COMISSÃO EUROPEIA Bruxelas, 3.6.2021 COM(2021) 281 final 2021/0136(COD) Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO que altera o Regulamento (UE) n.º 910/2014 no respeitante à criação de um Quadro Europeu para a Identidade Digital {SEC(2021) 228 final} - {SWD(2021) 124 final} - {SWD(2021) 125 final}



EXPOSIÇÃO DE MOTIVOS 1.CONTEXTO DA PROPOSTA •Razões e objetivos da proposta A presente exposição de motivos acompanha a proposta de Regulamento do Parlamento Europeu e do Conselho que altera o Regulamento (UE) n.º 910/2014 do Parlamento Europeu e do Conselho, de 23 de julho de 2014, relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno (Regulamento eIDAS). Para efeitos de utilização transfronteiriça, o instrumento jurídico visa assegurar o seguinte: –um acesso a soluções de identidade eletrónica com um elevado nível de segurança e fiabilidade, –que os serviços públicos e privados possam recorrer a soluções de identidade digital de confiança e seguras, –que as pessoas singulares e coletivas estejam capacitadas para utilizar soluções de identidade digital, –que essas soluções estejam associadas a uma série de atributos e permitam a partilha seletiva de dados de identidade limitada às necessidades do serviço específico solicitado, –a aceitação de serviços de confiança qualificados na UE e a igualdade de condições para a sua prestação. O mercado está a assistir à emergência de um novo ambiente, em que o foco mudou da disponibilização e utilização de identidades rígidas digitais para a disponibilização e o recurso a atributos específicos relacionados com essas identidades. Existe uma procura crescente de soluções de identidade eletrónica com estas capacidades, que ofereçam, ao setor público e privado, ganhos de eficiência e um elevado nível de confiança em toda UE. Esta procura surge da necessidade de identificar e autenticar utilizadores com um elevado nível de garantia. A avaliação do Regulamento eIDAS revelou que o atual regulamento não responde a estas novas exigências do mercado, principalmente devido ao facto de estar intrinsecamente limitado ao setor público, às possibilidades limitadas e à complexidade de ligação ao sistema por parte dos prestadores de serviços privados em linha, à insuficiente disponibilidade de soluções de eID notificadas em todos os Estados-Membros e à sua falta de flexibilidade para apoiar uma série de casos de utilização. Além disso, as soluções de identidade que não se inserem no âmbito de aplicação do Regulamento eIDAS, tais como as oferecidas pelos prestadores de serviços a nível das redes sociais e as instituições financeiras, suscitam preocupações em termos de privacidade e proteção de dados. Estas soluções não conseguem responder eficazmente às novas exigências do mercado e carecem de alcance transfronteiriço para satisfazer necessidades setoriais específicas em situações em que a identificação é sensível e requer um elevado grau de certeza. Desde a entrada em vigor da parte do regulamento sobre a eID, em setembro de 2018, apenas 14 Estados-Membros notificaram, pelo menos, um sistema de eID. Consequentemente, apenas 59 % dos residentes da UE têm acesso a sistemas de confiança e seguros de eID além-fronteiras. Apenas sete sistemas são completamente móveis, respondendo às expectativas atuais dos utilizadores. Uma vez que nem todos os nós técnicos para assegurar a ligação ao quadro de interoperabilidade eIDAS estão plenamente operacionais, o acesso transfronteiriço é limitado; são muito poucos os serviços públicos em linha acessíveis a nível nacional a que também se pode aceder além-fronteiras através da rede eIDAS. Mediante a disponibilização de um Quadro Europeu para a Identidade Digital baseado na revisão do atual, pelo menos 80 % dos cidadãos deverão ser capazes de utilizar uma solução de identidade digital para aceder a serviços públicos essenciais até 2030. Ademais, a segurança e o controlo proporcionados pelo Quadro Europeu para a Identidade Digital deverão dar aos cidadãos e aos residentes plena confiança de que esse quadro oferecerá a todas as pessoas os meios necessários para controlar quem tem acesso ao seu gémeo digital e a que dados exatamente. Tal exigirá também um elevado nível de segurança no que diz respeito a todos os aspetos da disponibilização da identidade digital, nomeadamente à emissão de uma carteira europeia de identidade digital e às infraestruturas para a recolha, o armazenamento e a divulgação de dados de identidade digital. Além disso, o atual quadro eIDAS não abrange o fornecimento de atributos eletrónicos, tais como certificados médicos ou qualificações profissionais, fazendo com que seja difícil assegurar o reconhecimento jurídico pan-europeu dessas credenciais em formato eletrónico. Acresce que o Regulamento eIDAS não permite aos utilizadores restringir a partilha de dados de identidade ao estritamente necessário para a prestação de um serviço. Apesar de a avaliação do Regulamento eIDAS revelar que o quadro para a prestação de serviços de confiança foi bastante bem-sucedido, proporcionando um elevado nível de confiança e assegurando a adoção e utilização da maioria dos serviços de confiança, é necessário envidar mais esforços para alcançar uma harmonização e aceitação plenas. Em relação aos certificados qualificados de autenticação de sítios Web, os cidadãos devem poder confiar nos mesmos e beneficiar de informações seguras e fiáveis sobre quem está por detrás de um sítio Web, reduzindo, desta forma, a fraude. Além disso, por forma a responder à dinâmica dos mercados e aos desenvolvimentos tecnológicos, a presente proposta aumenta a atual lista eIDAS de serviços de confiança, introduzindo três novos serviços de confiança qualificados, nomeadamente a prestação de serviços de arquivo eletrónico, os livros-razão eletrónicos e a gestão de dispositivos de criação de assinaturas e de selos eletrónicos à distância. A presente proposta oferece igualmente uma abordagem harmonizada no que respeita à segurança, tanto para os cidadãos que recorram a uma identidade digital europeia que os represente em linha como para os prestadores de serviços em linha, que poderão confiar plenamente e aceitar soluções de identidade digital independentemente do local onde tenham sido produzidas. Esta proposta implica uma mudança para os emitentes de soluções de identidade digital europeia, proporcionado uma arquitetura técnica, um quadro de referência e normas comuns, a desenvolver em colaboração com os Estados-Membros. É necessária uma abordagem harmonizada para evitar que o desenvolvimento de novas soluções de identidade digital nos Estados-Membros exacerbe a fragmentação despoletada pela utilização de soluções nacionais divergentes. Uma abordagem harmonizada irá também reforçar o mercado único, porquanto permitirá aos cidadãos, a outros residentes e às empresas identificarem-se em linha de uma forma segura, conveniente e uniforme em toda a UE para aceder a serviços públicos e privados. Os utilizadores poderão recorrer a um ecossistema melhorado de identidade eletrónica e a serviços de confiança reconhecidos e aceites em qualquer parte da União. A fim de evitar a fragmentação e os obstáculos decorrentes da existência de normas divergentes, a Comissão adotará uma recomendação em simultâneo com a presente proposta. Essa recomendação estabelecerá um processo para apoiar uma abordagem comum que permita aos Estados-Membros e outras partes interessadas dos setores público e privado, em estreita coordenação com a Comissão, trabalhar no sentido do desenvolvimento de um conjunto de instrumentos que vise evitar abordagens divergentes e o comprometimento da futura execução do Quadro Europeu para a Identidade Digital. •Coerência com as disposições existentes da mesma política setorial

A presente proposta baseia-se no atual Regulamento eIDAS, no papel dos Estados-Membros enquanto fornecedores de identidades jurídicas e no quadro para a prestação de serviços de confiança eletrónicos na União Europeia. A proposta é complementar e plenamente coerente com outros instrumentos políticos a nível da UE destinados a traduzir os benefícios do mercado interno para o mundo digital, nomeadamente aumentando as possibilidades de acesso dos cidadãos a serviços transfronteiriços. A este respeito, a proposta executa o mandato político conferido pelo Conselho Europeu e pela presidente da Comissão Europeia no sentido de proporcionar um quadro à escala da UE para as identidades eletrónicas públicas, que assegure que qualquer cidadão ou residente possa ter acesso a uma identidade eletrónica europeia segura, passível de ser utilizada em qualquer parte da UE para fins de identificação e autenticação, com vista a aceder a serviços dos setores público e privado, permitindo aos cidadãos controlar que dados são comunicados e de que forma são utilizados. •Coerência com outras políticas da União A proposta é coerente com as prioridades para a transformação digital, definidas na estratégia «Construir o futuro digital da Europa», e apoiará a consecução das metas indicadas na Comunicação relativa à Década Digital. Todo o tratamento de dados pessoais efetuado ao abrigo do presente regulamento deve respeitar plenamente o Regulamento Geral sobre a Proteção de Dados (adiante designado por «RGPD»). Além disso, o presente regulamento introduz garantias específicas em matéria de proteção de dados. Para assegurar um elevado nível de segurança, a proposta é também coerente com as políticas da União em matéria de cibersegurança. A proposta foi concebida para reduzir a fragmentação aplicando os requisitos gerais de cibersegurança aos prestadores de serviços de confiança regulados pelo Regulamento eIDAS. A presente proposta é, além disso, coerente com outras políticas setoriais que assentam na utilização de identidades eletrónicas, certificados eletrónicos de atributos e outros serviços de confiança. Entre estas contam-se o Regulamento Plataforma Digital Única, os requisitos a cumprir no setor financeiro no âmbito da luta contra o branqueamento de capitais e do combate ao financiamento do terrorismo, as iniciativas relativas à partilha de credenciais de segurança social, à criação de uma carta de condução digital ou a futuros documentos de viagem digitais e outras iniciativas delineadas para reduzir os encargos administrativos para os cidadãos e as empresas baseadas integralmente nas possibilidades proporcionadas pela transformação digital dos procedimentos nos setores público e privado. A carteira permitirá, além disso, utilizar assinaturas eletrónicas qualificadas que podem facilitar a participação política. 2.BASE JURÍDICA, SUBSIDIARIEDADE E PROPORCIONALIDADE •Base jurídica A iniciativa tem por objetivo apoiar a transformação da União no sentido da criação de um mercado único digital. Com a digitalização crescente de serviços públicos e privados transfronteiriços baseados na utilização de soluções de identidade digital, existe o risco de, no âmbito do atual quadro legal, os cidadãos continuarem a deparar-se com obstáculos e a não serem capazes de utilizar plenamente os serviços em linha, sem descontinuidades, em toda a UE, nem de preservar a sua privacidade. Existe igualmente o risco de as lacunas do atual quadro legal dos serviços de confiança aumentarem a fragmentação e reduzirem a confiança se a sua gestão for deixada única e exclusivamente a cargo dos Estados-Membros. Por conseguinte, o artigo 114.º do TFUE é identificado como a base jurídica da presente iniciativa. •Subsidiariedade (no caso de competência não exclusiva) Os cidadãos e as empresas devem poder beneficiar da disponibilidade de soluções de identidade digital altamente seguras e fiáveis utilizáveis em toda a UE e da portabilidade dos certificados eletrónicos de atributos associados à identidade. Os desenvolvimentos tecnológicos recentes, bem como a procura do mercado e dos utilizadores, exigem a disponibilização de soluções transfronteiriças de mais fácil utilização que permitam o acesso a serviços em linha à escala da UE, que o Regulamento eIDAS na sua versão atual não pode oferecer. Os utilizadores habituaram-se também cada vez mais a soluções disponíveis à escala mundial, por exemplo quando aceitam a utilização de soluções de autenticação única prestadas pelas grandes plataformas de redes sociais para aceder a serviços em linha. Os Estados-Membros não podem isoladamente resolver os desafios que esta situação cria em termos de poder de mercado dos prestadores de grande dimensão, o que requer interoperabilidade e eID de confiança a nível da UE. Além disso, os certificados eletrónicos de atributos emitidos e aceites num Estado-Membro, como os certificados de saúde eletrónicos, muitas vezes não são reconhecidos e aceites legalmente noutros Estados-Membros. Tal cria o risco de os Estados-Membros continuarem a desenvolver soluções nacionais fragmentadas que não podem ser utilizadas além-fronteiras. Relativamente à prestação de serviços de confiança, embora estejam, em grande medida, regulamentados e a funcionar de acordo com o atual quadro legal, as práticas nacionais criam igualmente um risco de aumento da fragmentação. A intervenção a nível da UE é, em última análise, mais adequada para proporcionar aos cidadãos e às empresas os meios necessários de identificação transfronteiriça e de troca de atributos e credenciais de identidade pessoal, com recurso a soluções de identidade digital altamente seguras e fiáveis, em conformidade com as regras da UE em matéria de proteção de dados. Para tal, é essencial dispor de eID de confiança e seguras e de um quadro regulamentar que as associe a atributos e credenciais a nível da UE. Só uma intervenção a nível da UE pode estabelecer condições harmonizadas que assegurem o controlo dos utilizadores e o seu acesso a serviços digitais transfronteiriços, bem como um quadro de interoperabilidade que permita aos serviços em linha confiar facilmente na utilização de soluções de identidade digital seguras, independentemente do local na UE onde tenham sido produzidas ou onde o cidadão resida. Tal como amplamente demonstrado na revisão do Regulamento eIDAS, seria pouco provável que uma intervenção nacional tivesse a mesma eficiência e a mesma eficácia. •Proporcionalidade A presente iniciativa é proporcional aos objetivos pretendidos, proporcionando um instrumento adequado para estabelecer a estrutura de interoperabilidade necessária para a criação de um ecossistema de identidade digital da UE assente nas identidades jurídicas emitidas pelos Estados-Membros e no fornecimento de atributos de identidade digital qualificados e não qualificados. Dá um contributo claro para o objetivo de melhorar o mercado único digital através de um quadro legal mais harmonizado. As carteiras europeias de identidade digital harmonizadas a emitir pelos Estados-Membros com base em normas técnicas comuns também proporcionam uma abordagem comum da UE que beneficia os utilizadores e as partes que dependem da disponibilidade de soluções seguras de identidade eletrónica transfronteiriça. A presente iniciativa aborda as limitações da atual infraestrutura de interoperabilidade de identificação eletrónica com base no reconhecimento mútuo de diversos sistemas nacionais de identificação eletrónica. Tendo em conta os objetivos estipulados, considera-se que a presente iniciativa é suficientemente proporcionada e que os custos são suscetíveis de serem proporcionais aos potenciais benefícios. O regulamento proposto originará custos financeiros e administrativos, que serão suportados pelos Estados-Membros enquanto emitentes das carteiras europeias de identidade digital e pelos prestadores de serviços de confiança e de serviços em linha. Contudo, estes custos serão provavelmente compensados pelos potenciais benefícios significativos para os cidadãos e utilizadores diretamente decorrentes de um maior reconhecimento e de uma maior aceitação a nível transfronteiriço dos serviços de identidade e atributos eletrónicos. Os custos decorrentes da criação de novas normas e da harmonização com as mesmas suportados pelos prestadores de serviços de confiança e prestadores de serviços em linha não podem ser evitados, se em causa a consecução do objetivo da usabilidade e acessibilidade. A iniciativa pretende aproveitar e apoiar-se no investimento já realizado pelos Estados-Membros nos seus sistemas de identificação nacionais. Além disso, os custos adicionais gerados pela proposta estão concebidos para apoiar a harmonização e são justificados com base na expectativa de que, a longo prazo, reduzirão os encargos administrativos e os custos de conformidade. Os custos associados à aceitação de atributos de autenticação da identidade digital nos setores regulamentados podem também ser encarados como necessários e proporcionais, na medida em que apoiem o objetivo global e proporcionem os meios necessários para que os setores regulamentados possam cumprir as obrigações legais relativas à identificação do utilizador. •Escolha do instrumento A escolha de um regulamento como instrumento jurídico justifica-se pela necessidade de assegurar condições uniformes no mercado interno para a aplicação da identidade digital europeia através de um quadro harmonizado que visa criar interoperabilidade contínua e proporcionar às empresas e cidadãos europeus serviços públicos e privados com eID altamente seguras e fiáveis em toda a União. 3.RESULTADOS DAS AVALIAÇÕES EX POST, DAS CONSULTAS DAS PARTES INTERESSADAS E DAS AVALIAÇÕES DE IMPACTO •Avaliações ex post/balanços de qualidade da legislação existente

No âmbito do processo de revisão exigido pelo artigo 49.º do Regulamento eIDAS, realizou-se uma avaliação do referido regulamento. A principal conclusão da avaliação no que respeita à identidade eletrónica é a de que o Regulamento eIDAS não concretizou o seu potencial. Apenas foi notificado um número limitado de eID, o que restringe a cobertura dos sistemas de eID notificados a cerca de 59 % da população da UE. Além disso, a aceitação das eID notificadas é limitada, tanto a nível dos Estados-Membros quanto dos prestadores de serviços. Por outro lado, aparentemente, apenas alguns dos serviços acessíveis através de eID internas estão conectados à infraestrutura eIDAS nacional. O estudo de avaliação também constatou que o atual âmbito do Regulamento eIDAS e o seu foco em sistemas de eID notificados pelos Estados-Membros da UE e na viabilização do acesso a serviços públicos em linha parecem ser demasiado limitados e desadequados. A grande maioria das necessidades de identificação eletrónica e de autenticação à distância continua concentrada no setor privado, nomeadamente em domínios como a banca, as telecomunicações e os operadores de plataformas, que são obrigados por lei a verificar a identidade dos seus clientes. O valor acrescentado do Regulamento eIDAS no tocante à identidade eletrónica é limitado devido à sua reduzida cobertura, adoção e utilização. Os problemas identificados na presente proposta estão relacionados com as insuficiências do atual quadro eIDAS e com mudanças contextuais fundamentais relativas aos mercados e aos desenvolvimentos sociais e tecnológicos, que despoletam novas necessidades dos utilizadores e do mercado. •Consultas das partes interessadas Em 24 de julho de 2020, foi lançada uma consulta pública, que terminou em 2 de outubro de 2020. No total, a Comissão recebeu 318 contribuições. A Comissão também recebeu 106 respostas a um inquérito específico às partes interessadas. Foram ainda recolhidas opiniões junto dos Estados-Membros em diversas reuniões bilaterais e multilaterais e organizados inquéritos desde o início de 2020, nomeadamente, um inquérito a representantes dos Estados-Membros na rede de cooperação eIDAS, que decorreu entre julho e agosto de 2020, e vários seminários específicos. A Comissão realizou igualmente entrevistas aprofundadas a representantes da indústria e participou em reuniões bilaterais com partes interessadas de vários setores empresariais (por exemplo, comércio eletrónico, saúde, serviços financeiros, operadores de telecomunicações, fabricantes de equipamento, etc.). Uma grande maioria dos respondentes à consulta pública saudou a criação de uma identidade digital única e universalmente aceite, baseada nas identidades jurídicas emitidas pelos Estados-Membros. Os Estados-Membros apoiam amplamente a necessidade de reforçar o atual Regulamento eIDAS para oferecer aos cidadãos a possibilidade de aceder a serviços públicos e privados e reconhecem que é preciso criar um serviço de confiança que permita emitir e utilizar além-fronteiras certificados eletrónicos de atributos. De um modo geral, os Estados-Membros salientaram a necessidade de criar um Quadro Europeu para a Identidade Digital com base na experiência e nos pontos fortes das soluções nacionais, procurando encontrar sinergias e beneficiando dos investimentos realizados. Muitas partes interessadas referiram a forma como a pandemia de COVID-19 veio demonstrar o valor da identificação segura e à distância para o acesso de todos a serviços públicos e privados. Em relação aos serviços de confiança, a maioria dos intervenientes concorda que o quadro atual foi um sucesso, ainda que seja necessário implementar algumas medidas suplementares para harmonizar algumas práticas relacionadas com a identificação à distância e a supervisão nacional. As partes interessadas com uma base de clientes principalmente nacionais manifestaram mais dúvidas sobre o valor acrescentado do Quadro Europeu para a Identidade Digital. As carteiras de identidade digital são cada vez mais vistas pelo setor público e privado como o instrumento mais adequado para permitir aos utilizadores escolher quando e com que prestador de serviços privado partilhar vários atributos, em função do caso de utilização e do nível de segurança exigido pela respetiva transação. As identidades digitais baseadas em carteiras digitais armazenadas de forma segura em dispositivos móveis foram identificadas como o principal ativo para uma solução preparada para o futuro. Tanto o mercado privado (por exemplo, Apple, Google, Thales) quanto os governos já estão a avançar neste sentido. •Recolha e utilização de conhecimentos especializados A proposta baseia-se nas informações recolhidas no âmbito das consultas das partes interessadas para efeitos da avaliação de impacto e dos relatórios de avaliação do Regulamento eIDAS com o propósito de rever as obrigações estipuladas no artigo 49.º do Regulamento eIDAS. Foram organizadas várias reuniões com representantes e peritos dos Estados-Membros. •Avaliação de impacto A presente proposta foi objeto de uma avaliação de impacto. Em 19 de março de 2021, o Comité de Controlo da Regulamentação emitiu um parecer negativo com algumas observações. Na sequência de uma nova apresentação, em 5 de maio de 2021, o Comité emitiu um parecer positivo. A Comissão está a examinar as diversas opções políticas para alcançar o objetivo geral da presente iniciativa, que consiste em assegurar o correto funcionamento do mercado interno, em especial no que respeita ao fornecimento e à utilização de soluções de identidade eletrónica altamente seguras e fiáveis. A avaliação de impacto analisa o cenário de base, as opções políticas e os respetivos impactos das três opções políticas consideradas. Cada opção implica uma escolha política em função do nível de ambição. A primeira opção apresenta um baixo nível de ambição e um conjunto de medidas destinadas, sobretudo, a reforçar a eficácia e eficiência do atual Regulamento eIDAS. Ao impor a notificação obrigatória das eID nacionais e simplificar os instrumentos existentes e disponíveis para obter o reconhecimento mútuo, a primeira opção baseia-se em satisfazer as necessidades dos cidadãos, apoiando-se na disponibilidade de diversos sistemas nacionais de eID que visam tornar-se interoperáveis. A segunda opção apresenta um nível médio de ambição e tem por principal objetivo alargar as possibilidades de troca segura de dados associados à identidade, complementando as eID governamentais e apoiando a atual mudança para serviços de identidade baseados em atributos. O objetivo desta opção seria satisfazer a procura dos utilizadores e criar um novo serviço de confiança qualificado para o fornecimento de certificados eletrónicos de atributos associados a fontes de confiança e aplicáveis além-fronteiras. Tal alargaria o âmbito de aplicação do atual Regulamento eIDAS e apoiaria o maior número possível de casos de utilização, assentando na necessidade de verificar atributos de identidade associados a uma pessoa com um elevado nível de garantia. A terceira opção, que é também a preferida, apresenta o nível mais elevado de ambição e visa regular o fornecimento de uma carteira de identidade digital pessoal altamente segura emitida pelos Estados-Membros. Considerou-se que a opção preferida responderia de forma mais eficaz aos objetivos da presente iniciativa. A fim de abordar plenamente os objetivos políticos, a opção preferida baseia-se na maior parte das medidas avaliadas na primeira opção (recurso a identidades jurídicas acreditadas pelos Estados-Membros e disponibilidade de meios de eID mutuamente reconhecidos) e na segunda opção (certificados eletrónicos de atributos legalmente reconhecidos além-fronteiras). No atinente ao quadro geral dos serviços de confiança, o nível de ambição requer um conjunto de medidas que não necessitem de uma abordagem gradual para cumprir os objetivos políticos. O novo serviço de confiança qualificado para a gestão de dispositivos de criação de assinaturas e de selos eletrónicos à distância proporcionará benefícios consideráveis em termos de segurança, uniformidade, segurança jurídica e de escolha dos consumidores. Estes benefícios estão associados tanto à certificação dos dispositivos qualificados de criação de assinaturas, como aos requisitos a cumprir pelos prestadores qualificados de serviços de confiança que gerem esses dispositivos. As novas disposições reforçarão o quadro geral regulamentar e de supervisão para a prestação de serviços de confiança. Os impactos das opções políticas em diversas categorias de partes interessadas são explicados pormenorizadamente no anexo 3 da avaliação de impacto que esteia a presente iniciativa. A avaliação é quantitativa e qualitativa. O estudo da avaliação de impacto indica que os custos mínimos quantificáveis podem estimar-se em mais de 3 200 milhões de EUR, uma vez que não é possível quantificar alguns dos elementos de custos. Os benefícios totais quantificáveis foram estimados entre 3 900 e 9 600 milhões de EUR. No que respeita aos impactos económicos mais vastos, espera-se que a opção preferida tenha um impacto positivo na inovação, no comércio internacional e na competitividade, contribua para o crescimento económico e resulte num investimento adicional em soluções de identidade digital. Por exemplo, prevê-se que um investimento adicional de 500 milhões de EUR desencadeado por alterações legislativas no âmbito da opção 3 gere benefícios de 1 258 milhões de EUR após dez anos (com uma adoção de 67 %). É também expectável que a opção preferida tenha um impacto positivo no emprego, criando entre 5 000 e 27 000 postos de trabalho suplementares ao longo de cinco anos após a sua aplicação. Tal explica-se pelo investimento suplementar e pela redução dos custos para as empresas que recorram à utilização de soluções de eID. Prevê-se que o impacto ambiental positivo seja maior na terceira opção, que deverá melhorar tanto quanto possível a adoção e usabilidade da eID, reduzindo as emissões relacionadas com a prestação do serviço público. Os livros-razão eletrónicos facultam aos utilizadores um comprovativo e uma pista de auditoria imutável para a sequenciação de transações e registos de dados, salvaguardando a integridade dos dados. Embora este serviço de confiança não fizesse parte da avaliação de impacto, baseia-se em serviços de confiança existentes, uma vez que combina a validação cronológica dos dados e a respetiva sequenciação com a certeza quanto ao originador dos dados, que é similar à assinatura eletrónica. Este serviço de confiança é necessário para evitar a fragmentação do mercado interno, definindo um quadro pan-europeu único que permita o reconhecimento transfronteiriço dos serviços de confiança que apoiam o funcionamento dos livros-razão eletrónicos qualificados. A integridade dos dados, por sua vez, é muito importante para a congregação de dados de fontes descentralizadas, para soluções de identidade autossoberana, para atribuir propriedade a ativos digitais, para registar processos empresariais com vista a auditar a conformidade com os critérios de sustentabilidade e para vários casos de utilização nos mercados de capitais.

•Adequação da regulamentação e simplificação A presente proposta estabelece medidas que serão aplicáveis a autoridades públicas, cidadãos e prestadores de serviços em linha. Reduzirá os custos administrativos e de conformidade para as administrações públicas, bem como os custos operacionais e as despesas relacionadas com a segurança para os prestadores de serviços em linha. Os cidadãos beneficiação de poupanças resultantes da redução dos encargos administrativos, tirando pleno partido dos meios digitais para se identificarem e da facilidade de trocar atributos de identidade digital de forma segura com o mesmo valor jurídico além-fronteiras. Os fornecedores de identidades eletrónicas também beneficiarão de uma redução dos custos de conformidade. •Direitos fundamentais Uma vez que os dados pessoais se inserem no âmbito de aplicação de alguns elementos do regulamento, as medidas foram concebidas para cumprir plenamente a legislação em matéria de proteção de dados. Por exemplo, a proposta melhora as opções para a partilha de dados e para permitir a divulgação discricionária. Ao utilizar a carteira europeia de identidade digital, o utilizador poderá controlar a quantidade de dados fornecidos a partes utilizadoras e ser informado sobre os atributos exigidos para a prestação de um serviço específico. Os prestadores de serviços devem informar os Estados-Membros sobre a sua intenção de utilizar uma carteira europeia de identidade digital, o que permitirá aos Estados-Membros controlar que os referidos prestadores só solicitam conjuntos de dados sensíveis, por exemplo, relacionados com a saúde, de acordo com a legislação nacional. 4.INCIDÊNCIA ORÇAMENTAL A fim de alcançar os objetivos da presente iniciativa de modo eficiente, é necessário financiar um conjunto de ações quer a nível da Comissão, que prevê a afetação de 60 ETC no período 2022-2027, quer a nível dos Estados-Membros, mediante a sua participação ativa nos grupos de peritos e comités associados ao trabalho da iniciativa e compostos por representantes dos Estados-Membros. O total de recursos financeiros necessários para a execução da proposta no período 2022-2027 será de até 30 825 milhões de EUR, incluindo 8 825 milhões de EUR de custos administrativos e até 22 milhões de EUR de despesas operacionais cobertos pelo Programa Europa Digital (na pendência de acordo). O financiamento apoiará custos associados à manutenção, ao desenvolvimento, ao alojamento, ao funcionamento e ao apoio aos elementos constitutivos dos serviços de eID e de confiança. Pode igualmente apoiar subvenções para ligar serviços ao ecossistema da carteira europeia de identidade digital, bem como a elaboração de normas e especificações técnicas. Por último, o financiamento também apoiará a realização de inquéritos e estudos anuais sobre a eficácia e eficiência do regulamento na consecução dos seus objetivos. A «ficha financeira» anexa à presente iniciativa fornece uma panorâmica pormenorizada dos custos envolvidos. 5.OUTROS ELEMENTOS •Planos de execução e acompanhamento, avaliação e prestação de informações Os impactos serão acompanhados e avaliados em conformidade com as Orientações sobre «Legislar Melhor», abrangendo a execução e a aplicação do regulamento proposto. A disposição relativa ao acompanhamento constitui uma parte importante da proposta, nomeadamente devido às lacunas do atual quadro de prestação de informações, como revelado pelo estudo de avaliação. Além dos requisitos de prestação de informações introduzidos no regulamento proposto, que visam garantir uma melhor base de dados e análise, o quadro de acompanhamento controlará: 1) até que ponto as alterações necessárias foram implementadas em consonância com as medidas adotadas; 2) se foram implementadas as alterações necessárias nos sistemas nacionais pertinentes; 3) se houve uma adesão às alterações necessárias das obrigações de conformidade por parte das entidades regulamentadas. A Comissão Europeia (1, 2, 3) e as autoridades nacionais competentes (2 e 3) serão responsáveis pela recolha de dados com base em indicadores predefinidos. No que concerne a aplicação do instrumento proposto, a Comissão Europeia e as autoridades nacionais competentes avaliarão através de inquéritos anuais: 1) o acesso de todos os cidadãos da UE a meios de eID; 2) o aumento do reconhecimento e da aceitação transfronteiriça de sistemas de eID; 3) as medidas destinadas a incentivar a adoção de novos serviços de identidade digital pelo setor privado e o seu desenvolvimento. A Comissão Europeia procederá à recolha de informações contextuais, recorrendo para tal a inquéritos anuais sobre: 1) a dimensão do mercado das identidades digitais; 2) as despesas de contratação pública associadas à identidade digital; 3) a percentagem de empresas que prestam os seus serviços em linha; 4) a percentagem de transações em linha que requerem uma identificação forte do cliente; 5) a percentagem de cidadãos da UE que utilizam serviços públicos e privados em linha. •Explicação pormenorizada das disposições específicas da proposta O artigo 6.º-A do projeto de regulamento exige que os Estados-Membros emitam uma carteira europeia de identidade digital, com base num sistema de eID notificado e em consonância com normas técnicas comuns, na sequência de uma avaliação da conformidade obrigatória e da certificação voluntária no âmbito do enquadramento europeu para a certificação da cibersegurança, conforme estabelecido no Regulamento Cibersegurança. Inclui disposições para garantir que as pessoas singulares e coletivas tenham a possibilidade de solicitar e obter, armazenar, combinar e utilizar de forma segura dados de identificação pessoal e certificados eletrónicos de atributos para se autenticarem em linha e fora de linha, bem como para permitirem o acesso a bens e serviços públicos e privados em linha sob o controlo do utilizador. Esta certificação não prejudica o RGPD no sentido em que as operações de tratamento de dados pessoais relacionadas com a carteira europeia de identidade digital só podem ser certificadas nos termos dos artigos 42.º e 43.º do RGPD. A proposta estabelece, no artigo 6.º-B, disposições específicas sobre os requisitos aplicáveis às partes utilizadoras para prevenir fraudes e garantir a autenticação de dados de identificação pessoal e certificados eletrónicos de atributos provenientes da carteira europeia de identidade digital. A fim de disponibilizar mais meios de identificação eletrónica para utilização além-fronteiras e de melhorar a eficiência do processo de reconhecimento mútuo dos sistemas de identificação eletrónica notificados, o artigo 7.º prevê a obrigatoriedade de os Estados-Membros notificarem, pelo menos, um sistema de identificação eletrónica. Além disso, são aditadas ao artigo 11.º-A disposições destinadas a facilitar a identificação única, para garantir a identificação única e persistente de pessoas singulares. Tal diz respeito a casos em que a identificação é obrigatória por lei, como no domínio da saúde, no domínio das finanças (para cumprimento de obrigações em matéria de luta contra o branqueamento de capitais), ou no âmbito de processos judiciais. Para o efeito, os Estados-Membros serão obrigados a incluir um identificador único e persistente no conjunto mínimo de dados de identificação pessoal. A possibilidade de os Estados-Membros recorrerem à certificação para garantir a conformidade com o regulamento e, deste modo, substituírem o processo de avaliação pelos pares, melhora a eficiência do reconhecimento mútuo. A secção 3 apresenta novas disposições relativas à utilização transfronteiriça da carteira europeia de identidade digital para assegurar que os utilizadores possam recorrer às carteiras europeias de identidade digital para aceder a serviços em linha prestados por organismos públicos e por prestadores de serviços privados que requeiram a utilização de autenticação forte do utilizador. No capítulo III sobre serviços de confiança, o artigo 14.º, relativo aos aspetos internacionais, é alterado para permitir à Comissão adotar decisões de execução que atestem a equivalência dos requisitos aplicados aos prestadores de serviços de confiança criados em países terceiros e dos serviços que prestam, além de recorrer a acordos de reconhecimento mútuo em conformidade com o artigo 218.º do TFUE. No que diz respeito à disposição geral aplicável aos serviços de confiança, incluindo aos prestadores qualificados de serviços de confiança, os artigos 17.º, 18.º, 20.º, 21.º e 24.º são alterados para ficarem alinhados com as regras aplicáveis à segurança das redes e da informação na UE. Quanto aos métodos a utilizar pelos prestadores qualificados de serviços de confiança para verificar a identidade de pessoas singulares ou coletivas para as quais são emitidos os certificados qualificados, as disposições relativas à utilização de meios identificação à distância foram harmonizadas e clarificadas para garantir que são aplicadas as mesmas regras em toda a UE. O capítulo III apresenta um novo artigo 29.º-A para definir os requisitos aplicáveis a um serviço qualificado destinado à gestão de dispositivos de criação de assinaturas eletrónicas à distância. O novo serviço de confiança qualificado estará diretamente ligado e basear-se-á nas medidas referidas e avaliadas na avaliação de impacto, designadamente as medidas relativas à harmonização do processo de certificação de assinaturas eletrónicas à distância, e noutras medidas que requeiram a harmonização das práticas de supervisão dos Estados-Membros. A fim de assegurar que os utilizadores podem identificar quem está por detrás de um sítio Web, o artigo 45.º é alterado para obrigar os fornecedores de navegadores Web a facilitarem a utilização de certificados qualificados de autenticação de sítios Web.

O capítulo III apresenta três novas secções. A nova secção 9 insere disposições sobre os efeitos legais dos certificados eletrónicos de atributos, a sua utilização em determinados setores e os requisitos aplicáveis aos certificados qualificados de atributos. A fim de garantir um elevado nível de confiança, é inserida no artigo 45.º-D uma disposição relativa à verificação de atributos por confronto com fontes autênticas. Para garantir que os utilizadores da carteira europeia de identidade digital podem beneficiar da disponibilidade de certificados eletrónicos de atributos e que esses certificados são emitidos para a carteira europeia de identidade digital, é inserido um requisito no artigo 45.º-E. Por seu lado, o artigo 45.º-F contém regras adicionais para a prestação de serviços de certificados eletrónicos de atributos, incluindo no respeitante à proteção dos dados pessoais. A nova secção 10 permite a prestação de serviços qualificados de arquivo eletrónico a nível da UE. O artigo 45.º-G, relativo aos serviços qualificados de arquivo eletrónico, complementa os artigos 34.º e 40.º, relativos aos serviços qualificados de preservação de assinaturas eletrónicas qualificadas e de selos eletrónicos qualificados. A nova secção 11 estabelece um quadro para os serviços de confiança no que diz respeito à criação e manutenção de livros-razão eletrónicos e livros-razão eletrónicos qualificados. Um livro-razão eletrónico combina a validação cronológica de dados e a respetiva sequenciação com a certeza quanto ao originador dos dados similar às assinaturas eletrónicas, com a vantagem adicional de permitir uma governação mais descentralizada, adequada para uma cooperação entre várias partes. Trata-se de um aspeto importante para vários casos de utilização que podem basear-se em livros-razão eletrónicos. Os livros-razão eletrónicos ajudam as empresas a reduzir os custos ao tornarem a coordenação entre as várias partes mais eficiente e mais segura, além de facilitarem a supervisão regulamentar. Na ausência de regulamentação europeia, existe o risco de os legisladores nacionais fixarem normas nacionais divergentes. Para evitar a fragmentação, é necessário definir um quadro pan-europeu único que permita o reconhecimento transfronteiriço de serviços de confiança que apoiem o funcionamento dos livros-razão eletrónicos. Esta norma pan-europeia para operadores de nós aplicar-se-á sem prejuízo de outros atos do direito derivado da UE. Sempre que forem utilizados livros-razão eletrónicos para apoiar a emissão e/ou negociação de obrigações, ou para criptoativos, os casos de utilização devem ser compatíveis com todas as regras financeiras aplicáveis, por exemplo com a Diretiva Mercados de Instrumentos Financeiros, a Diretiva Serviços de Pagamento e o futuro Regulamento Mercados de Criptoativos. Sempre que os casos de utilização implicarem dados pessoais, os prestadores de serviços terão de cumprir o RGPD. Em 2017, 75 % dos casos de utilização de livros-razão eletrónicos concentravam-se no setor bancário e financeiro. Os casos de utilização de livros-razão eletrónicos são hoje cada vez mais heterogéneos: 17 % referem-se à comunicação e aos meios de comunicação social; 15 % à indústria transformadora e aos recursos naturais, 10 % ao setor governamental, 8 % aos seguros, 5 % ao retalho, 6 % aos transportes, 5 % aos serviços de utilidade pública. Por último, o capítulo VI inclui um novo artigo 48.º-B para assegurar a recolha de estatísticas sobre a utilização da carteira europeia de identidade digital com o intuito de acompanhar a eficácia do regulamento alterado. 2021/0136 (COD) Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO que altera o Regulamento (UE) n.º 910/2014 no respeitante à criação de um Quadro Europeu para a Identidade Digital O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA, Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 114.º, Tendo em conta a proposta da Comissão Europeia, Após transmissão do projeto de ato legislativo aos parlamentos nacionais, Tendo em conta o parecer do Comité Económico e Social Europeu, Deliberando de acordo com o processo legislativo ordinário, Considerando o seguinte: (1)A Comunicação da Comissão de 19 de fevereiro de 2020, intitulada «Construir o futuro digital da Europa», anuncia uma revisão do Regulamento (UE) n.º 910/2014 do Parlamento Europeu e do Conselho com o objetivo de melhorar a sua eficácia, alargar as suas vantagens ao setor privado e promover a utilização de identidades digitais fiáveis por todos os europeus. (2)Nas suas conclusões de 1 e 2 de outubro de 2020, o Conselho Europeu apelou à Comissão para que apresentasse uma proposta de desenvolvimento de um quadro relativo à identificação eletrónica pública segura em toda a UE, incluindo assinaturas digitais interoperáveis, a fim de dar às pessoas o controlo sobre a sua identidade e os seus dados em linha, bem como de permitir o acesso a serviços digitais públicos, privados e transfronteiriços.

(3)A Comunicação da Comissão de 9 de março de 2021, intitulada «Orientações para a Digitalização até 2030: a via europeia para a Década Digital», define o objetivo de um quadro da União que, até 2030, conduza a uma ampla implantação de uma identidade fiável e controlada pelo utilizador, permitindo a cada cidadão controlar as suas próprias interações e presença em linha. (4)Uma abordagem mais harmonizada da identificação digital deverá reduzir os riscos e custos da atual fragmentação, causada pela utilização de soluções nacionais divergentes e reforçará o mercado único, permitindo aos cidadãos, outros residentes, conforme definidos pela legislação nacional, e empresas identificarem-se em linha de uma forma conveniente e uniforme em toda a União. Todas as pessoas devem poder aceder de forma segura a serviços públicos e privados apoiando-se num ecossistema melhorado de serviços de confiança e em provas verificadas de identidade e certificados de atributos, tais como um diploma universitário legalmente reconhecido e aceite em toda a União. O Quadro Europeu para a Identidade Digital visa alcançar uma mudança da dependência exclusiva de soluções de identidade digital nacionais para o fornecimento de certificados eletrónicos de atributos válidos a nível europeu. Os fornecedores de certificados eletrónicos de atributos devem beneficiar de um conjunto claro e uniforme de regras e as administrações públicas devem poder confiar em documentos eletrónicos num determinado formato. (5)Para apoiar a competitividade das empresas europeias, os prestadores de serviços em linha devem poder contar com soluções de identidade digital reconhecidas em toda a União, independentemente do Estado-Membro em que tenham sido produzidas, beneficiando assim de uma abordagem europeia harmonizada em matéria de confiança, segurança e interoperabilidade. Tanto os utilizadores como os prestadores de serviços devem ser capazes de beneficiar do mesmo valor jurídico que o conferido aos certificados eletrónicos de atributos na União. (6)O Regulamento (UE) 2016/679 aplica-se ao tratamento dos dados pessoais realizado em aplicação do presente regulamento. Por conseguinte, o presente regulamento deve estabelecer garantias específicas para impedir que os fornecedores de meios de identificação eletrónica e de certificados eletrónicos de atributos combinem dados pessoais de outros serviços com dados pessoais relativos aos serviços abrangidos pelo âmbito de aplicação do presente regulamento. (7)É necessário estabelecer condições harmonizadas para a criação de um quadro para as carteiras europeias de identidade digital a emitir pelos Estados-Membros, que deverão habilitar todos os cidadãos da União e outros residentes, conforme definidos pela legislação nacional, a partilharem de forma segura dados relacionados com a sua identidade de uma maneira simples de utilizar e conveniente, sob o controlo exclusivo do utilizador. As tecnologias utilizadas para alcançar esses objetivos devem ser desenvolvidas visando o mais elevado nível de segurança e conveniência para o utilizador, bem como uma ampla usabilidade. Os Estados-Membros devem assegurar a igualdade de acesso a identificação digital a todos os seus nacionais e residentes. (8)A fim de garantir o respeito da legislação da União, ou da legislação nacional conforme com a legislação da União, os prestadores de serviços devem comunicar aos Estados-Membros a sua intenção de utilizar as carteiras europeias de identidade digital. Tal permitirá aos Estados-Membros proteger os utilizadores contra fraudes e impedir a utilização ilícita de dados de identidade e certificados eletrónicos de atributos, bem como assegurar que o tratamento de dados sensíveis, como dados de saúde, pode ser verificado pelas partes utilizadoras de acordo com a legislação da União ou a legislação nacional. (9)Todas as carteiras europeias de identidade digital devem permitir aos utilizadores identificarem-se eletronicamente e autenticarem-se em linha e fora de linha além-fronteiras para aceder a um vasto leque de serviços públicos e privados. Sem prejuízo das prerrogativas dos Estados-Membros no que diz respeito à identificação dos seus nacionais e residentes, as carteiras podem também servir as necessidades institucionais das administrações públicas, das organizações internacionais e das instituições, órgãos e organismos da União. A utilização fora de linha será importante em muitos setores, nomeadamente o setor da saúde onde os serviços são amiúde prestados através de uma interação presencial e onde a verificação da autenticidade das receitas eletrónicas deve poder basear-se em códigos QR ou tecnologias similares. Apoiando-se no nível de garantia «elevado», as carteiras europeias de identidade digital devem beneficiar do potencial oferecido por soluções invioláveis, como elementos seguros, para cumprir os requisitos de segurança previstos no presente regulamento. As carteiras europeias de identidade digital devem também permitir aos utilizadores criar e utilizar assinaturas e selos eletrónicos qualificados que sejam aceites em toda a UE. Num intuito de simplificação e de redução de custos em prol das pessoas e empresas na UE, nomeadamente ao permitir poderes de representação e mandatos eletrónicos, os Estados-Membros devem emitir carteiras europeias de identidade digital, baseadas em normas comuns para assegurar uma interoperabilidade contínua e um elevado nível de segurança. Apenas as autoridades competentes dos Estados-Membros podem oferecer um elevado nível de confiança na determinação da identidade de uma pessoa e, portanto, assegurar que a pessoa que reivindica ou declara ter uma determinada identidade é efetivamente a pessoa que alega ser. Por conseguinte, é necessário que as carteiras europeias de identidade digital se baseiem na identidade jurídica dos cidadãos, outros residentes ou entidades jurídicas. A confiança nas carteiras europeias de identidade digital será reforçada pelo facto de as partes emitentes serem obrigadas a implementar medidas técnicas e organizacionais adequadas para garantir um nível de segurança proporcional aos riscos criados para os direitos e liberdades das pessoas singulares, em consonância com o Regulamento (UE) 2016/679. (10)A fim de alcançar um elevado nível de segurança e confiança, o presente regulamento estabelece os requisitos aplicáveis às carteiras europeias de identidade digital. A conformidade das carteiras europeias de identidade digital com esses requisitos deve ser certificada por entidades acreditadas do setor público ou privado designadas pelos Estados-Membros. O recurso a um sistema de certificação baseado na existência de normas adotadas de comum acordo com os Estados-Membros deve garantir um elevado nível de confiança e interoperabilidade. A certificação deve, em especial, basear-se nos sistemas europeus de certificação da cibersegurança pertinentes estabelecidos nos termos do Regulamento (UE) 2019/881. Essa certificação não deverá prejudicar a certificação referente ao tratamento de dados pessoais prevista no Regulamento (UE) 2016/679. (11)As carteiras europeias de identidade digital devem garantir o mais elevado nível de segurança dos dados pessoais utilizados para autenticação, independentemente de esses dados serem ou não armazenados localmente ou em soluções em nuvem, tendo em conta os diferentes níveis de risco. O recurso à biometria para autenticação é um método de identificação que oferece um elevado nível de confiança, sobretudo quando utilizado em combinação com outros elementos de autenticação. Uma vez que a biometria representa uma característica única de uma pessoa, o recurso à mesma requer medidas organizacionais e de segurança, proporcionais ao risco que esse tratamento pode implicar para os direitos e liberdades das pessoas singulares e em conformidade com o Regulamento (UE) 2016/679. (12)A fim de garantir que o Quadro Europeu para a Identidade Digital está aberto à inovação, ao desenvolvimento tecnológico e preparado para o futuro, os Estados-Membros devem ser encorajados a criarem conjuntamente ambientes de testagem para testar soluções inovadoras num ambiente controlado e seguro, em especial, para melhorar a funcionalidade, a proteção dos dados pessoais, a segurança e a interoperabilidade das soluções e contribuir para futuras atualizações de referências técnicas e requisitos legais. Este ambiente deve promover a inclusão de pequenas e médias empresas europeias, empresas em fase de arranque e inovadores e investigadores individuais. (13) O Regulamento (UE) 2019/1157 reforça a segurança dos bilhetes de identidade com dispositivos de segurança melhorados até agosto de 2021. Os Estados-Membros devem ponderar a viabilidade de os notificar ao abrigo dos sistemas de identificação eletrónica para alargar a disponibilidade transfronteiriça de meios de identificação eletrónica. (14)O processo de notificação dos sistemas de identificação eletrónica deve ser simplificado e acelerado para promover o acesso a soluções de autenticação e identificação convenientes, de confiança, seguras e inovadoras e, quando pertinente, para encorajar os fornecedores de identidade privados a oferecer sistemas de identificação eletrónica às autoridades dos Estados-Membros para notificação enquanto sistemas nacionais de bilhete de identidade eletrónico ao abrigo do Regulamento (UE) n.º 910/2014. (15)A simplificação dos procedimentos atuais de notificação e avaliação pelos pares evitará abordagens heterogéneas no que respeita à avaliação dos vários sistemas de identificação eletrónica notificados e facilitará o reforço da confiança entre Estados-Membros. Mecanismos novos e simplificados deverão promover a cooperação entre Estados-Membros em matéria de segurança e interoperabilidade dos seus sistemas de identificação eletrónica notificados. (16)Os Estados-Membros devem beneficiar de ferramentas novas e flexíveis para garantir a conformidade com os requisitos do presente regulamento e dos atos de execução pertinentes. O presente regulamento deve permitir aos Estados-Membros utilizar relatórios e avaliações realizados por organismos de avaliação da conformidade acreditados ou sistemas voluntários de certificação da segurança das TIC, nomeadamente os sistemas de certificação que deverão ser criados a nível da União nos termos do Regulamento (UE) 2019/881, para fundamentar as suas alegações sobre o alinhamento dos sistemas ou parte dos mesmos com os requisitos desse regulamento em matéria de interoperabilidade e de segurança dos sistemas de identificação eletrónica notificados. (17)Os prestadores de serviços utilizam os dados de identidade fornecidos pelo conjunto de dados de identificação pessoal disponíveis a partir de sistemas de identificação eletrónica previstos no Regulamento (UE) n.º 910/2014 para fazer corresponder utilizadores de outro Estado-Membro à identidade jurídica desses utilizadores. Contudo, apesar da utilização do conjunto de dados de eIDAS, em muitos casos garantir uma correspondência exata requer informações adicionais sobre o utilizador e procedimentos de identificação única específicos a nível nacional. Para facilitar ainda mais a utilização dos meios de identificação eletrónica, o presente regulamento deve exigir aos Estados-Membros que adotem medidas específicas para garantir uma correta correspondência de identidade no processo de identificação eletrónica. Para o mesmo fim, o presente regulamento deve também alargar o conjunto mínimo de dados obrigatório e exigir a utilização de um identificador eletrónico único e persistente em conformidade com a legislação da União nos casos em que seja necessário para identificar legalmente o utilizador, mediante pedido, de uma forma única e persistente. (18)Em consonância com a Diretiva (UE) 2019/882, as pessoas com deficiência deverão poder utilizar as carteiras europeias de identidade digital, os serviços de confiança e os produtos de utilizador final utilizados na prestação desses serviços em condições iguais às dos outros utilizadores. (19)O presente regulamento não deverá abranger os aspetos relacionados com a celebração e a validade de contratos ou outras obrigações legais quando estes estabeleçam requisitos de caráter formal previstos na legislação nacional ou da União. Além disso, não deverá afetar os requisitos nacionais de caráter formal aplicáveis aos registos públicos, em particular, registos comerciais e prediais. (20)A prestação e utilização de serviços de confiança estão a tornar-se cada vez mais importantes para o comércio e a cooperação internacionais. Os parceiros internacionais da UE estão a criar quadros de confiança inspirados no Regulamento (UE) n.º 910/2014. Por conseguinte, a fim de facilitar o reconhecimento desses dispositivos e dos respetivos fornecedores, a legislação de execução pode estabelecer as condições em que os quadros de confiança de países terceiros poderão ser considerados equivalentes ao quadro de confiança para os serviços de confiança qualificados e os prestadores qualificados de serviços de confiança previsto no presente regulamento, como complemento à possibilidade de reconhecimento mútuo de serviços e prestadores de serviços de confiança estabelecidos na União e em países terceiros nos termos do artigo 218.º do Tratado. (21)O presente regulamento deve basear-se nos atos da União que asseguram a disputabilidade e a equidade dos mercados no setor digital. Em especial, baseia-se no Regulamento XXX/XXXX [Regulamento Mercados Digitais], que introduz regras aplicáveis a prestadores de serviços essenciais de plataforma designados por controladores de acesso e, entre outros aspetos, proíbe os controladores de acesso de exigir aos utilizadores profissionais que utilizem, proponham ou interoperem com um serviço de identificação do controlador de acesso no contexto dos serviços propostos pelos utilizadores profissionais que utilizam os serviços essenciais de plataforma desse controlador de acesso. O artigo 6.º, n.º 1, alínea f), do Regulamento XXX/XXX [Regulamento Mercados Digitais] exige que os controlares de acesso permitam aos utilizadores profissionais e aos prestadores de serviços complementares o acesso e a interoperabilidade com o mesmo sistema operativo, hardware ou funcionalidades de software disponíveis ou utilizados na prestação de qualquer serviço complementar por parte do controlador de acesso. De acordo com o artigo 2.º, ponto 15, do [Regulamento Mercados Digitais] os serviços de identificação constituem um tipo de serviços complementares. Os utilizadores profissionais e os prestadores de serviços complementares deverão, portanto, poder aceder a esse hardware e a essas funcionalidades de software, nomeadamente elementos seguros em telefones inteligentes, e interoperar com as mesmas através das carteiras europeias de identidade digital ou dos meios de identificação eletrónica notificados pelos Estados-Membros. (22)A fim de simplificar as obrigações em matéria de cibersegurança impostas aos prestadores de serviços de confiança, bem como de permitir a esses prestadores e às respetivas autoridades competentes beneficiarem do quadro legal instituído pela Diretiva XXXX/XXXX [Diretiva SRI 2], os serviços de confiança são obrigados a adotar medidas técnicas e organizacionais adequadas nos termos da Diretiva XXXX/XXXX [Diretiva SRI 2], nomeadamente medidas que respondam a falhas do sistema, erro humano, ações maliciosas ou fenómenos naturais para gerir os riscos colocados à segurança da rede e aos sistemas de informação que esses prestadores utilizam na prestação dos seus serviços, bem como para notificar incidentes significativos e ciberameaças de acordo com a Diretiva XXXX/XXXX [Diretiva SRI 2]. No que diz respeito à comunicação de incidentes, os prestadores de serviços de confiança devem notificar todos os incidentes com um impacto significativo na prestação dos seus serviços, nomeadamente os causados por roubo ou perda de dispositivos, danos no cabo de rede ou ocorridos no contexto da identificação de pessoas. Os requisitos de gestão dos riscos de cibersegurança e as obrigações de notificação previstos na Diretiva XXXX/XXXX [Diretiva SRI 2] devem ser considerados complementares aos requisitos impostos aos prestadores de serviços de confiança no âmbito do presente regulamento. Sempre que adequado, as práticas ou orientações nacionais estabelecidas em relação à implementação de requisitos de segurança e prestação de informações e à supervisão da conformidade com esses requisitos nos termos do Regulamento (UE) n.º 910/2014 devem continuar a ser aplicadas pelas autoridades competentes designadas ao abrigo da Diretiva XXXX/XXXX [Diretiva SRI 2]. Os requisitos previstos no presente regulamento não afetam a obrigação de notificar violações de dados pessoais no âmbito do Regulamento (UE) 2016/679.

(23)Deverá prestar-se a devida atenção à garantia de uma cooperação eficaz entre as autoridades SRI e eIDAS. Nos casos em que a entidade supervisora prevista no presente regulamento seja diferente das autoridades competentes designadas ao abrigo da Diretiva XXXX/XXXX [Diretiva SRI 2], essas autoridades devem cooperar estreitamente e de forma oportuna procedendo ao intercâmbio de informações pertinentes para assegurar a supervisão eficaz e a conformidade dos prestadores de serviços de confiança com os requisitos estabelecidos no presente regulamento e na Diretiva XXXX/XXXX [Diretiva SRI 2]. Em especial, as entidades supervisoras nos termos do presente regulamento devem estar habilitadas a pedir à autoridade competente nos termos da Diretiva XXXX/XXXX [Diretiva SRI 2] que preste as informações pertinentes necessárias para conceder o estatuto de qualificado e para levar a cabo as ações de supervisão destinadas a verificar se os prestadores de serviços de confiança cumprem os requisitos pertinentes previstos na SRI 2 ou a exigir-lhes que corrijam as situações de incumprimento. (24)É essencial prever um quadro legal para facilitar o reconhecimento transfronteiriço entre os sistemas jurídicos nacionais vigentes no que diz respeito aos serviços de envio registado eletrónico. O quadro também pode abrir novas oportunidades de mercado aos prestadores de serviços de confiança da União para oferecer novos serviços de envio registado eletrónico pan-europeu e garantir que a identificação dos destinatários é assegurada com um maior nível de confiança do que a identificação do remetente. (25)Na maioria dos casos, os cidadãos e outros residentes não podem trocar digitalmente, além-fronteiras, informações relacionadas com a sua identidade, tais como endereços, idade e habilitações profissionais, cartas de condução e outras licenças e dados de pagamento, de forma segura e com um elevado nível de proteção dos dados. (26)Deverá ser possível emitir e tratar atributos digitais fiáveis e contribuir para reduzir os encargos administrativos, permitindo que os cidadãos e outros residentes os utilizem nas suas transações privadas e públicas. Os cidadãos e outros residentes devem poder, por exemplo, comprovar a titularidade de uma carta de condução válida emitida por uma autoridade de um Estado-Membro, que as autoridades competentes de outros Estados-Membros possam verificar e corroborar, e utilizar as suas credenciais de segurança social ou os futuros documentos de viagem digitais num contexto transfronteiriço. (27)Qualquer entidade que recolha, crie e emita atributos certificados como diplomas, licenças ou certidões de nascimento deve poder tornar-se um fornecedor de certificados eletrónicos de atributos. As partes utilizadoras devem utilizar os certificados eletrónicos de atributos como sendo equivalentes aos certificados em suporte de papel. Por conseguinte, não podem ser negados efeitos legais a um certificado eletrónico de atributos pelo facto de se apresentar em formato eletrónico ou de não cumprir os requisitos do certificado eletrónico qualificado de atributos. Para esse efeito, devem ser estabelecidos requisitos gerais que garantam que um certificado eletrónico qualificado de atributos tem um efeito legal equivalente ao dos certificados emitidos legalmente em suporte de papel. Contudo, esses requisitos devem aplicar-se sem prejuízo da legislação da União ou nacional que defina requisitos setoriais específicos suplementares no tocante ao formato com efeitos legais subjacentes e, em especial, ao reconhecimento transfronteiriço de certificados eletrónicos qualificados de atributos, se for caso disso. (28)A ampla disponibilidade e usabilidade das carteiras europeias de identidade digital implica a sua aceitação pelos prestadores de serviços privados. As partes utilizadoras privadas que prestem serviços nos domínios dos transportes, da energia, do serviços bancários e financeiros, da segurança social, da saúde, da água potável, dos serviços postais, das infraestruturas digitais, da educação ou das telecomunicações devem aceitar a utilização das carteiras europeias de identidade digital para a prestação de serviços sempre que a legislação nacional ou da União ou uma obrigação contratual exijam a autenticação forte do utilizador para efeitos de identificação em linha. Sempre que plataformas em linha de muito grande dimensão, conforme definidas no artigo 25.º, n.º 1, do Regulamento [referência Regulamento Serviços Digitais], exijam que os utilizadores se autentiquem para aceder a serviços em linha, devem ser obrigadas a aceitar a utilização de carteiras europeias de identidade digital mediante pedido voluntário do utilizador. Os utilizadores não devem ter a obrigação de utilizar a carteira para aceder a serviços privados, mas se o pretenderem, as plataformas em linha de muito grande dimensão devem aceitar a carteira europeia de identidade digital para esta finalidade, respeitando simultaneamente o princípio da minimização dos dados. Atendendo à importância das plataformas em linha de muito grande dimensão, devido ao seu alcance, expresso, nomeadamente, em termos de número de destinatários do serviço e de transações económicas, tal é necessário para aumentar a proteção dos utilizadores contra fraudes e garantir um elevado nível de proteção dos dados. Devem ser elaborados códigos de conduta de autorregulação a nível da União («códigos de conduta») para contribuir para a ampla disponibilidade e usabilidade de meios de identificação eletrónica, nomeadamente carteiras europeias de identidade digital, no âmbito do presente regulamento. Os códigos de conduta devem facilitar a ampla aceitação dos meios de identificação eletrónica, incluindo das carteiras europeias de identidade digital, pelos prestadores de serviços que não se qualificam como plataformas de muito grande dimensão e que dependem de serviços de identificação eletrónica de terceiros para a autenticação dos utilizadores. Esses códigos devem ser elaborados no prazo de 12 meses a contar da data de adoção do presente regulamento. A Comissão deve avaliar a eficácia dessas disposições no respeitante à disponibilidade e usabilidade das carteiras europeias de identidade digital para o utilizador decorridos 18 meses da sua implantação, bem como rever as disposições para assegurar a sua aceitação por meio de atos delegados à luz desta avaliação. (29)A carteira europeia de identidade digital deve permitir tecnicamente a divulgação seletiva de atributos às partes utilizadoras. Esta funcionalidade deve tornar-se uma funcionalidade da conceção de base, permitindo reforçar a conveniência e a proteção de dados pessoais, nomeadamente a minimização do tratamento de dados pessoais. (30)Os atributos fornecidos pelos prestadores qualificados de serviços de confiança no âmbito do certificado qualificado de atributos devem ser verificados por confronto com as fontes autênticas diretamente pelo prestador qualificado do serviço de confiança ou através de intermediários designados reconhecidos a nível nacional em conformidade com a legislação nacional ou da União para efeitos de intercâmbio seguro de atributos certificados entre prestadores de serviços de identidade ou de certificados de atributos e partes utilizadoras. (31)A identificação eletrónica segura e o fornecimento de certificados de atributos devem oferecer flexibilidade e soluções adicionais ao setor dos serviços financeiros, a fim de permitir a identificação de clientes e o intercâmbio de atributos específicos necessários para cumprir, por exemplo, os requisitos de vigilância da clientela nos termos do Regulamento Antibranqueamento de Capitais [referência a aditar após a adoção da proposta], os requisitos de adequação decorrentes da legislação em matéria de proteção dos investidores, ou para apoiar o cumprimento dos requisitos de autenticação forte dos clientes para início de sessão ou início de transações no domínio dos serviços de pagamento. (32)Os serviços de autenticação de sítios Web dão aos utilizadores a garantia de que existe uma entidade genuína e legítima responsável pelo sítio Web. Estes serviços contribuem para a criação de segurança e confiança na realização de negócios em linha, pois os utilizadores confiarão nos sítios Web que tenham sido autenticados. A utilização de serviços de autenticação de sítios Web pelos sítios Web é voluntária. Contudo, para que a autenticação de sítios Web venha a constituir um meio de reforçar a confiança, proporcionar uma melhor experiência ao utilizador e incentivar o crescimento no mercado interno, o presente regulamento estabelece obrigações mínimas em matéria de segurança e responsabilidade a cumprir pelos prestadores de serviços de autenticação de sítios Web e pelos serviços que prestam. Para o efeito, os navegadores Web devem assegurar apoio e interoperabilidade com certificados qualificados de autenticação de sítios Web de acordo com o Regulamento (UE) n.º 910/2014. Devem reconhecer e exibir certificados qualificados de autenticação de sítios Web para prestar um elevado nível de garantia, permitindo aos proprietários do sítio Web declarar a sua identidade enquanto proprietários de um sítio Web e aos utilizadores identificar os proprietários do sítio Web com um elevado grau de certeza. Para promover ainda mais a sua utilização, as autoridades públicas dos Estados-Membros devem equacionar incorporar certificados qualificados de autenticação de sítios Web nos respetivos sítios Web. (33)Muitos Estados-Membros introduziram requisitos nacionais para os serviços que asseguram um arquivo digital seguro e fiável, a fim de permitir a conservação a longo prazo de documentos eletrónicos e serviços de confiança associados. Para garantir a segurança jurídica e a confiança, é essencial proporcionar um quadro legal que facilite o reconhecimento além-fronteiras de serviços qualificados de arquivo eletrónico. Esse quadro poderá também abrir novas oportunidades de mercado aos prestadores de serviços de confiança da União. (34)Os livros-razão eletrónicos qualificados registam dados de uma forma que garante a singularidade, a autenticidade e a correta sequenciação das entradas de dados de um modo inviolável. Um livro-razão eletrónico combina o efeito da validação cronológica de dados com a certeza quanto ao originador similar às assinaturas eletrónicas e tem a vantagem adicional de permitir modelos de governação mais descentralizados, adequados para uma cooperação entre várias partes. Por exemplo, cria uma pista de auditoria fiável para a origem de mercadorias no comércio transfronteiriço, apoia a proteção dos direitos de propriedade intelectual, dota os mercados da eletricidade de uma maior flexibilidade, fornece a base para soluções avançadas de identidade autossoberana e apoia serviços públicos mais eficientes e transformadores. Para evitar a fragmentação do mercado interno, é importante definir um quadro legal pan-europeu que permita o reconhecimento transfronteiriço de serviços de confiança para o registo de dados em livros-razão eletrónicos. (35)A certificação dos prestadores qualificados de serviços de confiança deve proporcionar segurança jurídica para casos de utilização assentes em livros-razão eletrónicos. Este serviço de confiança para livros-razão eletrónicos e livros-razão qualificados eletrónicos e a certificação dos prestadores qualificados de serviços de confiança para livros-razão eletrónicos não deve prejudicar a necessidade de os casos de utilização cumprirem a legislação da União ou a legislação nacional conforme com a legislação da União. Os casos de utilização que envolvam o tratamento de dados pessoais têm de cumprir o Regulamento (UE) 2016/679. Os casos de utilização que envolvam criptoativos devem ser compatíveis com todas as regras financeiras aplicáveis, por exemplo com a Diretiva Mercados de Instrumentos Financeiros, a Diretiva Serviços de Pagamento e o futuro Regulamento Mercados de Criptoativos. (36)A fim de evitar a fragmentação e os entraves decorrentes da existência de normas divergentes e de restrições técnicas, e com vista a assegurar um processo coordenado para evitar comprometer a execução do futuro Quadro Europeu para a Identidade Digital, afigura-se necessário um processo de cooperação estreita e estruturada entre a Comissão, os Estados-Membros e o setor privado. Para alcançar este objetivo, os Estados-Membros devem cooperar no âmbito do quadro estabelecido na Recomendação XXX/XXXX da Comissão [relativa a um conjunto de instrumentos comuns a nível da União para uma abordagem coordenada do Quadro Europeu para a Identidade Digital], a fim de identificar um conjunto de instrumentos para um Quadro Europeu para a Identidade Digital. O conjunto de instrumentos deve incluir uma arquitetura técnica abrangente e um quadro de referência, um conjunto de normas comuns e referências técnicas, e um conjunto de orientações e descrições de boas práticas que contemplem, pelo menos, todos os aspetos das funcionalidades e da interoperabilidade das carteiras europeias de identidade digital, incluindo as assinaturas eletrónicas, e do serviço de confiança qualificado de certificados de atributos conforme estabelecido no presente regulamento. Neste contexto, os Estados-Membros devem também chegar a acordo sobre elementos comuns de um modelo de negócio e da estrutura de taxas das carteiras europeias de identidade digital, para facilitar a adesão, em especial pelas pequenas e médias empresas num contexto transfronteiriço. O conteúdo do conjunto de instrumentos deve evoluir em paralelo e refletir o resultado do debate e do processo de adoção do Quadro Europeu para a Identidade Digital. (37)A Autoridade Europeia para a Proteção de Dados foi consultada em conformidade com o artigo 42.º, n.º 1, do Regulamento (UE) 2018/1525 do Parlamento Europeu e do Conselho. (38)O Regulamento (UE) 910/2014 deve, por conseguinte, ser alterado em conformidade, ADOTARAM O PRESENTE REGULAMENTO: Artigo 1.º O Regulamento (UE) n.º 910/2014 é alterado do seguinte modo: (1)O artigo 1.º passa a ter a seguinte redação:

«O presente regulamento visa assegurar o correto funcionamento do mercado interno e alcançar um nível adequado de segurança dos meios de identificação eletrónica e dos serviços de confiança. Para este efeito, o presente regulamento: (a)Estabelece as condições em que os Estados-Membros prestam, reconhecem e aceitam os meios de identificação eletrónica para identificar pessoas singulares e coletivas no quadro de um sistema de identificação eletrónica notificado de outro Estado-Membro; (b)Estabelece normas aplicáveis aos serviços de confiança, nomeadamente às transações eletrónicas; (c)Institui um quadro legal para as assinaturas eletrónicas, os selos eletrónicos, os selos temporais eletrónicos, os documentos eletrónicos, os serviços de envio registado eletrónico e os serviços de certificados para autenticação de sítios Web, o arquivo eletrónico e o certificado eletrónico de atributos, a gestão de dispositivos de criação de assinaturas e de selos eletrónicos à distância, e os livros-razão eletrónicos; (d)Estabelece as condições para a emissão de carteiras europeias de identidade digital pelos Estados-Membros.»; (2)O artigo 2.º é alterado do seguinte modo: (a)O n.º 1 passa a ter a seguinte redação: «1. O presente regulamento aplica-se aos sistemas de identificação eletrónica notificados pelos Estados-Membros, às carteiras europeias de identidade digital emitidas pelos Estados-Membros e aos prestadores de serviços de confiança estabelecidos na União.»; (b)O n.º 3 passa a ter a seguinte redação: «3. O presente regulamento não prejudica as disposições legislativas nacionais ou da União em matéria de celebração e validade de contratos nem outras obrigações legais ou de natureza processual relacionadas com requisitos setoriais específicos relativas à forma com efeitos legais subjacentes.»; (3)O artigo 3.º é alterado do seguinte modo: (a)O ponto 2 passa a ter a seguinte redação: «2) “Meio de identificação eletrónica”: uma unidade material e/ou imaterial, incluindo carteiras europeias de identidade digital ou bilhetes de identidade na aceção do Regulamento (UE) 2019/1157, que contenha os dados de identificação pessoal e que seja utilizada para autenticação de um serviço em linha ou fora de linha;»; (b)O ponto 4 passa a ter a seguinte redação: «4) “Sistema de identificação eletrónica”: um sistema de identificação eletrónica ao abrigo do qual sejam produzidos meios de identificação eletrónica para as pessoas singulares ou coletivas, ou para as pessoas singulares que representem pessoas coletivas;»; (c)O ponto 14 passa a ter a seguinte redação: «14) “Certificado de assinatura eletrónica”: um certificado eletrónico ou conjunto de certificados que associa os dados de validação da assinatura eletrónica a uma pessoa singular e confirma, pelo menos, o seu nome ou pseudónimo;»; (d)O ponto 16 passa a ter a seguinte redação: «16) “Serviço de confiança”: um serviço eletrónico geralmente prestado mediante pagamento, que consiste: (a)Na criação, verificação e validação de assinaturas eletrónicas, selos eletrónicos ou selos temporais eletrónicos, serviços de envio registado eletrónico, certificados eletrónicos de atributos e certificados relacionados com estes serviços;

(b)Na criação, verificação e validação de certificados para a autenticação de sítios Web; (c)Na preservação das assinaturas, selos ou certificados eletrónicos relacionados com esses serviços; (d) No arquivo eletrónico de documentos eletrónicos; (e)Na gestão de dispositivos de criação de assinaturas e de selos eletrónicos à distância; (f)No registo de dados eletrónicos num livro-razão eletrónico.»; (e)O ponto 21 passa a ter a seguinte redação: «21) “Produto”: hardware ou software, ou componentes pertinentes de hardware e/ou software, que se destinem a ser utilizados para a prestação de serviços de identificação eletrónica e de serviços de confiança;»; (f)São inseridos os seguintes pontos 23-A e 23-B: «23-A) “Dispositivo qualificado de criação de assinaturas eletrónicas à distância”: um dispositivo qualificado de criação de assinaturas eletrónicas em que um prestador qualificado de serviços de confiança cria, gere ou duplica os dados para a criação de uma assinatura eletrónica em nome de um signatário; 23-B) “Dispositivo qualificado de criação de selos à distância”: um dispositivo qualificado de criação de selos eletrónicos em que um prestador qualificado de serviços de confiança cria, gere ou duplica os dados para a criação de um selo eletrónico em nome do criador do selo;»; (g)O ponto 29 passa a ter a seguinte redação: «29) “Certificado de selo eletrónico”: um certificado eletrónico ou um conjunto de certificados que associa os dados de validação do selo eletrónico a uma pessoa coletiva e confirma o seu nome;»; (h)O ponto 41 passa a ter a seguinte redação: «41) “Validação”: o processo pelo qual é verificada e confirmada a validade de uma assinatura ou selo eletrónico, dos dados de identificação pessoal ou de um certificado eletrónico de atributos;»; (i)São aditados os pontos 42 a 55 que se seguem: «42) “Carteira europeia de identidade digital”: um produto e um serviço que permitem ao utilizador armazenar dados de identidade, credenciais e atributos associados à sua identidade, com vista a fornecê-los a partes utilizadoras mediante pedido e a utilizá-los para autenticação, em linha e fora de linha, para um serviço em conformidade com o artigo 6.º-A, bem como para criar assinaturas e selos eletrónicos qualificados; 43) “Atributo”: uma particularidade, característica ou qualidade de uma pessoa singular ou coletiva ou de uma entidade, em formato eletrónico; 44) “Certificado eletrónico de atributos”: um certificado em formato eletrónico que permite a autenticação de atributos; 45) “Certificado eletrónico qualificado de atributos”: um certificado eletrónico de atributos que seja emitido por um prestador qualificado de serviços de confiança e satisfaça os requisitos estabelecidos no anexo V; 46) “Fonte autêntica”: um repositório ou sistema, sob a responsabilidade de um organismo do setor público ou de uma entidade privada, que contém os atributos relativos a uma pessoa singular ou coletiva e é considerado a fonte principal dessa informação ou reconhecido como autêntico pela legislação nacional;

47) “Arquivo eletrónico”: um serviço que assegura a receção, o armazenamento, o apagamento e a transmissão de dados ou documentos eletrónicos para garantir a sua integridade, a exatidão da sua origem e as especificidades jurídicas durante o período de conservação; 48) “Serviço qualificado de arquivo eletrónico”: um serviço que satisfaça os requisitos estabelecidos no artigo 45.º-G; 49) “Marca de confiança de carteira de identidade digital da UE”: uma indicação de um modo simples, reconhecível e claro de que uma carteira de identidade digital foi emitida em conformidade com o presente regulamento; 50) “Autenticação forte do utilizador”: uma autenticação baseada na utilização de dois ou mais elementos, categorizados como conhecimento do utilizador, posse e inerência, que são independentes, de tal forma que a violação de um deles não compromete a fiabilidade dos outros, e que foi concebida de modo a proteger a confidencialidade dos dados de autenticação; 51) “Conta de utilizador”: um mecanismo que permite a um utilizador aceder a serviços públicos ou privados nos termos e condições estipulados pelo prestador do serviço; 52) “Credencial”: um comprovativo das capacidades, da experiência e do direito ou permissão de uma pessoa; 53) “Livro-razão eletrónico”: um registo eletrónico de dados inviolável, que assegura a autenticidade e integridade dos dados que contém, bem como a exatidão da sua data, hora e ordem cronológica; 54) “Dados pessoais”: qualquer informação na aceção do artigo 4.º, ponto 1, do Regulamento (UE) 2016/679; 55) “Identificação única”: um processo em que os dados de identificação pessoal ou os meios de identificação pessoal são combinados ou associados a uma conta existente pertencente à mesma pessoa.»; (4)O artigo 5.º passa a ter a seguinte redação: «Artigo 5.º Pseudónimos em transações eletrónicas Sem prejuízo dos efeitos legais conferidos aos pseudónimos nos termos das legislações nacionais, não é proibido utilizar pseudónimos em transações eletrónicas.»; (5)No capítulo II, o título passa a ter a seguinte redação: «SECÇÃO I IDENTIFICAÇÃO ELETRÓNICA»; (6)É suprimido o artigo 6.º; (7)São inseridos os seguintes artigos (6.º-A, 6.º-B, 6.º-C e 6.º-D): «Artigo 6.º-A Carteiras europeias de identidade digital

1. A fim de assegurar que todas as pessoas singulares e coletivas na União dispõem de acesso seguro, contínuo e de confiança a serviços públicos e privados transfronteiriços, cada Estado-Membro emite uma carteira europeia de identidade digital no prazo de 12 meses após a entrada em vigor do presente regulamento. 2. As carteiras europeias de identidade digital são emitidas: (a)Por um Estado-Membro; (b)Por mandato de um Estado-Membro; (c)De forma independente, mas reconhecida por um Estado-Membro. 3. As carteiras europeias de identidade digital permitem ao utilizador: (a)Pedir e obter de forma segura, armazenar, selecionar, combinar e partilhar, de um modo que seja transparente e rastreável pelo utilizador, os dados legais de identificação pessoal e o certificado eletrónico de atributos necessários para se autenticar em linha e fora de linha, a fim de utilizar serviços públicos e privados em linha; (b)Assinar através de assinaturas eletrónicas qualificadas. 4. As carteiras de identidade digital devem, nomeadamente: (a)Fornecer uma interface comum: (1)Aos prestadores qualificados e não qualificados de serviços de confiança que emitam certificados eletrónicos qualificados e não qualificados de atributos ou outros certificados qualificados e não qualificados, para efeitos de emissão desses certificados para a carteira europeia de identidade digital; (2) Às partes utilizadoras, para pedirem e validarem dados de identificação pessoal e certificados eletrónicos de atributos; (3)Para apresentar às partes utilizadoras dados de identificação pessoal, certificados eletrónicos de atributos ou outros dados, como credenciais, em modo local que não requeira o acesso da carteira à Internet; (4)Ao utilizador, para permitir a interação com a carteira europeia de identidade digital e exibir uma «marca de confiança de carteira de identidade digital da UE»; (b)Garantir que os prestadores de serviços de confiança de certificados qualificados de atributos não possam receber quaisquer informações sobre a utilização desses atributos; (c)Satisfazer os requisitos definidos no artigo 8.º no que diz respeito ao nível «elevado» de garantia, em especial à sua aplicação aos requisitos de prova e verificação da identidade, assim como à gestão e autenticação de meios de identificação eletrónica; (d)Proporcionar um mecanismo para garantir que a parte utilizadora pode autenticar o utilizador e receber certificados eletrónicos de atributos; (e)Assegurar que os dados de identificação pessoal a que se refere o artigo 12.º, n.º 4, alínea d), representam única e persistentemente a pessoa singular ou coletiva associada aos mesmos. 5. Os Estados-Membros fornecem mecanismos de validação para as carteiras europeias de identidade digital: (a)Para garantir que a sua autenticidade e validade podem ser verificadas;

(b)Para permitir às partes utilizadoras verificar se os certificados de atributos são válidos; (c)Para permitir às partes utilizadoras e aos prestadores qualificados de serviços de segurança verificar a autenticidade e validade dos dados de identificação pessoal atribuídos. 6. As carteiras europeias de identidade digital são emitidas ao abrigo de um sistema de identificação eletrónica notificado com nível de garantia «elevado». A utilização das carteiras europeias de identidade digital é gratuita para pessoas singulares. 7. O utilizador tem pleno controlo sobre a carteira europeia de identidade digital. O emitente da carteira europeia de identidade digital não recolhe informações sobre a utilização da carteira que não sejam necessárias para a prestação dos serviços da carteira, nem combina os dados de identificação pessoal e quaisquer outros dados pessoais armazenados ou relacionados com a utilização da carteira europeia de identidade digital com dados pessoais de outros serviços por si oferecidos ou de serviços de terceiros que não sejam necessários para a prestação dos serviços da carteira, salvo pedido expresso do utilizador. Os dados pessoais relacionados com o fornecimento de carteiras europeias de identidade digital são conservados fisicamente e são logicamente separados de quaisquer outros dados detidos. Se a carteira europeia de identidade digital for fornecida por partes privadas nos termos do n.º 1, alíneas b) e c), o disposto no artigo 45.º-F, n.º 4, aplica-se mutatis mutandis. 8. O artigo 11.º aplica-se mutatis mutandis à carteira europeia de identidade digital. 9. O artigo 24.º, n.º 2, alíneas b), e), g) e h), aplica-se mutatis mutandis aos Estados-Membros que emitam carteiras europeias de identidade digital. 10. A carteira europeia de identidade digital é disponibilizada a pessoas com deficiência em conformidade com os requisitos de acessibilidade constantes do anexo I da Diretiva (UE) 2019/882. 11. No prazo de seis meses após a entrada em vigor do presente regulamento, a Comissão estabelece especificações técnicas e operacionais e normas de referência para os requisitos referidos nos n.os 3, 4 e 5 mediante um ato de execução relativo à implementação da carteira europeia de identidade digital. Esse ato de execução é adotado pelo procedimento de exame a que se refere o artigo 48.º, n.º 2. Artigo 6.º-B Partes utilizadoras de carteiras europeias de identidade digital 1. Sempre que as partes utilizadoras pretendam recorrer a carteiras europeias de identidade digital emitidas de acordo com o presente regulamento, comunicam a sua intenção ao Estado-Membro onde estão estabelecidas para assegurar a conformidade com os requisitos aplicáveis à prestação de serviços específicos estabelecidos na legislação da União ou legislação nacional. Ao comunicarem a sua intenção de recorrer a carteiras europeias de identidade digital, informam também sobre o uso que pretendem dar-lhes. 2. Os Estados-Membros implementam um mecanismo comum para a autenticação de partes utilizadoras. 3. As partes utilizadoras são responsáveis por executar o procedimento de autenticação de dados de identificação pessoal e de certificados eletrónicos de atributos com origem em carteiras europeias de identidade digital. 4. No prazo de seis meses após a entrada em vigor do presente regulamento, a Comissão estabelece especificações técnicas e operacionais para os requisitos referidos nos n.os 1 e 2 mediante um ato de execução relativo à implementação das carteiras europeias de identidade digital, como referido no artigo 6.º-A, n.º 10. Artigo 6.º-C Certificação de carteiras europeias de identidade digital 1. Presume-se que as carteiras europeias de identidade digital que tenham sido certificadas ou relativamente às quais tenha sido emitida uma declaração de conformidade no âmbito de um sistema de cibersegurança nos termos do Regulamento (UE) 2019/881 e cujas referências tenham sido publicadas no Jornal Oficial da União Europeia estão em conformidade com os requisitos de cibersegurança aplicáveis estabelecidos no artigo 6.º-A, n.os 3, 4 e 5, na medida em que o certificado de cibersegurança ou a declaração de conformidade ou partes dos mesmos abranjam esses requisitos. 2. A conformidade com os requisitos estabelecidos no artigo 6.º-A, n.os 3, 4 e 5, relativos às operações de tratamento de dados pessoais realizadas pelo emitente das carteiras europeias de identidade digital é certificada nos termos do Regulamento (UE) 2016/679. 3. A conformidade das carteiras europeias de identidade digital com os requisitos estabelecidos no artigo 6.º-A, n.os 3, 4 e 5, é certificada por entidades acreditadas públicas ou privadas designadas pelos Estados-Membros. 4. No prazo de seis meses a contar da entrada em vigor do presente regulamento, a Comissão elabora, por meio de atos de execução, uma lista de normas para a certificação das carteiras europeias de identidade digital a que se refere o n.º 3.

5. Os Estados-Membros comunicam à Comissão a denominação e o endereço das entidades públicas ou privadas a que se refere o n.º 3. A Comissão põe a informação à disposição dos Estados-Membros. 6. A Comissão fica habilitada a adotar atos delegados em conformidade com o artigo 47.º no que diz respeito a estabelecer os critérios específicos a cumprir pelas entidades designadas a que se refere o n.º 3. Artigo 6.º-D Publicação de uma lista de carteiras europeias de identidade digital certificadas 1. Os Estados-Membros informam a Comissão sem demora injustificada sobre as carteiras europeias de identidade digital que foram emitidas nos termos do artigo 6.º-A e certificadas pelas entidades a que se refere o artigo 6.º-C, n.º 3. Informam igualmente a Comissão sem demora injustificada se a certificação for cancelada. 2. Com base nas informações recebidas, a Comissão elabora, publica e mantém atualizada uma lista de carteiras europeias de identidade digital certificadas. 3. No prazo de seis meses após a entrada em vigor do presente regulamento, a Comissão define formatos e procedimentos aplicáveis para efeitos do n.º 1 mediante um ato de execução relativo à implementação das carteiras europeias de identidade digital conforme referido no artigo 6.º-A, n.º 10.»; (8)Antes do artigo 7.º, é inserido o seguinte título: «SECÇÃO II SISTEMAS DE IDENTIFICAÇÃO ELETRÓNICA»; (9)O proémio do artigo 7.º passa a ter a seguinte redação: «Nos termos do artigo 9.º, n.º 1, os Estados-Membros notificam, no prazo de 12 meses após a entrada em vigor do presente regulamento, pelo menos um sistema de identificação eletrónica que inclua, no mínimo, um meio de identificação:»; (10)No artigo 9.º, os n.os 2 e 3 passam a ter a seguinte redação: «2. A Comissão publica no Jornal Oficial da União Europeia uma lista dos sistemas de identificação eletrónica que tenham sido notificados nos termos do n.º 1 do presente artigo e as informações básicas a eles respeitantes. 3. A Comissão publica no Jornal Oficial da União Europeia as alterações à lista referida no n.º 2 no prazo de um mês a contar da data de receção dessa notificação.»; (11)É inserido o seguinte artigo 10.º-A: «Artigo 10.º-A Violação da segurança das carteiras europeias de identidade digital 1. Se as carteiras europeias de digitais emitidas nos termos do artigo 6.º-A e de acordo com os mecanismos de validação a que se refere o artigo 6.º-A, n.º 5, alíneas a), b) e c), forem violadas ou ficarem parcialmente comprometidas de uma forma que afete a sua fiabilidade ou a fiabilidade das demais carteiras europeias de identidade digital, o Estado-Membro emitente suspende, sem demora, a emissão, revoga a validade da carteira europeia de identidade digital e informa os outros Estados-Membros e a Comissão em conformidade. 2. Se a violação ou o comprometimento referidos no n.º 1 forem sanados, o Estado-Membro emitente restabelece a emissão e utilização da carteira europeia de identidade digital e informa desse facto, sem demora indevida, os outros Estados-Membros e a Comissão.

3. Se a violação ou o comprometimento a que se refere o n.º 1 não forem sanados no prazo de três meses a contar da suspensão ou revogação, o Estado-Membro em causa retira a carteira europeia digital em questão e informa em conformidade os outros Estados-Membros e a Comissão sobre a retirada. Sempre que a gravidade da violação o justifique, a carteira europeia de identidade digital em questão é imediatamente retirada. 4. A Comissão publica no Jornal Oficial da União Europeia, sem demora indevida, as alterações correspondentes à lista a que se refere o artigo 6.º-D. 5. No prazo de seis meses após a entrada em vigor do presente regulamento, a Comissão especifica mais pormenorizadamente as medidas referidas nos n.os 1 e 3 mediante um ato de execução relativo à implementação das carteiras europeias de identidade digital como previsto no artigo 6.º-A, n.º 10.»; (12)É inserido o seguinte artigo 11.º-A: «Artigo 11.º-A Identificação única 1. Quando os meios de identificação eletrónica notificados e as carteiras europeias de identidade digital forem utilizados para autenticação, os Estados-Membros asseguram uma identificação única. 2. Para efeitos do presente regulamento, os Estados-Membros incluem no conjunto mínimo de dados de identificação pessoal a que se refere o artigo 12.º, n.º 4, alínea d), um identificador único e persistente em conformidade com a legislação da União, para identificar o utilizador a seu pedido nos casos em que a identificação do utilizador seja obrigatória por lei. 3. No prazo de seis meses após a entrada em vigor do presente regulamento, a Comissão especifica mais pormenorizadamente as medidas referidas nos n.os 1 e 2 mediante um ato de execução relativo à implementação das carteiras europeias de identidade digital como previsto no artigo 6.º-A, n.º 10.»; (13)O artigo 12.º é alterado do seguinte modo: (a)No n.º 3, são suprimidas as alíneas c) e d); (b)No n.º 4, a alínea d) passa a ter a seguinte redação: «d) A referência a um conjunto mínimo de dados de identificação necessários para representar de modo único e persistente uma pessoa singular ou coletiva;»; (c)No n.º 6, a alínea a) passa a ter a seguinte redação: «a) O intercâmbio de informações, experiências e boas práticas relativamente aos sistemas de identificação eletrónica, nomeadamente no que respeita aos requisitos técnicos relacionados com a interoperabilidade, a identificação única e os níveis de garantia;»; (14)É inserido o seguinte artigo 12.º-A: «Artigo 12.º-A Certificação de sistemas de identificação eletrónica 1. A conformidade dos sistemas de identificação eletrónica notificados com os requisitos estabelecidos nos artigos 6.º-A, 8.º e 10.º pode ser certificada por entidades públicas ou privadas designadas pelos Estados-Membros. 2. A avaliação pelos pares dos sistemas de identificação eletrónica a que se refere o artigo 12.º, n.º 6, alínea c), não se aplica aos sistemas de identificação eletrónica ou parte desses sistemas certificados em conformidade com o n.º 1. Os Estados-Membros podem utilizar um certificado ou uma declaração de conformidade da União emitidos de acordo com um sistema europeu de certificação da cibersegurança pertinente criado nos termos do Regulamento (UE) 2019/881 para demonstrar a conformidade desses sistemas com os requisitos estabelecidos no artigo 8.º, n.º 2, relativamente aos níveis de garantia dos sistemas de identificação eletrónica.

3. Os Estados-Membros comunicam à Comissão a denominação e o endereço da entidade pública ou privada por eles designada, referida no n.º 1. A Comissão põe a informação à disposição dos Estados-Membros.»; (15)A seguir ao artigo 12.º-A, é inserido o seguinte título: «SECÇÃO III RECURSO TRANSFRONTEIRIÇO A MEIOS DE IDENTIFICAÇÃO ELETRÓNICA»; (16)São inseridos os seguintes artigos 12.º-B e 12.º-C: «Artigo 12.º-B Recurso transfronteiriço às carteiras europeias de identidade digital 1. Sempre que, ao abrigo da legislação nacional ou nos termos da prática administrativa, os Estados-Membros exigirem uma identificação eletrónica baseada num meio de identificação eletrónica e numa autenticação para aceder a um serviço em linha prestado por um organismo público, devem também aceitar as carteiras europeias de identidade digital emitidas em conformidade com o presente regulamento. 2. Sempre que as partes utilizadoras privadas prestadoras de serviços forem obrigadas pela legislação nacional ou da União a utilizar autenticação forte do utilizador para identificação em linha, ou sempre que a autenticação forte do utilizador for exigida por obrigação contratual, nomeadamente nos domínios dos transportes, da energia, do serviços bancários e financeiros, da segurança social, da saúde, da água potável, dos serviços postais, das infraestruturas digitais, da educação ou das telecomunicações, as partes utilizadoras privadas devem também aceitar a utilização de carteiras europeias de identidade digital emitidas em conformidade com o artigo 6.º-A. 3. Sempre que as plataformas de muito grande dimensão, conforme definidas no artigo 25.º, n.º 1, do Regulamento [referência Regulamento Serviços Digitais], exigirem que os utilizadores se autentiquem para aceder a serviços em linha, devem também aceitar a utilização de carteiras europeias de identidade digital emitidas de acordo com o artigo 6.º-A, estritamente mediante pedido voluntário do utilizador e respeitando os atributos mínimos necessários para o serviço em linha específico para o qual é pedida a autenticação, como a prova de idade. 4. A Comissão encoraja e facilita a elaboração de códigos de conduta de autorregulação a nível da União («códigos de conduta»), a fim de contribuir para a ampla disponibilidade e usabilidade de carteiras europeias de identidade digital previstas no âmbito do presente regulamento. Esses códigos de conduta garantem a aceitação de meios de identificação eletrónica, incluindo as carteiras europeias de identidade digital previstas no âmbito do presente regulamento, em especial por parte dos prestadores de serviços que dependem de serviços de identificação eletrónica de terceiros para autenticar os utilizadores. A Comissão facilitará a elaboração desses códigos de conduta em estreita cooperação com