. Rejestr elektroniczny łączy efekt stosowania znaczników czasu danych z pewnością co do twórcy danych, co stanowi rozwiązanie podobne do podpisu elektronicznego, przy czym dodatkową korzyścią wynikającą z rejestru jest umożliwienie modeli bardziej zdecentralizowanego zarządzania, które są odpowiednie dla współpracy wielostronnej. Rejestr elektroniczny tworzy na przykład wiarygodną ścieżkę audytu w odniesieniu do pochodzenia towarów w handlu transgranicznym, wspiera ochronę praw własności intelektualnej, umożliwia elastyczność rynków energii elektrycznej, stanowi podstawę zaawansowanych rozwiązań w zakresie tożsamości opartych na autonomii jednostki oraz wspomaga skuteczniejsze usługi publiczne w większym stopniu przyczyniające się do transformacji. Aby zapobiec fragmentacji rynku wewnętrznego, należy określić ogólnoeuropejskie ramy prawne umożliwiające transgraniczne uznawanie usług zaufania do celów zapisywania danych w rejestrach elektronicznych. (35)Certyfikacja w charakterze kwalifikowanych dostawców usług zaufania powinna zapewniać pewność prawa w odniesieniu do przypadków użycia, które opierają się na rejestrach elektronicznych. Ta usługa zaufania do celów rejestrów elektronicznych i kwalifikowanych rejestrów elektronicznych oraz certyfikacja w charakterze kwalifikowanego dostawcy usług zaufania w odniesieniu do rejestrów elektronicznych powinny obowiązywać niezależnie od wymogu, by przypadki użycia były zgodne z prawem Unii lub prawem krajowym zgodnym z prawem Unii. Przypadki użycia związane z przetwarzaniem danych osobowych muszą być zgodne z rozporządzeniem (UE) 2016/679. Przypadki użycia związane z kryptoaktywami powinny być zgodne ze wszystkimi mającymi zastosowanie przepisami finansowymi, np. z dyrektywą w sprawie rynków instrumentów finansowych, dyrektywą w sprawie usług płatniczych i przyszłym rozporządzeniem w sprawie rynków kryptoaktywów. (36)Aby uniknąć fragmentacji i barier wynikających z rozbieżnych norm i ograniczeń technicznych oraz aby zapewnić skoordynowany proces mający na celu wyeliminowanie zagrożeń dla wdrożenia przyszłych europejskich ram tożsamości cyfrowej, potrzebne są ramy bliskiej i zorganizowanej współpracy między Komisją, państwami członkowskimi i sektorem prywatnym. Aby osiągnąć ten cel, państwa członkowskie powinny współpracować w obrębie ram określonych w zaleceniu Komisji (UE) XXX/XXXX [zestaw narzędzi na potrzeby skoordynowanego podejścia do europejskich ram tożsamości cyfrowej] nad sformułowaniem zestawu narzędzi na potrzeby europejskich ram tożsamości cyfrowej. Zestaw narzędzi powinien zawierać kompleksową architekturę techniczną i ramy odniesienia, zestaw wspólnych norm i technicznych dokumentów referencyjnych oraz zestaw wytycznych i opisów najlepszych praktyk obejmujące co najmniej wszystkie aspekty funkcji i interoperacyjności europejskich portfeli tożsamości cyfrowej, w tym podpisów elektronicznych, oraz kwalifikowanej usługi zaufania służącej poświadczaniu atrybutów, które to rozwiązania określono w niniejszym rozporządzeniu. W tym kontekście państwa członkowskie powinny również osiągnąć porozumienie w sprawie wspólnych elementów modelu biznesowego i struktury opłat europejskich portfeli tożsamości cyfrowej, aby ułatwić korzystanie z tych portfeli, w szczególności przez małe i średnie przedsiębiorstwa w kontekście transgranicznym. Zawartość zestawu narzędzi powinna ewoluować równolegle z postępami w dialogu i procesie przyjmowania europejskich ram tożsamości cyfrowej oraz powinna odzwierciedlać ich wyniki. (37)Na podstawie art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1525 zasięgnięto opinii Europejskiego Inspektora Ochrony Danych. (38)Należy zatem odpowiednio zmienić rozporządzenie (UE) 910/2014, PRZYJMUJĄ NINIEJSZE ROZPORZĄDZENIE: Artykuł 1 W rozporządzeniu (UE) 910/2014 wprowadza się następujące zmiany: 1)art. 1 otrzymuje brzmienie:

„Celem niniejszego rozporządzenia jest zapewnienie należytego funkcjonowania rynku wewnętrznego oraz odpowiedniego poziomu bezpieczeństwa środków identyfikacji elektronicznej i usług zaufania. W tym celu niniejsze rozporządzenie: a)określa warunki zapewniania i uznawania przez państwa członkowskie środków identyfikacji elektronicznej osób fizycznych i prawnych, objętych notyfikowanym systemem identyfikacji elektronicznej innego państwa członkowskiego; b)określa przepisy dotyczące usług zaufania, w szczególności transakcji elektronicznych; c)ustanawia ramy prawne dla podpisów elektronicznych, pieczęci elektronicznych, elektronicznych znaczników czasu, dokumentów elektronicznych, usług rejestrowanego doręczenia elektronicznego, usług certyfikacyjnych uwierzytelniania witryn internetowych, archiwizacji elektronicznej, elektronicznego poświadczenia atrybutów, zarządzania urządzeniami do składania podpisów i pieczęci elektronicznych na odległość oraz rejestrów elektronicznych; d)określa warunki wydawania przez państwa członkowskie europejskich portfeli tożsamości cyfrowej.”; 2)w art. 2 wprowadza się następujące zmiany: a)ust. 1 otrzymuje brzmienie: „1. Niniejsze rozporządzenie ma zastosowanie do systemów identyfikacji elektronicznej, które zostały notyfikowane przez państwo członkowskie, do europejskich portfeli tożsamości cyfrowej wydanych przez państwa członkowskie oraz do dostawców usług zaufania mających siedzibę w Unii.”; b)ust. 3 otrzymuje brzmienie: „3. Niniejsze rozporządzenie nie ma wpływu na prawo krajowe ani unijne związane z zawieraniem i ważnością umów lub innych zobowiązań prawnych lub proceduralnych związanych z wymogami sektorowymi dotyczącymi formy mającymi podstawowe skutki prawne.”; 3)w art. 3 wprowadza się następujące zmiany: a)pkt 2 otrzymuje brzmienie: „2) »środek identyfikacji elektronicznej« oznacza materialną lub niematerialną jednostkę, w tym europejskie portfele tożsamości cyfrowej lub dowody osobiste w rozumieniu rozporządzenia (UE) 2019/1157, zawierającą dane identyfikujące osobę i używaną do celów uwierzytelniania dla usługi online lub offline;”; b)pkt 4 otrzymuje brzmienie: „4) »system identyfikacji elektronicznej« oznacza system identyfikacji elektronicznej, w ramach którego wydaje się środki identyfikacji elektronicznej osobom fizycznym lub prawnym, lub osobom fizycznym reprezentującym osoby prawne;”; c)pkt 14 otrzymuje brzmienie: „14) »certyfikat podpisu elektronicznego« oznacza poświadczenie elektroniczne lub zestaw poświadczeń, które przyporządkowują dane służące do walidacji podpisu elektronicznego do osoby fizycznej i potwierdzają co najmniej imię i nazwisko lub pseudonim tej osoby;”; d)pkt 16 otrzymuje brzmienie: „16) »usługa zaufania« oznacza usługę elektroniczną zazwyczaj świadczoną odpłatnie, która obejmuje: a)tworzenie, weryfikację i walidację podpisów elektronicznych, pieczęci elektronicznych lub elektronicznych znaczników czasu, usług rejestrowanego doręczenia elektronicznego, elektronicznego poświadczenia atrybutów oraz certyfikatów powiązanych z tymi usługami;

b)tworzenie, weryfikację i walidację certyfikatów uwierzytelniania witryn internetowych; c)konserwację elektronicznych podpisów, pieczęci lub certyfikatów powiązanych z tymi usługami; d)archiwizację elektroniczną dokumentów elektronicznych; e)zarządzanie urządzeniami do składania podpisów i pieczęci elektronicznych na odległość; f)zapisywanie danych elektronicznych w rejestrze elektronicznym.”; e)pkt 21 otrzymuje brzmienie: „21) »produkt« oznacza sprzęt lub oprogramowanie, lub odpowiednie komponenty sprzętu lub oprogramowania, które są przeznaczone do wykorzystywania w zapewnianiu identyfikacji elektronicznej i świadczeniu usług zaufania;”; f)dodaje się pkt 23a i 23b w brzmieniu: „23a) »kwalifikowane urządzenie do składania podpisu na odległość« oznacza kwalifikowane urządzenie do składania podpisu elektronicznego, którym to urządzeniem kwalifikowany dostawca usług zaufania generuje lub kopiuje dane służące do składania podpisu elektronicznego w imieniu podpisującego lub zarządza tymi danymi; 23b) »kwalifikowane urządzenie do składania pieczęci na odległość« oznacza kwalifikowane urządzenie do składania pieczęci elektronicznej, którym to urządzeniem kwalifikowany dostawca usług zaufania generuje lub kopiuje dane służące do składania podpisu elektronicznego w imieniu podmiotu składającego pieczęć lub zarządza tymi danymi;”; g)pkt 29 otrzymuje brzmienie: „29) »certyfikat pieczęci elektronicznej« oznacza poświadczenie elektroniczne lub zestaw poświadczeń, które łączą dane służące do walidacji pieczęci elektronicznej z osobą prawną i potwierdzają nazwę tej osoby;”; h)pkt 41 otrzymuje brzmienie: „41) »walidacja« oznacza proces weryfikacji i potwierdzenia ważności podpisu elektronicznego, pieczęci elektronicznej, danych identyfikujących osobę lub elektronicznego poświadczenia atrybutów;”; i)dodaje się pkt 42–55 w brzmieniu: „42) »europejski portfel tożsamości cyfrowej« jest produktem i usługą, które umożliwiają użytkownikowi przechowywanie danych dotyczących tożsamości, danych uwierzytelniających i atrybutów powiązanych z jego tożsamością, dostarczanie ich na żądanie stronom ufającym oraz wykorzystywanie ich do uwierzytelniania online i offline na potrzeby usługi zgodnie z art. 6a, jak również składanie kwalifikowanych podpisów i pieczęci elektronicznych; 43) »atrybut« jest cechą, właściwością lub przymiotem osoby fizycznej lub prawnej lub podmiotu, wyrażonymi w postaci elektronicznej; 44) »elektroniczne poświadczenie atrybutów« oznacza poświadczenie w postaci elektronicznej, które umożliwia uwierzytelnienie atrybutów; 45) »kwalifikowane elektroniczne poświadczenie atrybutów« oznacza elektroniczne poświadczenie atrybutów, które jest wydawane przez kwalifikowanego dostawcę usług zaufania i spełnia wymogi określone w załączniku V; 46) »źródło autentyczne« oznacza repozytorium lub system, prowadzone w ramach odpowiedzialności podmiotu sektora publicznego lub podmiotu prywatnego, które zawiera atrybuty dotyczące osoby fizycznej lub prawnej i które uważa się za podstawowe źródło tych informacji lub uznaje za autentyczne w prawie krajowym;

47) »archiwizacja elektroniczna« oznacza usługę zapewniającą odbiór, przechowywanie, usuwanie i transmisję danych lub dokumentów elektronicznych w celu zagwarantowania ich integralności, dokładności ich pochodzenia i cech prawnych przez cały okres zachowywania; 48) »kwalifikowana usługa archiwizacji elektronicznej« oznacza usługę, która spełnia wymogi określone w art. 45g; 49) »unijny znak zaufania dla portfela tożsamości cyfrowej« oznacza wskazanie w prosty, rozpoznawalny i jasny sposób, że portfel tożsamości cyfrowej wydano zgodnie z niniejszym rozporządzeniem; 50) »silne uwierzytelnianie użytkownika« oznacza uwierzytelnianie oparte na wykorzystaniu co najmniej dwóch elementów zaklasyfikowanych jako wiedza, posiadanie i cechy użytkownika, które są niezależne, w taki sposób, aby naruszenie jednego z nich nie zagrażało wiarygodności pozostałych, zaprojektowane w taki sposób, aby chronić poufność danych służących do uwierzytelniania; 51) »konto użytkownika« oznacza mechanizm umożliwiający użytkownikowi dostęp do usług publicznych lub prywatnych na warunkach określonych przez dostawcę usług; 52) »dane uwierzytelniające« oznacza dowód zdolności, doświadczenia, prawa lub zgody danej osoby; 53) »rejestr elektroniczny« oznacza odporny na ingerencję zapis elektroniczny danych, zapewniający autentyczność i integralność zawartych w nim danych, dokładność ich daty i godziny oraz ich uporządkowania chronologicznego; 54) »dane osobowe« oznaczają wszelkie informacje zdefiniowane w art. 4 pkt 1 rozporządzenia (UE) 2016/679; 55) »unikalna identyfikacja« oznacza proces, w którym dane identyfikujące osobę lub środki identyfikacji osoby są dopasowywane do istniejącego konta należącego do tej samej osoby lub z nim wiązane.”; 4)art. 5 otrzymuje brzmienie: „Artykuł 5 Pseudonimy w transakcji elektronicznej Bez uszczerbku dla skutku prawnego, jaki prawo krajowe przyznaje pseudonimom, nie zakazuje się używania pseudonimów w transakcjach elektronicznych.”; 5)w rozdziale II nagłówek otrzymuje brzmienie: „SEKCJA I IDENTYFIKACJA ELEKTRONICZNA”; 6)uchyla się art. 6; 7)dodaje się art. 6a, 6b, 6c i 6d w brzmieniu: „Artykuł 6a Europejskie portfele tożsamości cyfrowej

1. W celu zapewnienia wszystkim osobom fizycznym i prawnym w Unii bezpiecznego, zaufanego i sprawnego dostępu do transgranicznych usług publicznych i prywatnych każde państwo członkowskie wydaje europejski portfel tożsamości cyfrowej w terminie 12 miesięcy od wejścia w życie niniejszego rozporządzenia. 2. Europejskie portfele tożsamości cyfrowej są wydawane: a)przez państwo członkowskie; b)na mocy upoważnienia od państwa członkowskiego; c)niezależnie, lecz są uznawane przez państwo członkowskie. 3. Europejskie portfele tożsamości cyfrowej umożliwiają użytkownikowi: a)bezpieczne żądanie i otrzymywanie, przechowywanie, wybieranie, łączenie i udostępnianie – w sposób przejrzysty i identyfikowalny dla użytkownika – niezbędnych danych prawnych identyfikujących osobę i elektronicznego poświadczenia atrybutów na potrzeby uwierzytelniania online i offline w celu korzystania z usług publicznych i prywatnych online; b)podpisywanie za pomocą kwalifikowanego podpisu elektronicznego. 4. Portfele tożsamości cyfrowej w szczególności: a)zapewniają wspólny interfejs: 1)dla kwalifikowanych i niekwalifikowanych dostawców usług zaufania wydających kwalifikowane i niekwalifikowane elektroniczne poświadczenia atrybutów lub inne kwalifikowane i niekwalifikowane certyfikaty do celów wydawania takich poświadczeń i certyfikatów na potrzeby europejskiego portfela tożsamości cyfrowej; 2)dla stron ufających w celu wnioskowania o dane identyfikujące osobę i elektroniczne poświadczenia atrybutów oraz ich walidację; 3)w celu przedstawiania stronom ufającym danych identyfikujących osobę, elektronicznego poświadczenia atrybutów lub innych danych, takich jak dane uwierzytelniające, w trybie lokalnym niewymagającym dostępu internetowego do portfela; 4)dla użytkownika, aby umożliwić interakcję z europejskim portfelem tożsamości cyfrowej i wyświetlić „unijny znak zaufania dla portfela tożsamości cyfrowej”; b)zapewniają, aby dostawcy usług zaufania w zakresie kwalifikowanych poświadczeń atrybutów nie mogli otrzymywać żadnych informacji o wykorzystaniu tych atrybutów; c)spełniają wymogi określone w art. 8 w odniesieniu do wysokiego poziomu bezpieczeństwa, w szczególności w zakresie wymogów dotyczących potwierdzania i weryfikacji tożsamości oraz zarządzania środkami identyfikacji elektronicznej i ich uwierzytelniania; d)zapewniają mechanizm mający na celu zapewnienie, aby strona ufająca była w stanie uwierzytelnić użytkownika i otrzymywać elektroniczne poświadczenia atrybutów; e)zapewniają, aby dane identyfikujące osobę, o których mowa w art. 12 ust. 4 lit. d), unikalnie i trwale reprezentowały powiązaną z nimi osobę fizyczną lub prawną. 5. Państwa członkowskie zapewniają mechanizmy walidacji europejskich portfeli tożsamości cyfrowej, aby: a)zapewnić możliwość weryfikacji ich autentyczności i ważności;

b)umożliwić stronom ufającym weryfikację, czy poświadczenia atrybutów są ważne; c)umożliwić stronom ufającym i kwalifikowanym dostawcom usług zaufania weryfikację autentyczności i ważności przyporządkowanych danych identyfikujących osobę. 6. Europejskie portfele tożsamości cyfrowej wydaje się w ramach notyfikowanego systemu identyfikacji elektronicznej o wysokim poziomie bezpieczeństwa. W przypadku osób fizycznych korzystanie z europejskich portfeli tożsamości cyfrowej jest nieodpłatne. 7. Użytkownik ma pełną kontrolę nad europejskim portfelem tożsamości cyfrowej. Wydawca europejskiego portfela tożsamości cyfrowej nie gromadzi informacji na temat korzystania z portfela, które nie są niezbędne do świadczenia usług związanych z portfelem, ani nie łączy danych identyfikujących osobę ani żadnych innych danych osobowych przechowywanych lub związanych z korzystaniem z europejskiego portfela tożsamości cyfrowej z danymi osobowymi pochodzącymi z innych usług oferowanych przez tego wydawcę lub z usług osób trzecich, które nie są niezbędne do świadczenia usług związanych z portfelem, chyba że użytkownik wyraźnie o to wystąpi. Dane osobowe związane z udostępnianiem europejskich portfeli tożsamości cyfrowej muszą być fizycznie i logicznie oddzielone od wszelkich innych przechowywanych danych. Jeśli europejski portfel tożsamości cyfrowej jest udostępniany przez podmioty prywatne zgodnie z ust. 1 lit. b) i c), przepisy art. 45f ust. 4 stosuje się odpowiednio. 8. Art. 11 stosuje się odpowiednio do europejskiego portfela tożsamości cyfrowej. 9. Art. 24 ust. 2 lit. b), e), g) i h) stosuje się odpowiednio do państw członkowskich wydających europejskie portfele tożsamości cyfrowej. 10. Europejski portfel tożsamości cyfrowej jest dostępny dla osób niepełnosprawnych zgodnie z wymogami dostępności określonymi w załączniku I do dyrektywy (UE) 2019/882. 11. W terminie 6 miesięcy od wejścia w życie niniejszego rozporządzenia Komisja ustanawia specyfikacje techniczne i operacyjne oraz normy referencyjne dotyczące wymogów, o których mowa w ust. 3, 4 i 5, w drodze aktu wykonawczego dotyczącego wdrożenia europejskiego portfela tożsamości cyfrowej. Wspomniany akt wykonawczy przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 48 ust. 2. Artykuł 6b Strony ufające europejskich portfeli tożsamości cyfrowej 1. W przypadku gdy strony ufające zamierzają polegać na europejskich portfelach tożsamości cyfrowej wydanych zgodnie z niniejszym rozporządzeniem, informują o tym państwo członkowskie, w którym strona ufająca ma siedzibę, aby zapewnić zgodność z wymogami określonymi w prawie Unii lub prawie krajowym w odniesieniu do świadczenia szczególnych usług. Informując o swoim zamiarze polegania na europejskim portfelu tożsamości cyfrowej, informują również o zamierzonym wykorzystaniu europejskiego portfela tożsamości cyfrowej. 2. Państwa członkowskie wdrażają wspólny mechanizm uwierzytelniania stron ufających. 3. Strony ufające są odpowiedzialne za przeprowadzenie procedury uwierzytelniania danych identyfikujących osobę oraz elektronicznego poświadczenia atrybutów pochodzących z europejskich portfeli tożsamości cyfrowej. 4. W terminie 6 miesięcy od wejścia w życie niniejszego rozporządzenia Komisja ustanawia specyfikacje techniczne i operacyjne dotyczące wymogów, o których mowa w ust. 1 i 2, w drodze aktu wykonawczego dotyczącego wdrożenia europejskich portfeli tożsamości cyfrowej, o których mowa w art. 6a ust. 10. Artykuł 6c Certyfikacja europejskich portfeli tożsamości cyfrowej 1. Europejskie portfele tożsamości cyfrowej, które uzyskały certyfikację lub w odniesieniu do których wydano deklarację zgodności w ramach programu certyfikacji cyberbezpieczeństwa zgodnie z rozporządzeniem (UE) 2019/881 i odniesienia do których opublikowano w Dzienniku Urzędowym Unii Europejskiej, uznaje się za spełniające odpowiednie wymogi w zakresie cyberbezpieczeństwa ustanowione w art. 6a ust. 3, 4 i 5 w zakresie, w jakim certyfikat cyberbezpieczeństwa lub deklaracja zgodności, lub ich części obejmują te wymogi. 2. Spełnienie wymogów określonych w art. 6a ust. 3, 4 i 5 związanych z operacjami przetwarzania danych osobowych dokonywanymi przez wydawcę europejskich portfeli tożsamości cyfrowej poświadcza się zgodnie z rozporządzeniem (UE) 2016/679. 3. Zgodność europejskich portfeli tożsamości cyfrowej z wymogami określonymi w art. 6a ust. 3, 4 i 5 jest certyfikowana przez akredytowane podmioty publiczne lub prywatne wyznaczone przez państwa członkowskie. 4. W terminie 6 miesięcy od wejścia w życie niniejszego rozporządzenia Komisja ustanawia – w drodze aktów wykonawczych – wykaz norm certyfikacji europejskich portfeli tożsamości cyfrowej, o których mowa w ust. 3.

5. Państwa członkowskie przekazują Komisji nazwy i adresy podmiotów publicznych lub prywatnych, o których mowa w ust. 3. Komisja udostępnia te informacje państwom członkowskim. 6. Komisja jest uprawniona do przyjmowania aktów delegowanych, zgodnie z art. 47, dotyczących ustanowienia specjalnych kryteriów, które muszą spełniać wyznaczone podmioty, o których mowa w ust. 3. Artykuł 6d Publikacja wykazu certyfikowanych europejskich portfeli tożsamości cyfrowej 1. Państwa członkowskie bez zbędnej zwłoki informują Komisję o europejskich portfelach tożsamości cyfrowej, które zostały wydane zgodnie z art. 6a i certyfikowane przez organy, o których mowa w art. 6c ust. 3. Bez zbędnej zwłoki informują również Komisję o odwołaniu certyfikacji. 2. Na podstawie otrzymanych informacji Komisja sporządza, publikuje i prowadzi wykaz certyfikowanych europejskich portfeli tożsamości cyfrowej. 3. W terminie 6 miesięcy od wejścia w życie niniejszego rozporządzenia Komisja określa formaty i procedury mające zastosowanie do celów ust. 1 w drodze aktu wykonawczego dotyczącego wdrożenia europejskich portfeli tożsamości cyfrowej, o których mowa w art. 6a ust. 10.”; 8)przed art. 7 dodaje się następujący nagłówek: „SEKCJA II SYSTEMY IDENTYFIKACJI ELEKTRONICZNEJ”; 9)w art. 7 formuła wprowadzająca otrzymuje brzmienie: „Zgodnie z art. 9 ust. 1 państwa członkowskie notyfikują, w terminie 12 miesięcy od wejścia w życie niniejszego rozporządzenia, co najmniej jeden system identyfikacji elektronicznej obejmujący co najmniej jeden środek identyfikacji:”; 10)art. 9 ust. 2 i 3 otrzymuje brzmienie: „2. Komisja publikuje w Dzienniku Urzędowym Unii Europejskiej wykaz systemów identyfikacji elektronicznej, które zostały notyfikowane na mocy ust. 1 niniejszego artykułu, oraz podstawowe informacje na ich temat. 3. Komisja publikuje w Dzienniku Urzędowym Unii Europejskiej zmiany w wykazie, o którym mowa w ust. 2, w terminie jednego miesiąca od daty otrzymania notyfikacji.”; 11)dodaje się art. 10a w brzmieniu: „Artykuł 10a Naruszenie bezpieczeństwa europejskich portfeli tożsamości cyfrowej 1. W przypadku gdy nastąpi naruszenie lub częściowa kompromitacja europejskich cyfrowych portfeli wydanych na podstawie art. 6a oraz mechanizmów walidacji, o których mowa w art. 6a ust. 5 lit. a), b) i c), mające wpływ na wiarygodność tych portfeli i mechanizmów lub na wiarygodność pozostałych europejskich portfeli tożsamości cyfrowej, wydające państwo członkowskie bezzwłocznie zawiesza wydawanie lub unieważnia dany europejski portfel tożsamości cyfrowej oraz powiadamia o tym odpowiednio pozostałe państwa członkowskie i Komisję. 2. W przypadku gdy naruszenie lub kompromitacja, o których mowa w ust. 1, zostaną wyeliminowane, wydające państwo członkowskie przywraca wydawanie i wykorzystywanie europejskiego portfela tożsamości cyfrowej i bez zbędnej zwłoki powiadamia o tym pozostałe państwa członkowskie i Komisję.

3. Jeżeli naruszenie lub kompromitacja, o których mowa w ust. 1, nie zostaną wyeliminowane w ciągu trzech miesięcy od zawieszenia lub unieważnienia, zainteresowane państwo członkowskie wycofuje dany europejski cyfrowy portfel oraz odpowiednio powiadamia pozostałe państwa członkowskie i Komisję o jego wycofaniu. W przypadku gdy jest to uzasadnione wagą naruszenia, dany europejski portfel tożsamości cyfrowej wycofuje się bezzwłocznie. 4. Komisja bez zbędnej zwłoki publikuje w Dzienniku Urzędowym Unii Europejskiej odpowiednie zmiany w wykazie, o którym mowa w art. 6d. 5. W terminie 6 miesięcy od wejścia w życie niniejszego rozporządzenia Komisja doprecyzuje środki, o których mowa w ust. 1 i 3, w drodze aktu wykonawczego dotyczącego wdrożenia europejskich portfeli tożsamości cyfrowej, o których mowa w art. 6a ust. 10.”; 12)dodaje się art. 11a w brzmieniu: „Artykuł 11a Unikalna identyfikacja 1. W przypadku gdy notyfikowane środki identyfikacji elektronicznej i europejskie portfele tożsamości cyfrowej są używane do celów uwierzytelniania, państwa członkowskie zapewniają unikalną identyfikację. 2. Do celów niniejszego rozporządzenia państwa członkowskie włączają do minimalnego zbioru danych identyfikujących osobę, o którym mowa w art. 12 ust. 4 lit. d), unikalny i trwały identyfikator zgodny z prawem Unii w celu identyfikacji użytkownika na jego wniosek w przypadkach, gdy identyfikacja użytkownika jest wymagana przepisami prawa. 3. W terminie 6 miesięcy od wejścia w życie niniejszego rozporządzenia Komisja doprecyzuje środki, o których mowa w ust. 1 i 2, w drodze aktu wykonawczego dotyczącego wdrożenia europejskich portfeli tożsamości cyfrowej, o których mowa w art. 6a ust. 10.”; 13)w art. 12 wprowadza się następujące zmiany: a)w ust. 3 uchyla się lit. c) i d); b)w ust. 4 lit. d) otrzymuje brzmienie: „d) odniesienie do minimalnego zbioru danych identyfikujących osobę niezbędnych do unikalnego i trwałego reprezentowania osoby fizycznej lub prawnej;”; c)w ust. 6 lit. a) otrzymuje brzmienie: „a) wymianę informacji, doświadczeń i dobrych praktyk w zakresie systemów identyfikacji elektronicznej, a w szczególności wymogów technicznych związanych z interoperacyjnością, unikalną identyfikacją i poziomami bezpieczeństwa;”; 14)dodaje się art. 12a w brzmieniu: „Artykuł 12a Certyfikacja systemów identyfikacji elektronicznej 1. Zgodność notyfikowanych systemów identyfikacji elektronicznej z wymogami określonymi w art. 6a, 8 i 10 może być certyfikowana przez podmioty publiczne lub prywatne wyznaczone przez państwa członkowskie. 2. Wzajemna ocena systemów identyfikacji elektronicznej, o której mowa w art. 12 ust. 6 lit. c), nie ma zastosowania do systemów identyfikacji elektronicznej certyfikowanych zgodnie z ust. 1 ani do części takich systemów. Aby wykazać zgodność takich systemów z wymogami określonymi w art. 8 ust. 2 dotyczącymi poziomów bezpieczeństwa systemów identyfikacji elektronicznej, państwa członkowskie mogą wykorzystać certyfikat lub unijną deklarację zgodności wydane zgodnie z odpowiednim europejskim programem certyfikacji cyberbezpieczeństwa ustanowionym na mocy rozporządzenia (UE) 2019/881.

3. Państwa członkowskie zgłaszają Komisji nazwy i adresy podmiotów publicznych lub prywatnych, o których mowa w ust. 1. Komisja udostępnia te informacje państwom członkowskim.”; 15)po art. 12a dodaje się następujący nagłówek: „SEKCJA III TRANSGRANICZNE KORZYSTANIE ZE ŚRODKÓW IDENTYFIKACJI ELEKTRONICZNEJ’; 16)dodaje się art. 12b i 12c w brzmieniu: „Artykuł 12b Transgraniczne korzystanie z europejskich portfeli tożsamości cyfrowej 1. Jeżeli zgodnie z prawem krajowym lub zgodnie z krajową praktyką administracyjną państwa członkowskie wymagają identyfikacji elektronicznej przy użyciu środka identyfikacji elektronicznej oraz uwierzytelnienia w celu dostępu do usługi online świadczonej przez podmiot sektora publicznego, akceptują również europejskie portfele tożsamości cyfrowej wydane zgodnie z niniejszym rozporządzeniem. 2. W przypadku gdy prywatne strony ufające świadczące usługi są zobowiązane prawem krajowym lub prawem Unii do stosowania silnego uwierzytelniania użytkownika do celów identyfikacji w usługach online lub w przypadku gdy silne uwierzytelnianie użytkownika jest wymagane na podstawie zobowiązania umownego, w tym w obszarach transportu, energetyki, bankowości i usług finansowych, zabezpieczeń społecznych, zdrowia, wody pitnej, usług pocztowych, infrastruktury cyfrowej, edukacji lub telekomunikacji, prywatne strony ufające akceptują również europejskie portfele tożsamości cyfrowej wydane zgodnie z art. 6a. 3. W przypadku gdy bardzo duże platformy internetowe zdefiniowane w art. 25 ust. 1 rozporządzenia [odniesienie do rozporządzenia w sprawie aktu o usługach cyfrowych] wymagają uwierzytelniania użytkowników do celów dostępu do usług online, akceptują one również wykorzystywanie europejskich portfeli tożsamości cyfrowej wydanych zgodnie z art. 6a, bezwzględnie na podstawie dobrowolnego wniosku użytkownika i z poszanowaniem minimalnych atrybutów konkretnej usługi online, w odniesieniu do której wymaga się uwierzytelnienia, takich jak poświadczenie wieku. 4. Aby przyczynić się do zapewnienia szerokiej dostępności i używalności europejskich portfeli tożsamości cyfrowej objętych zakresem niniejszego rozporządzenia, Komisja wspiera i ułatwia opracowywanie samoregulacyjnych kodeksów postępowania na poziomie Unii („kodeksy postępowania”). Te kodeksy postępowania zapewniają akceptowanie środków identyfikacji elektronicznej, w tym europejskich portfeli tożsamości cyfrowej objętych zakresem niniejszego rozporządzenia, w szczególności przez dostawców usług korzystających z usług identyfikacji elektronicznej świadczonych przez strony trzecie do celów uwierzytelniania użytkownika. Komisja ułatwi opracowanie takich kodeksów postępowania w ścisłej współpracy ze wszystkimi odpowiednimi zainteresowanymi stronami i zachęci dostawców usług do ukończenia prac nad kodeksami postępowania w terminie 12 miesięcy od daty przyjęcia niniejszego rozporządzenia, a także do ich skutecznego wdrożenia w terminie 18 miesięcy od daty przyjęcia niniejszego rozporządzenia. 5. W terminie 18 miesięcy od uruchomienia europejskich portfeli tożsamości cyfrowej Komisja ocenia, czy na podstawie dowodów ukazujących dostępność i używalność europejskich portfeli tożsamości cyfrowej należy zobowiązać dodatkowych prywatnych dostawców usług online do akceptowania wykorzystywania europejskich portfeli tożsamości cyfrowej bezwzględnie na podstawie dobrowolnego wniosku użytkownika. Kryteria oceny mogą obejmować zakres bazy użytkowników, obecność transgraniczną dostawców usług, rozwój technologiczny, zmiany sposobów użytkow