1.Wprowadzenie

W niniejszym sprawozdaniu przedstawiono wyniki oceny rozporządzenia (UE) nr 910/2014 w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym („rozporządzenie eIDAS”). Zgodnie z art. 49 rozporządzenia Komisja musi dokonać przeglądu stosowania tego rozporządzenia i ocenić w szczególności, czy należy zmienić zakres jego stosowania lub zakres stosowania jego poszczególnych przepisów, biorąc pod uwagę doświadczenia zdobyte przy stosowaniu tego rozporządzenia, a także rozwój technologiczny, sytuację rynkową i prawną, a ponadto do sprawozdania należy załączyć w stosownych przypadkach wnioski ustawodawcze.

Towarzyszący niniejszemu sprawozdaniu dokument roboczy służb Komisji zawiera bardziej szczegółowe dane i analizę na poparcie tych ustaleń.

1.1.Ramy eIDAS

Przyjmując w 2014 r. rozporządzenie eIDAS, UE otworzyła nowe możliwości, ponieważ wprowadziła pierwsze transgraniczne ramy dla wiarygodnej tożsamości cyfrowej i usług zaufania, które to ramy obecnie są uznane i przestrzegane na całym świecie. Rozporządzenie eIDAS miało umożliwić wszystkim obywatelom Unii uzyskanie dostępu do usług publicznych w całej UE przy użyciu środków identyfikacji elektronicznej wydawanych w kraju pochodzenia. Celem tego rozporządzenia było zwiększenie zaufania do transakcji elektronicznych na rynku wewnętrznym poprzez zapewnienie wspólnej podstawy bezpiecznej i ciągłej interakcji elektronicznej między obywatelami, przedsiębiorstwami i organami publicznymi, co pozwoli podnieść efektywność publicznych i prywatnych usług online, e-biznesu i e-handlu w Unii. Rozporządzeniem tym uchylono dyrektywę 1999/93/WE w sprawie wspólnotowych ram w zakresie podpisów elektronicznych, która zasadniczo dotyczyła wyłącznie podpisów elektronicznych.

Jak wynika z podstawy prawnej tego rozporządzenia, czyli art. 114 TFUE, służyło ono zniesieniu istniejących barier w funkcjonowaniu rynku wewnętrznego poprzez promowanie zbliżenia przepisów państw członkowskich, w szczególności w zakresie wzajemnego uznawania i akceptacji identyfikacji elektronicznej, uwierzytelnienia, podpisów i powiązanych usług zaufania ponad granicami, gdy są to elementy niezbędne do uzyskania dostępu do procedur lub transakcji elektronicznych oraz do ich przeprowadzenia.

Zanim rozporządzenie to weszło w życie, nie istniały żadne kompleksowe unijne ramy transgraniczne i międzysektorowe, które pozwoliłyby na bezpieczne, wiarygodne i łatwe w użyciu transakcje elektroniczne i obejmowałyby identyfikację elektroniczną, uwierzytelnienie i usługi zaufania. We wniosku Komisji (COM(2012) 238 final) z dnia 4 czerwca 2012 r., któremu towarzyszyła ocena skutków (SWD(2012) 135 final), określono następujące cztery cele ogólne:

•zapewnienie rozwoju jednolitego rynku cyfrowego;

•promowanie rozwoju kluczowych transgranicznych usług publicznych;

•pobudzanie i wzmacnianie konkurencji na jednolitym rynku;

•tworzenie środowiska przyjaznego użytkownikowi (obywatelom i przedsiębiorstwom).

Pomimo że rozporządzenie to spełnia wiele swoich celów i stało się podstawowym elementem ułatwiającym funkcjonowanie jednolitego rynku w wielu sektorach (np. jeżeli chodzi o usługi finansowe oraz umożliwienie udostępniania i ponownego użycia danych w procedurach administracyjnych), wiąże się z nim jednak szereg ograniczeń: brak obowiązku notyfikowania krajowych systemów identyfikacji elektronicznej, ograniczone atrybuty (elementy danych osobowych), które można wiarygodnie ujawnić osobom trzecim, fakt, że akt ten koncentruje się na sektorze publicznym, oraz brak wyraźnych zachęt do korzystania z krajowych systemów identyfikacji elektronicznej przez podmioty prywatne. Ponadto europejski ekosystem tożsamości elektronicznej jest rozproszony między różne krajowe otoczenia regulacyjne, poziomy administracji cyfrowej, kultury cyfrowej oraz zróżnicowane poziomy zaufania do instytucji publicznych.

1.2.Kontekst

Sposób, w jaki zapewnia się tożsamość cyfrową, podlega fundamentalnym zmianom. Podmioty takie jak banki, dostawcy usług łączności elektronicznej lub zakłady użyteczności publicznej, z których niektóre są prawnie zobowiązane do gromadzenia atrybutów umożliwiających identyfikację, wykorzystują potencjał swoich procedur, aby występować w charakterze zweryfikowanych dostawców tożsamości. Pośrednicy internetowi, w tym duże platformy mediów społecznościowych i przeglądarki internetowe, występują w charakterze faktycznych strażników dostępu do tożsamości cyfrowej i oferują rozwiązania umożliwiające przenoszenie tożsamości (ang. bring your own identity, BYOI), dzięki którym ich użytkownicy mogą dokonywać uwierzytelnienia na stronach zewnętrznych i w ramach usług zewnętrznych za pomocą swoich profili użytkowników. Takie wygodne rozwiązanie zapewnia się kosztem utraty kontroli nad ujawnianymi danymi osobowymi, gdyż takie środki identyfikacji elektronicznej nie są połączone z fizycznym środkiem identyfikacji, przez co trudniej jest ograniczać zagrożenia w formie oszustw i zagrożenia dla cyberbezpieczeństwa. Znaczna większość obywateli Unii chciałaby mieć dostęp do bezpiecznej tożsamości cyfrowej, za pomocą której mogliby uzyskać dostęp do usług online . Ponadto, mimo że istnieje wiele różnych poglądów dotyczących przyszłości tożsamości cyfrowej, konieczne jest należyte rozważenie kluczowej roli rządów krajowych w rozwoju każdego daleko idącego ekosystemu tożsamości cyfrowej.

Obecnie użytkownicy oczekują płynnego działania internetu, aplikacji mobilnych i rozwiązań umożliwiających pojedyncze logowanie, które stosuje się do korzystania z usług online w sektorze publicznym i prywatnym, obejmujących wszystkie przypadki użycia do celów identyfikacji, począwszy od logowania do platformy internetowej z użyciem danych pseudonimicznych aż po bezpieczną identyfikację do celów korzystania z usług cyfrowych w dziedzinie e-zdrowia lub elektronicznych usług bankowych. Bezpieczna identyfikacja elektroniczna i wymiana danych uwierzytelniających opartych na atrybutach zyskują na znaczeniu wraz ze wzrostem liczby usług wymagających potwierdzenia tożsamości i usług indywidualnych. Zdolność do dokonania cyfrowej identyfikacji stanie się ważnym czynnikiem włączenia społecznego, a możliwość zapewnienia tożsamości cyfrowej będzie stanowić istotny atut strategiczny.

W orędziu o stanie Unii z dnia 16 września 2020 r. przewodnicząca Komisji Europejskiej ogłosiła, że celem Komisji jest zapewnienie bezpiecznej i wiarygodnej tożsamości cyfrowej wszystkim obywatelom UE: „Chcemy zestawu przepisów, które będą ukierunkowane na ludzi.(...)Obejmuje to także kontrolę nad naszymi danymi osobowymi, której dziś wciąż brakuje.Za każdym razem, gdy aplikacja lub strona internetowa prosi nas o stworzenie nowej tożsamości cyfrowej lub o łatwe zalogowanie się na dużej platformie, nie mamy pojęcia, co w rzeczywistości dzieje się z naszymi danymi.Dlatego też Komisja wkrótce zaproponuje bezpieczną europejską tożsamość elektroniczną.Taką, której będziemy mogli zaufać i z której każdy obywatel będzie mógł skorzystać z każdego miejsca w Europie, aby na przykład zapłacić podatki czy wynająć rower.Mówimy o technologii, w ramach której sami możemy kontrolować, jakie dane są wykorzystywane i w jaki sposób.

Rada Europejska poparła ambicję Komisji i w konkluzjach z dni 1–2 października 2020 r. zwróciła się do Komisji, by do połowy 2021 r. przedstawiła wniosek dotyczący inicjatywy na rzecz europejskiej identyfikacji cyfrowej:

W konkluzjach Rada Europejska apeluje o „opracowanie ogólnounijnych ram bezpiecznej publicznej identyfikacji elektronicznej (e-ID), w tym interoperacyjnych podpisów cyfrowych, by zapewnić obywatelom kontrolę nad ich tożsamością i danymi w internecie, a także by umożliwić dostęp do publicznych, prywatnych i transgranicznych usług cyfrowych.Zwraca się do Komisji, by do połowy 2021 r. przedstawiła wniosek dotyczący inicjatywy na rzecz europejskiej identyfikacji cyfrowej”.

Dzięki identyfikacji elektronicznej obywatele i przedsiębiorstwa mogą potwierdzić swoją tożsamość przy uzyskiwaniu dostępu do usług online. Usługi zaufania, takie jak podpisy elektroniczne, sprawiają, że transakcje online stają się bezpieczniejsze i skuteczniejsze, a korzystanie z nich jest wygodniejsze. Rozporządzenie eIDAS stanowi jedyne transgraniczne ramy dotyczące wiarygodnej identyfikacji elektronicznej osób fizycznych i prawnych oraz usług zaufania. Rozporządzenie eIDAS umożliwia transgraniczne uznawanie rządowych systemów identyfikacji elektronicznych zapewniających dostęp do usług publicznych, pod warunkiem że dany system identyfikacji elektronicznej notyfikowano na podstawie rozporządzenia eIDAS. Rozporządzeniem eIDAS ustanowiono również unijny rynek usług zaufania uznawanych ponad granicami i mających ten sam status prawny co tradycyjne równoważne procesy oparte na dokumentacji papierowej.