Regulamentul (UE) nr. 910/2014 (eIDAS), modificat prin Regulamentul (UE) 2024/1183

(1)

Instaurarea încrederii în mediul online este esențială pentru dezvoltarea economică și socială. Lipsa încrederii, datorată în special unei lipse a securității juridice percepute de public, determină consumatorii, întreprinderile și autoritățile publice să ezite în efectuarea de tranzacții pe cale electronică și în adoptarea de noi servicii.

(2)

Obiectivul prezentului regulament este de a crește încrederea în tranzacțiile electronice de pe piața internă prin furnizarea unei baze comune pentru realizarea de interacțiuni electronice sigure între cetățeni, întreprinderi și autoritățile publice, contribuind astfel la creșterea eficienței serviciilor online din sectorul public și privat, a activităților economice electronice și a comerțului electronic în Uniune.

(3)

Directiva 1999/93/CE a Parlamentului European și a Consiliului (3) reglementa semnăturile electronice fără să ofere un cadru transfrontalier și intersectorial cuprinzător pentru tranzacții electronice sigure, demne de încredere și ușor de folosit. Prezentul regulament consolidează și extinde acquis-ul din respectiva directivă.

(4)

Comunicarea Comisiei din 26 august 2010 intitulată „Agenda digitală pentru Europa” a identificat fragmentarea pieței digitale, lipsa interoperabilității și creșterea criminalității informatice ca obstacole majore în calea cercului virtuos al economiei digitale. În raportul său privind cetățenia UE în 2010, intitulat „Eliminarea obstacolelor din calea drepturilor cetățenilor Uniunii”, Comisia a scos în evidență, de asemenea, necesitatea de a soluționa principalele probleme care îi împiedică pe cetățenii europeni să beneficieze de avantajele unei piețe unice digitale și de serviciile digitale transfrontaliere.

(5)

În concluziile sale din 4 februarie 2011 și 23 octombrie 2011, Consiliul European a invitat Comisia să creeze o piață unică digitală până în 2015 pentru a realiza progrese rapide în domenii esențiale ale economiei digitale și pentru a promova o piață unică digitală integrată în totalitate, prin facilitarea utilizării transfrontaliere a serviciilor online, acordând atenție în special facilitării identificării și autentificării electronice sigure.

(6)

În concluziile sale din 27 mai 2011, Consiliul a invitat Comisia să contribuie la piața unică digitală prin crearea condițiilor adecvate pentru recunoașterea reciprocă a elementelor-cheie dincolo de frontiere, cum ar fi identificarea electronică, documentele electronice, semnăturile electronice și serviciile de distribuție electronică, precum și pentru serviciile de e-guvernare interoperabile pe întreg teritoriul Uniunii Europene.

(7)

Parlamentul European în rezoluția sa din 21 septembrie 2010 privind realizarea pieței interne în ceea ce privește comerțul electronic (4) a subliniat importanța securității serviciilor electronice, în special a semnăturilor electronice, și importanța necesității de a crea o infrastructură publică cheie la nivel paneuropean și a solicitat Comisiei să creeze un portal european al autorităților de validare pentru a asigura interoperabilitatea transfrontalieră a semnăturilor electronice și pentru a crește gradul de securitate a tranzacțiilor efectuate prin intermediul internetului.

(8)

Directiva 2006/123/CE a Parlamentului European și a Consiliului (5) solicită statelor membre să instituie „ghișee unice” pentru a se asigura că toate procedurile și formalitățile cu privire la accesul la o activitate de servicii și la exercitarea acesteia pot fi îndeplinite cu ușurință, de la distanță și prin mijloace electronice, prin intermediul ghișeului unic adecvat și al autorităților adecvate. Multe servicii online accesibile prin intermediul ghișeelor unice necesită identificare, autentificare și semnătură electronică.

(9)

În majoritatea cazurilor, cetățenii nu pot utiliza identificarea electronică pentru a-și autentifica identitatea într-un alt stat membru din cauză că sistemele naționale de identificare electronică din țara lor nu sunt recunoscute în alte state membre. Respectiva barieră electronică împiedică prestatorii de servicii să se bucure pe deplin de avantajele oferite de piața internă. Mijloacele de identificare electronică recunoscute reciproc vor facilita prestarea transfrontalieră de numeroase servicii pe piața internă și vor permite întreprinderilor să își extindă activitatea peste granițe fără să se confrunte cu multe obstacole în interacțiunile cu autoritățile publice.

(10)

Directiva 2011/24/UE a Parlamentului European și a Consiliului (6) a instituit o rețea de autorități naționale responsabile pentru e-sănătate. Pentru a spori siguranța și continuitatea asistenței medicale transfrontaliere, rețeaua trebuie să elaboreze orientări privind accesul transfrontalier la datele și serviciile legate de e-sănătate, inclusiv prin sprijinirea de „măsuri comune de identificare și de autentificare pentru a facilita transferabilitatea datelor în cadrul asistenței medicale transfrontaliere”. Recunoașterea reciprocă a identificării și autentificării electronice sunt esențiale pentru ca asistența medicală transfrontalieră pentru cetățenii europeni să devină o realitate. Când oamenii călătoresc în scopul realizării unui tratament, datele lor medicale trebuie să fie accesibile în țara în care se realizează tratamentul. Acest lucru necesită un cadru de identificare electronică solid, sigur și fiabil.

(11)

Prezentul regulament ar trebui aplicat în deplină concordanță cu principiile referitoare la protecția datelor cu caracter personal prevăzute de Directiva 95/46/CE a Parlamentului European și a Consiliului (7). În această privință, având în vedere principiul recunoașterii reciproce instituit de prezentul regulament, autentificarea pentru un serviciu online ar trebui să vizeze numai prelucrarea acelor date de identificare care sunt adecvate și relevante și care nu sunt excesive în vederea acordării accesului la respectivul serviciu online. Mai mult, cerințele prevăzute în Directiva 95/46/CE privind confidențialitatea și securitatea prelucrării ar trebui să fie respectate de către prestatorii de servicii de încredere și de către organismele de supraveghere.

(12)

Unul din obiectivele prezentului regulament este de a elimina barierele existente în calea utilizării transfrontaliere a mijloacelor de identificare electronică utilizate în statele membre pentru autentificare cel puțin pentru serviciile publice. Prezentul regulament nu urmărește să intervină în sistemele de gestionare a identității electronice și infrastructurile conexe stabilite în statele membre. Obiectivul prezentului regulament este de a garanta că, pentru accesul la serviciile transfrontaliere online oferite de către statele membre, este posibilă identificarea și autentificarea electronică sigură.

(13)

Statele membre ar trebui să dispună în continuare de libertatea de a utiliza sau de a introduce, în scopuri de identificare electronică, mijloace pentru accesarea serviciilor online. Acestea ar trebui, de asemenea, să fie în măsură să decidă dacă să implice sectorul privat în furnizarea acestor mijloace. Statele membre nu ar trebui să fie obligate să notifice Comisiei sistemele lor de identificare electronică. Alegerea de a notifica Comisiei toate, unele sau niciunul dintre sistemele de identificare electronică utilizate la nivel național pentru a accesa cel puțin serviciile publice online sau serviciile specifice este la latitudinea statelor membre.

(14)

Ar trebui stabilite în prezentul regulament unele condiții cu privire la care mijloace de identificare electronică trebuie să fie recunoscute și la modul în care sistemele de identificare electronică ar trebui să fie notificate. Aceste condiții ar trebui să ajute statele membre să dobândească încrederea reciprocă necesară în sistemele lor de identificare electronică și să recunoască reciproc mijloacele de identificare electronică care intră sub incidența sistemelor lor notificate. Ar trebui să se aplice principiul recunoașterii reciproce în cazul în care sistemul de identificare electronică al statului membru care notifică îndeplinește condițiile de notificare, iar notificarea a fost publicată în Jurnalul Oficial al Uniunii Europene. Cu toate acestea, principiul recunoașterii reciproce ar trebui să vizeze numai autentificarea pentru un serviciu online. Accesul la aceste servicii online și furnizarea lor finală către solicitant ar trebui să fie strâns legate de dreptul de a primi astfel de servicii în condițiile stabilite de legislația națională.

(15)

Obligația de recunoaștere a mijloacelor de identificare electronică ar trebui să se refere numai la mijloacele al căror nivel de asigurare a încrederii corespunde unui nivel egal sau mai ridicat decât nivelul necesar pentru serviciul online în cauză. În plus, această obligație ar trebui să se aplice numai în cazul în care organismul din sectorul public în cauză utilizează nivelul de asigurare „substanțial” sau „ridicat” în ceea ce privește accesul la serviciul online respectiv. Statele membre ar trebui să dispună în continuare, în conformitate cu dreptul Uniunii, de libertatea de a recunoaște mijloacele de identificare electronică cu niveluri de asigurare a încrederii mai scăzute.

(16)

Nivelurile de asigurare ar trebui să caracterizeze gradul de încredere în mijloacele de identificare electronică în stabilirea identității unei persoane, oferind astfel garanția că persoana care pretinde o anumită identitate este într-adevăr persoana căreia i s-a atribuit respectiva identitate. Nivelul de asigurare depinde de gradul de încredere pe care îl oferă mijloacele de identificare electronică în legătură cu identitatea pretinsă sau declarată a unei persoane, ținând seama de procese (de exemplu, dovedirea și verificarea identității și autentificarea), de activitățile de gestionare (de exemplu, entitatea care emite mijloacele de identificare electronică și procedura de emitere a respectivelor mijloace) și de controalele tehnice puse în aplicare. Există diferite definiții tehnice și descrieri ale nivelurilor de asigurare, ca urmare a proiectelor-pilot la scară largă finanțate de Uniune, a activităților de standardizare și internaționale. În special, proiectul-pilot la scară largă STORK și ISO 29115 se referă, printre altele, la nivelurile 2, 3 și 4, care ar trebui să fie luate cu prioritate în considerare în stabilirea cerințelor tehnice minime, a standardelor și procedurilor pentru nivelurile de asigurare scăzut, substanțial și ridicat, în sensul prezentului regulament, asigurând, în același timp, aplicarea uniformă a prezentului regulament în special în ceea ce privește nivelul de asigurare ridicat în legătură cu dovedirea identității în vederea eliberării de certificate calificate. Cerințele stabilite ar trebui să fie neutre din punct de vedere tehnologic. Ar trebui să fie posibilă realizarea cerințelor de siguranță necesare prin intermediul diferitelor tehnologii.

(17)

Statele membre ar trebui să încurajeze sectorul privat să utilizeze în mod voluntar mijloace de identificare electronică în cadrul unui sistem notificat, în scopuri de identificare, atunci când este nevoie pentru servicii online sau pentru tranzacții electronice. Posibilitatea de a utiliza aceste mijloace de identificare electronică ar permite sectorului privat să se bazeze pe identificarea și autentificarea electronică deja utilizată pe scară largă în multe state membre cel puțin pentru serviciile publice și să faciliteze accesul întreprinderilor și cetățenilor la serviciile lor online dincolo de frontiere. Pentru a facilita utilizarea acestor mijloace de identificare electronică dincolo de frontiere de către sectorul privat, posibilitatea de autentificare furnizată de orice stat membru ar trebui să fie disponibilă beneficiarilor din sectorul privat stabiliți în afara teritoriului statului membru respectiv în aceleași condiții ca cele aplicate beneficiarilor din sectorul privat stabiliți în statul membru respectiv. Prin urmare, în ceea ce privește beneficiarii din sectorul privat, statul membru care notifică poate defini condițiile de acces la mijloacele de autentificare. Aceste condiții de acces pot stabili dacă mijloacele de autentificare aferente sistemului notificat sunt sau nu disponibile imediat pentru beneficiarii din sectorul privat.

(18)

Prezentul regulament ar trebui să prevadă răspunderea statului membru care notifică, a părții care emite mijloacele de identificare electronică și a părții care aplică procedura de autentificare în cazul neîndeplinirii obligațiilor relevante în temeiul prezentului regulament. Cu toate acestea, prezentul regulament ar trebui să fie aplicat în conformitate cu normele de drept intern privind răspunderea. Prin urmare, aceasta nu aduce atingere respectivelor norme naționale privind, de exemplu, definiția prejudiciului sau normele de procedură aplicabile relevante, inclusiv sarcina probei.

(19)

Securitatea sistemelor de identificare electronică este esențială pentru recunoașterea transfrontalieră reciprocă fiabilă a mijloacelor de identificare electronică. În acest context, statele membre ar trebui să coopereze în ceea ce privește securitatea și interoperabilitatea sistemelor de identificare electronică la nivelul Uniunii. Ori de câte ori sistemele de identificare electronică necesită utilizarea unor elemente hardware sau software specifice de către beneficiari la nivel național, interoperabilitatea transfrontalieră necesită ca statele membre respective să nu impună astfel de cerințe și costuri aferente beneficiarilor stabiliți în afara teritoriului lor. În acest caz, ar trebui examinate și elaborate soluții adecvate care să țină seama de cadrul de interoperabilitate. Cu toate acestea, cerințele tehnice care decurg din specificațiile intrinsece ale mijloacelor naționale de identificare electronică și care sunt susceptibile de a afecta deținătorii unor astfel de mijloace electronice (de exemplu, carduri cu memorie) sunt inevitabile.

(20)

Cooperarea dintre statele membre ar trebui să faciliteze interoperabilitatea tehnică a sistemelor de identificare electronică notificate pentru a favoriza un nivel ridicat de încredere și securitate corespunzător gradului de risc. Schimbul de informații și de bune practici între statele membre, în vederea recunoașterii lor reciproce, ar trebui să contribuie la această cooperare.

(21)

Prezentul regulament ar trebui, de asemenea, să stabilească un cadru juridic general pentru utilizarea serviciilor de încredere. Totuși, acesta nu ar trebui să creeze o obligație generală de a le utiliza sau de a instala un punct de acces pentru toate serviciile de încredere existente. În special, acesta nu ar trebui să reglementeze prestarea de servicii utilizate exclusiv în cadrul sistemelor închise între un set definit de participanți, care nu au niciun efect asupra părților terțe. De exemplu, sistemele instituite în întreprinderi sau în administrațiile publice pentru a gestiona procedurile interne care utilizează serviciile de încredere nu ar trebui să intre sub incidența cerințelor din prezentul regulament. Doar serviciile de încredere prestate publicului având efecte asupra părților terțe ar trebui să îndeplinească cerințele stabilite în regulament. Prezentul regulament nu ar trebui să reglementeze nici aspectele privind încheierea și valabilitatea contractelor sau a altor obligații juridice, în cazul în care există cerințe cu privire la formă prevăzute de dreptul intern sau al Uniunii. Mai mult, prezentul regulament nu ar trebui să afecteze cerințele naționale cu privire la formă aferente registrelor publice, în special registrelor comerțului și cadastrelor.

(22)

Pentru a contribui la utilizarea transfrontalieră generală a serviciilor de încredere, ar trebui să fie posibilă utilizarea acestora ca probe în procedurile judiciare în toate statele membre. Efectul juridic al serviciilor de încredere trebuie definit de dreptul intern, cu excepția cazului în care se prevede altfel în prezentul regulament.

(23)

În măsura în care prezentul regulament creează o obligație de a recunoaște un serviciu de încredere, respectivul serviciu de încredere poate fi respins numai dacă destinatarul obligației nu este în măsură să îl citească sau să îl verifice din motive tehnice, care nu pot face obiectul controlului imediat al destinatarului. Cu toate acestea, această obligație în sine nu ar trebui să impună unui organism public să obțină elementele de hardware și software necesare pentru lizibilitatea tehnică a tuturor serviciilor de încredere existente.

(24)

Statele membre pot să mențină sau să introducă dispoziții naționale, în conformitate cu dreptul Uniunii, referitoare la serviciile de încredere în măsura în care aceste servicii nu sunt armonizate integral în prezentul regulament. Cu toate acestea, serviciile de încredere care sunt conforme cu prezentul regulament ar trebui să circule liber pe piața internă.

(25)

Statele membre ar trebui să dispună în continuare de libertatea de a defini alte tipuri de servicii de încredere, în plus față de cele care fac parte din lista închisă de servicii de încredere prevăzută în prezentul regulament, în scopul recunoașterii acestora la nivel național ca servicii de încredere calificate.

(26)

Datorită ritmului schimbărilor tehnologice, prezentul regulament ar trebui să adopte o abordare deschisă inovării.

(27)

Prezentul regulament ar trebui să fie neutru din punctul de vedere al tehnologiei. Efectele juridice pe care le acordă ar trebui să fie realizabile prin orice mijloc tehnic, cu condiția ca cerințele prezentului regulament să fie îndeplinite.

(28)

Pentru a spori în special încrederea întreprinderilor mici și mijlocii (IMM) și a consumatorilor în piața internă și pentru a promova utilizarea serviciilor și produselor de încredere, noțiunile de servicii de încredere calificate și prestator de servicii de încredere calificat ar trebui să fie introduse pentru a indica cerințele și obligațiile care asigură securitatea la nivel înalt a oricăror servicii și produse de încredere calificate utilizate sau furnizate.

(29)

În conformitate cu obligațiile în temeiul Convenției Națiunilor Unite privind drepturile persoanelor cu handicap, aprobată prin Decizia 2010/48/CE a Consiliului (8), în special articolul 9 din convenție, persoanele cu handicap ar trebui să aibă posibilitatea de a utiliza serviciile de încredere și produsele destinate utilizatorului final utilizate la prestarea serviciilor respective, în aceleași condiții ca și ceilalți consumatori. Prin urmare, dacă este posibil, serviciile de încredere prestate și produsele destinate utilizatorului final utilizate pentru prestarea serviciilor respective ar trebui să fie accesibile persoanelor cu handicap. Studiul de fezabilitate ar trebui să includă, printre altele, considerații tehnice și economice.

(30)

Statele membre ar trebui să desemneze un organism de supraveghere sau organisme de supraveghere pentru realizarea activităților de supraveghere în conformitate cu prezentul regulament. Statele membre ar trebui să aibă, de asemenea, posibilitatea de a decide, pe baza unui acord reciproc cu alt stat membru, să desemneze un organism de supraveghere pe teritoriul acestui alt stat membru.

(31)

Organismele de supraveghere ar trebui să coopereze cu autoritățile de protecție a datelor, de exemplu prin informarea acestora cu privire la rezultatele auditurilor prestatorilor de servicii de încredere calificați, în cazul în care se presupune că normele de protecție a datelor cu caracter personal au fost încălcate. Informațiile furnizate ar trebui să vizeze în special incidentele privind securitatea și încălcarea securității datelor cu caracter personal.

(32)

Ar trebui să fie obligatoriu pentru toți prestatorii de servicii de încredere să aplice bune practici de securitate corespunzătoare riscurilor legate de activitățile lor, pentru a spori încrederea utilizatorilor în piața unică.

(33)

Dispozițiile privind utilizarea pseudonimelor în certificate nu ar trebui să împiedice statele membre să solicite identificarea persoanelor în conformitate cu dreptul Uniunii sau dreptul intern.

(34)

Toate statele membre ar trebui să respecte cerințele esențiale comune de supraveghere pentru a se asigura un nivel de securitate comparabil al serviciilor de încredere calificate. Pentru a facilita aplicarea consecventă a acestor cerințe pe întreg teritoriul Uniunii, statele membre ar trebui să adopte proceduri comparabile și ar trebui să efectueze schimburi de informații cu privire la activitățile lor de supraveghere și la bunele practici în domeniu.

(35)

Toți prestatorii de servicii de încredere ar trebui să facă obiectul cerințelor prevăzute de prezentul regulament, în special al celor privind securitatea și responsabilitatea de a asigura diligența necesară, transparența și asumarea răspunderii pentru operațiunile și serviciile lor. Totuși, ținând seama de tipul de servicii prestate de prestatorii de servicii de încredere, este oportun să se facă o distincție, în ceea ce privește cerințele respective, între prestatorii de servicii de încredere calificați și necalificați.

(36)

Stabilirea unui regim de supraveghere pentru toți prestatorii de servicii de încredere ar trebui să asigure condiții de concurență echitabile în privința securității și a asumării responsabilității pentru operațiunile și serviciile lor, contribuind astfel la protecția utilizatorilor și la funcționarea pieței interne. Prestatorii de servicii de încredere necalificați ar trebui să facă obiectul unor activități de supraveghere ex post lejere și bazate pe reacție, justificate de natura serviciilor și a operațiunilor lor. Prin urmare, organismul de supraveghere nu ar trebui să aibă nicio obligație generală de a supraveghea prestatorii de servicii necalificați. Organismul de supraveghere ar trebui să acționeze doar în cazul în care este informat (de exemplu, de către prestatorul de servicii de încredere necalificat în persoană, de către un alt organism de supraveghere, printr-o notificare de la un utilizator sau un partener de afaceri sau pe baza propriilor investigații) că un prestator de servicii de încredere necalificat nu respectă cerințele prezentului regulament.

(37)

Prezentul regulament ar trebui să prevadă răspunderea tuturor prestatorilor de servicii de încredere. În special, regulamentul stabilește un regim de răspundere în cadrul căruia toți prestatorii de servicii de încredere ar trebui să fie răspunzători pentru prejudiciile aduse oricărei persoane fizice sau juridice din cauza nerespectării obligațiilor care le revin în temeiul prezentului regulament. Pentru a facilita evaluarea riscului financiar pe care prestatorii de servicii de încredere l-ar putea avea de suportat sau pe care aceștia ar trebui să îl acopere prin intermediul polițelor de asigurare, prezentul regulament permite prestatorilor de servicii de încredere să stabilească restricții, în anumite condiții, privind utilizarea serviciilor pe care le oferă și îi scutește de răspunderea pentru prejudiciile rezultate din utilizarea serviciilor peste aceste restricții. Clienții ar trebui să fie informați în prealabil, în mod corespunzător, cu privire la restricții. Aceste restricții ar trebui să poată fi recunoscute de către o parte terță, de exemplu prin includerea de informații cu privire la acestea în clauzele și condițiile aferente serviciului furnizat sau prin alte mijloace ușor de recunoscut. Pentru punerea în aplicare a acestor principii, prezentul regulament ar trebui aplicat în conformitate cu normele naționale în materie de răspundere. Prin urmare, prezentul regulament nu aduce atingere normelor naționale privind, de exemplu, definiția prejudiciului, a intenției, a neglijenței sau privind normele procedurale aplicabile relevante.

(38)

Notificarea cazurilor de încălcare a securității și evaluarea riscurilor privind securitatea sunt esențiale în vederea furnizării de informații corespunzătoare către părțile în cauză, în caz de încălcare a securității sau de pierdere a integrității.

(39)

Pentru a permite Comisiei și statelor membre să evalueze eficiența mecanismului de notificare a încălcărilor introdus prin prezentul regulament, ar trebui să li se solicite organismelor de supraveghere să furnizeze informații sintetizate Comisiei și Agenției Uniunii Europene pentru Securitatea Rețelelor și a Informațiilor (ENISA).

(40)

Pentru a permite Comisiei și statelor membre să evalueze eficiența mecanismului de supraveghere consolidată introdus prin prezentul regulament, ar trebui să li se solicite organismelor de supraveghere să prezinte un raport cu privire la activitățile lor. Acest lucru ar contribui la facilitarea schimbului de bune practici între organismele de supraveghere și ar asigura verificarea punerii în aplicare în mod consecvent și eficient în toate statele membre a cerințelor esențiale privind supravegherea.

(41)

Pentru a garanta sustenabilitatea și durabilitatea serviciilor de încredere calificate și pentru a spori încrederea utilizatorilor în continuitatea serviciilor de încredere calificate, organismele de supraveghere ar trebui să verifice existența și aplicarea corectă a dispozițiilor privind planurile de încetare a serviciului în cazurile în care prestatorii de servicii de încredere calificați își încetează activitățile.

(42)

Pentru a facilita supravegherea prestatorilor de servicii de încredere calificați, de exemplu, atunci când un furnizor își prestează serviciile pe teritoriul unui alt stat membru și nu face acolo obiectul supravegherii sau în cazul în care calculatoarele unui prestator sunt situate pe teritoriul unui alt stat membru decât cel în care este stabilit, ar trebui să fie instituit un sistem de asistență reciprocă între organismele de supraveghere din statele membre.

(43)

Pentru a asigura respectarea de către prestatorii de servicii de încredere calificați a cerințelor stabilite în prezentul regulament și conformitatea serviciilor prestate de aceștia cu respectivele cerințe, un organism de evaluare a conformității ar trebui să efectueze o evaluare a conformității, iar rapoartele de evaluare a conformității rezultate ar trebui transmise de prestatorii de servicii de încredere calificați către organismul de supraveghere. Atunci când organismul de supraveghere impune unui prestator de servicii de încredere calificat să prezinte un raport de evaluare a conformității ad hoc, organismul de supraveghere ar trebui să respecte, în special, principiile bunei administrări, inclusiv obligația de a-și motiva deciziile, precum și principiul proporționalității. Prin urmare, organismul de supraveghere ar trebui să-și motiveze în mod corespunzător decizia de a solicita o evaluare a conformității ad hoc.

(44)

Prezentul regulament urmărește să asigure un cadru coerent cu scopul de a oferi un nivel înalt de siguranță și de securitate juridică a serviciilor de încredere. În acest sens, atunci când abordează evaluarea conformității produselor și serviciilor, Comisia ar trebui, după caz, să identifice sinergii cu sistemele europene și internaționale relevante existente, cum ar fi Regulamentul (CE) nr. 765/2008 al Parlamentului European și al Consiliului (9) care stabilește cerințele de acreditare ale organismelor de evaluare a conformității și de supraveghere a pieței de produse.

(45)

Pentru a permite un proces de inițiere eficient, care ar trebui să ducă la includerea prestatorilor de servicii de încredere calificați și a serviciilor de încredere calificate pe care le prestează în listele sigure, interacțiunile preliminare dintre potențialii prestatori de servicii de încredere calificați și organismul de supraveghere competent ar trebui să fie încurajate, în scopul facilitării diligenței necesare care conduce la prestarea de servicii de încredere calificate.

(46)

Listele sigure sunt elemente esențiale pentru construirea încrederii între operatorii de piață, deoarece ele indică statutul de calificat al prestatorului de servicii în momentul supravegherii.

(47)

Încrederea în serviciile online și facilitarea acestora sunt esențiale pentru ca utilizatorii să beneficieze pe deplin de serviciile electronice și să se bazeze în mod conștient pe acestea. În acest scop, ar trebui creată o marcă de încredere a UE cu scopul de a identifica serviciile de încredere calificate prestate de prestatori de servicii de încredere calificați. O astfel de marcă de încredere a UE pentru serviciile de încredere calificate ar diferenția în mod clar serviciile de încredere calificate de alte servicii de încredere, contribuind astfel la transparența pe pieței. Utilizarea unei mărci de încredere a UE de către prestatorii de servicii de încredere calificați ar trebui să fie voluntară și nu ar trebui să conducă la nicio altă cerință decât cele prevăzute în prezentul regulament.

(48)

Deși un nivel ridicat de securitate este necesar pentru a asigura recunoașterea reciprocă a semnăturilor electronice, în cazuri speciale, cum ar fi în contextul Deciziei 2009/767/CE a Comisiei (10), semnăturile electronice cu un nivel mai scăzut de asigurare a securității ar trebui să fie, de asemenea, acceptate.

(49)

Prezentul regulament ar trebui să stabilească principiul conform căruia unei semnături electronice nu ar trebui să i se refuze efectul juridic din motiv că aceasta este în format electronic sau că nu îndeplinește cerințele pentru semnătura electronică calificată. Cu toate acestea, efectul juridic al semnăturilor electronice se definește în dreptul intern, cu excepția cerinței prevăzute în prezentul regulament, conform căreia o semnătură electronică calificată ar trebui să aibă efecte juridice echivalente cu cele ale semnăturii olografe.

(50)

Deoarece autoritățile competente din statele membre utilizează, în prezent, formate diferite de semnături electronice avansate pentru a-și semna documentele în mod electronic, este necesar să se asigure că cel puțin un număr de formate de semnături electronice avansate pot fi procesate tehnic de statele membre atunci când primesc documente semnate în mod electronic. În mod similar, în cazul în care autoritățile competente din statele membre utilizează sigilii electronice avansate, ar fi necesar să se asigure că acestea pot procesa cel puțin un număr de formate de sigilii electronice avansate.

(51)

Ar trebui să fie posibil pentru semnatar să încredințeze dispozitivele de creare a semnăturilor electronice calificate unei părți terțe, cu condiția ca mecanismele și procedurile adecvate să fie puse în aplicare pentru a se asigura că semnatarul are control unic asupra utilizării datelor sale de creare a semnăturilor electronice și cu condiția ca utilizarea dispozitivului să îndeplinească cerințele privind semnătura electronică calificată.

(52)

Crearea semnăturilor electronice la distanță, al căror mediu este gestionat în numele semnatarului de un prestator de servicii de încredere, nu poate decât să se dezvolte având în vedere multiplele sale avantaje economice. Cu toate acestea, pentru a garanta că aceste semnături electronice se bucură de același nivel de recunoaștere juridică de care se bucură semnăturile electronice create cu ajutorul unui mediu care este în totalitate gestionat de utilizator, prestatorii care oferă servicii de semnătură electronică la distanță ar trebui să aplice proceduri de securitate a gestionării și administrării specifice și să utilizeze sisteme și produse fiabile, care să includă canale de comunicare electronică sigure, pentru a garanta fiabilitatea mediului de creare a semnăturii electronice și faptul că acest mediu este utilizat sub controlul exclusiv al semnatarului. În cazul unei semnături electronice calificate create cu ajutorul unui dispozitiv de creare a semnăturilor electronice la distanță, ar trebui să se aplice cerințele aplicabile prestatorilor de servicii de încredere calificați menționate în prezentul regulament.

(53)

Suspendarea certificatelor calificate este o practică operațională consacrată a prestatorilor de servicii de încredere într-o serie de state membre, care este diferită de revocare și atrage după sine pierderea temporară a valabilității unui certificat. Pentru asigurarea securității juridice este necesar ca statutul de suspendat al unui certificat să fie întotdeauna indicat în mod clar. În acest scop, prestatorii de servicii de încredere ar trebui să aibă responsabilitatea de a indica în mod clar statutul certificatului și, în cazul în care acesta este suspendat, perioada, indicată cu precizie, pentru care certificatul a fost suspendat. Prezentul regulament nu ar trebui să impună prestatorilor de servicii de încredere sau statelor membre utilizarea suspendării, ci ar trebui să prevadă norme de transparență în cazul în care o astfel de practică este disponibilă.

(54)

Interoperabilitatea transfrontalieră și recunoașterea certificatelor calificate reprezintă o condiție prealabilă pentru recunoașterea transfrontalieră a semnăturilor electronice calificate. Prin urmare, certificatele calificate nu ar trebui să facă obiectul niciunei cerințe obligatorii în plus față de cerințele prevăzute în prezentul regulament. Cu toate acestea, ar trebui să se permită, la nivel național, includerea unor atribute specifice, precum identificatorii unici, în cadrul certificatelor calificate, cu condiția ca aceste atribute specifice să nu afecteze interoperabilitatea transfrontalieră și recunoașterea certificatelor calificate și a semnăturilor electronice.

(55)

Certificarea de securitate informatică bazată pe standarde internaționale, de exemplu ISO 15408 și metodele de evaluare conexe și acordurile de recunoaștere reciprocă, este un instrument important pentru a verifica siguranța dispozitivelor de creare a semnăturii electronice calificate și ar trebui promovat. Cu toate acestea, soluțiile și serviciile inovatoare, cum ar fi semnarea pe telefonul mobil și semnarea în cloud, se bazează pe soluții tehnice și organizaționale pentru dispozitive de creare a semnăturii electronice calificate pentru care este posibil să nu fie încă disponibile standarde de securitate sau a căror primă certificare de securitate informatică este în curs. Nivelul de securitate al respectivelor dispozitive de creare a semnăturii electronice calificate ar putea fi evaluat prin utilizarea unor procese alternative numai în cazul în care astfel de standarde de securitate nu sunt disponibile sau în cazul în care prima certificare de securitate informatică este în desfășurare. Aceste procese ar trebui să fie comparabile cu standardele pentru certificarea în materie de securitate informatică, în măsura în care nivelurile lor de securitate sunt echivalente. Aceste procese ar putea fi facilitate de o evaluare inter pares.

(56)

Prezentul regulament ar trebui să prevadă cerințe pentru dispozitivele de creare a semnăturii electronice calificate în vederea asigurării funcționalității semnăturilor electronice avansate. Prezentul regulament nu ar trebui să reglementeze întregul mediu al sistemului în care funcționează astfel de dispozitive. Prin urmare, domeniul de aplicare al certificării dispozitivelor de creare a semnăturii calificate ar trebui să se limiteze la componentele hardware și la elementele de software de sistem utilizate pentru gestionarea și protejarea datelor aferente creării semnăturii care sunt create, stocate sau prelucrate în dispozitivul de creare a semnăturii. După cum se detaliază în standardele relevante, domeniul de aplicare al obligației de certificare ar trebui să excludă cererile de creare a semnăturii.

(57)

Pentru a asigura securitatea juridică cu privire la valabilitatea semnăturii, este esențial să se specifice în detaliu componentele unei semnături electronice calificate care ar trebui să fie evaluate de către beneficiarul care efectuează validarea. Mai mult, specificarea cerințelor pentru prestatorii de servicii de încredere calificați care pot presta un serviciu de validare calificat beneficiarilor care nu vor sau care nu pot îndeplini ei înșiși validarea semnăturilor electronice calificate ar trebui să stimuleze sectorul public și privat să investească în astfel de servicii. Ambele elemente ar trebui să facă validarea semnăturilor electronice calificate ușoară și convenabilă pentru toate părțile la nivelul Uniunii.

(58)

Atunci când o tranzacție necesită un sigiliu electronic calificat de la o persoană juridică, o semnătură electronică calificată de la reprezentantul autorizat al persoanei juridice ar trebui să fie, de asemenea, acceptabilă.

(59)

Sigiliile electronice ar trebui să servească drept dovadă că un document electronic a fost emis de către o persoană juridică, asigurând certitudinea originii și integrității documentului.

(60)

Prestatorii de servicii de încredere care eliberează certificate calificate pentru sigiliul electronic ar trebui să pună în aplicare măsurile necesare pentru a putea stabili identitatea persoanei fizice care reprezintă persoana juridică pentru care se eliberează certificatul calificat pentru sigiliul electronic, în cazul în care o astfel de identificare este necesară la nivel național în cadrul procedurilor judiciare sau administrative.

(61)

Prezentul regulament ar trebui să asigure păstrarea pe termen lung a informațiilor, pentru a asigura valabilitatea juridică a semnăturilor și sigiliilor electronice pe perioade lungi de timp și a garanta că acestea pot fi validate indiferent de schimbările tehnologice viitoare.

(62)

Pentru a asigura securitatea mărcilor temporale electronice calificate, prezentul regulament ar trebui să impună utilizarea unui sigiliu electronic avansat sau a unei semnături electronice avansate sau a altor metode echivalente. Se preconizează că inovarea poate conduce la noi tehnologii care ar putea asigura mărcilor temporale un nivel de securitate echivalent. Ori de câte ori este utilizată o altă metodă decât sigiliul electronic avansat sau semnătura electronică avansată, prestatorului de servicii de încredere calificat ar trebui să-i revină obligația să demonstreze, în cadrul raportului de evaluare a conformității, că o astfel de metodă asigură un nivel echivalent de securitate și respectă obligațiile stabilite în prezentul regulament.

(63)

Documentele electronice sunt importante pentru dezvoltarea în continuare a tranzacțiilor electronice transfrontaliere în cadrul pieței interne. Prezentul regulament ar trebui să stabilească principiul conform căruia unui document electronic nu ar trebui să i se refuze efectul juridic din motiv că acesta este în format electronic, pentru a garanta faptul că o tranzacție electronică nu va fi respinsă doar din motivul că un document este în format electronic.

(64)

Atunci când abordează formatele semnăturilor și sigiliilor electronice avansate, Comisia ar trebui să se bazeze pe practicile, standardele și legislația existente, în special pe Decizia 2011/130/UE a Comisiei (11).

(65)

În plus față de autentificarea documentului emis de persoana juridică, sigiliile electronice pot fi utilizate pentru autentificarea oricărui bun digital al persoanei juridice, precum coduri de software sau servere.

(66)

Este esențial să se prevadă un cadru juridic pentru a facilita recunoașterea transfrontalieră între sistemele juridice naționale existente în ceea ce privește serviciile de distribuție electronică înregistrată. Acest cadru ar putea genera, de asemenea, noi oportunități de piață pentru ca prestatorii de servicii de încredere ai Uniunii să ofere noi servicii paneuropene de distribuție electronică înregistrată.

(67)

Serviciile de autentificare a site-urilor internet oferă o modalitate prin care un vizitator al unui site internet poate fi sigur că în spatele site-ului internet se află o entitate autentică și legitimă. Aceste servicii contribuie la construirea încrederii în desfășurarea de activități comerciale online, întrucât utilizatorii vor avea încredere într-un site internet care a fost autentificat. Furnizarea și utilizarea serviciilor de autentificare a unui site internet sunt complet voluntare. Cu toate acestea, pentru ca autentificarea unui site internet să devină un mijloc de a spori încrederea, de a oferi utilizatorului o experiență mai bună și de a stimula creșterea economică pe piața internă, prezentul regulament ar trebui să prevadă obligații minime în materie de securitate și răspundere pentru prestatori și serviciile oferite de aceștia. În acest scop, rezultatele inițiativelor existente coordonate de entitățile din domeniu, de exemplu, Forumul autorităților de certificare/browser-elor – Forumul CA/B, au fost luate în considerare. În plus, prezentul regulament nu ar trebui să împiedice utilizarea altor mijloace sau metode pentru autentificarea unui site internet care nu intră sub incidența prezentului regulament și nici nu ar trebui să împiedice prestatorii de servicii de autentificare a site-urilor internet din țări terțe să își ofere serviciile clienților din Uniune. Cu toate acestea, prestatorii din țări terțe ar trebui să obțină recunoașterea serviciilor lor de autentificare a site-urilor internet drept servicii calificate, în conformitate cu prezentul regulament, numai în cazul în care a fost încheiat un acord internațional între Uniune și țara de stabilire a prestatorului.

(68)

Conceptul de „persoană juridică”, în conformitate cu dispozițiile din Tratatul privind funcționarea Uniunii Europene (TFUE) referitoare la stabilire, le dă operatorilor libertatea de a alege forma juridică pe care ei o consideră potrivită pentru a-și desfășura activitatea. În consecință, „persoană juridică”, în sensul din TFUE, înseamnă toate entitățile constituite în temeiul dreptului unui stat membru sau reglementate de acesta, indiferent de forma lor juridică.

(69)

Instituțiile, organele, oficiile și agențiile Uniunii sunt încurajate să recunoască identificarea electronică și serviciile de încredere reglementate de prezentul regulament în scopul cooperării administrative, bazându-se în special pe bunele practici existente și pe rezultatele proiectelor în curs de desfășurare în domeniile care fac obiectul prezentului regulament.

(70)

Pentru a completa anumite aspecte tehnice detaliate ale prezentului regulament într-o manieră flexibilă și rapidă, competența de a adopta acte în conformitate cu articolul 290 din TFUE ar trebui să fie delegată Comisiei în ceea ce privește criteriile care trebuie respectate de către organismele responsabile de certificarea dispozitivelor de creare a semnăturilor electronice calificate. Este deosebit de important ca, pe parcursul activităților pregătitoare, Comisia să desfășoare consultări adecvate, inclusiv la nivel de experți. Comisia, atunci când pregătește și elaborează acte delegate, ar trebui să asigure o transmitere simultană, în timp util și adecvată a documentelor relevante către Parlamentul European și Consiliu.

(71)

Pentru a se asigura condiții uniforme pentru punerea în aplicare a prezentului regulament, ar trebui conferite competențe de executare Comisiei, în special pentru a specifica numerele de referință ale standardelor a căror utilizare ar oferi o prezumție de conformitate cu anumite cerințe prevăzute în prezentul regulament. Respectivele competențe ar trebui exercitate în conformitate cu Regulamentul (UE) nr. 182/2011 al Parlamentului European și al Consiliului (12).

(72)

Atunci când adoptă acte delegate sau de punere în aplicare, Comisia ar trebui să țină seama în mod corespunzător de standardele și specificațiile tehnice elaborate de organizațiile și organismele de standardizare europene și internaționale, în special de Comitetul European pentru Standardizare (CEN), Institutul European de Standardizare în Telecomunicații (ETSI), Organizația Internațională de Standardizare (ISO) și Uniunea Internațională a Telecomunicațiilor (UIT), cu scopul de a asigura un nivel ridicat de securitate și interoperabilitate a serviciilor electronice de identificare și de încredere.

(73)

Din motive de securitate juridică și claritate, Directiva 1999/93/CE ar trebui abrogată.

(74)

Pentru a se asigura securitatea juridică pentru operatorii de piață care utilizează deja certificate calificate emise persoanelor fizice în conformitate cu Directiva 1999/93/CE, este necesar să se prevadă o perioadă de timp suficientă în scopuri de tranziție. În mod similar, ar trebui să se prevadă măsuri de tranziție pentru dispozitivele sigure de creare a semnăturilor a căror conformitate a fost determinată în conformitate cu Directiva 1999/93/CE, precum și pentru prestatorii de servicii de certificare care emit certificate calificate înainte de 1 iulie 2016. În cele din urmă, este necesar, de asemenea, să se furnizeze Comisiei mijloacele de a adopta actele de punere în aplicare și actele delegate înainte de data respectivă.

(75)

Datele de aplicare prevăzute în prezentul regulament nu aduc atingere obligațiilor existente pe care statele membre le au deja în temeiul dreptului Uniunii, în special în temeiul Directivei 2006/123/CE.

(76)

Deoarece obiectivele prezentului regulament nu pot fi realizate în mod satisfăcător de către statele membre, dar, având în vedere amploarea acțiunii, pot fi realizate mai bine la nivelul Uniunii, aceasta poate adopta măsuri, în conformitate cu principiul subsidiarității, astfel cum este definit la articolul 5 din Tratatul privind Uniunea Europeană. În conformitate cu principiul proporționalității, astfel cum este definit la articolul menționat, prezentul regulament nu depășește ceea ce este necesar pentru realizarea obiectivelor menționate.

(77)

Autoritatea Europeană pentru Protecția Datelor a fost consultată în conformitate cu articolul 28 alineatul (2) din Regulamentul (CE) nr. 45/2001 al Parlamentului European și al Consiliului (13) și a emis un aviz la 27 septembrie 2012 (14),

(1)

Comunicarea Comisiei din 19 februarie 2020 intitulată „Conturarea viitorului digital al Europei” anunță o revizuire a Regulamentului (UE) nr. 910/2014 al Parlamentului European și al Consiliului (4) pentru a-i îmbunătăți eficacitatea, a extinde beneficiile acestuia la sectorul privat și a promova identitățile digitale de încredere pentru toți europenii.

(2)

În concluziile sale din 1-2 octombrie 2020, Consiliul European a invitat Comisia să propună elaborarea unui cadru la nivelul întregii Uniuni referitor la identificarea electronică publică securizată, inclusiv semnăturile digitale interoperabile, cu scopul de a le oferi persoanelor controlul asupra identității și datelor lor online, precum și de a le permite accesul la servicii digitale publice, private și transfrontaliere.

(3)

Programul de politică pentru 2030 privind deceniul digital, instituit prin Decizia (UE) 2022/2481 a Parlamentului European și a Consiliului (5), stabilește obiectivele și țintele digitale ale unui cadru al Uniunii care, până în 2030, sunt menite să conducă la implementarea pe scară largă a unei identități digitale de încredere, voluntare și controlate de utilizator, care să fie recunoscută în întreaga Uniune și care să permită fiecărui utilizator să aibă controlul asupra propriilor date în cadrul interacțiunilor în mediul online.

(4)

„Declarația europeană privind drepturile și principiile digitale pentru deceniul digital” proclamată de Parlamentul European, Consiliu și Comisie (6) (denumită în continuare „declarația”) subliniază dreptul fiecărei persoane de a avea acces la tehnologii, produse și servicii digitale care, din momentul conceperii, sunt sigure și securizate și protejează viața privată. Aceasta include asigurarea faptului că tuturor persoanelor care trăiesc în Uniune li se oferă o identitate digitală accesibilă, securizată și de încredere care să permită accesul la o gamă largă de servicii online și offline, protejată împotriva riscurilor de securitate cibernetică și a criminalității informatice, inclusiv împotriva încălcării securității datelor și a furtului de identitate sau a manipulării identității. Declarația prevede, de asemenea, că fiecare persoană are dreptul la protecția datelor sale cu caracter personal. Acest drept include controlul asupra modului în care sunt utilizate datele și asupra celor cu care sunt partajate datele.

(5)

Toți cetățenii Uniunii și rezidenții din Uniune ar trebui să aibă dreptul la o identitate digitală care să se afle sub controlul lor exclusiv și care să le permită să își exercite drepturile în mediul digital și să participe la economia digitală. Pentru atingerea acestui obiectiv, ar trebui să fie instituit un cadru european pentru identitatea digitală care să le permită cetățenilor Uniunii și rezidenților din Uniune să aibă acces la servicii publice și private online și offline în întreaga Uniune.

(6)

Un cadru armonizat privind identitatea digitală ar trebui să contribuie la crearea unei Uniuni mai integrate din punct de vedere digital, prin reducerea barierelor digitale dintre statele membre și prin capacitarea cetățenilor Uniunii și a rezidenților din Uniune să se bucure de avantajele digitalizării, sporind în același timp transparența și protecția drepturilor lor.

(7)

O abordare mai armonizată a identificării electronice ar trebui să reducă riscurile și costurile fragmentării actuale cauzate de utilizarea unor soluții naționale divergente sau, în unele state membre, de lipsa unor astfel de soluții de identificare electronică. O astfel de abordare ar trebui să consolideze piața internă, permițând cetățenilor Uniunii, rezidenților din Uniune, astfel cum sunt definiți în dreptul intern, și întreprinderilor să se identifice și să furnizeze autentificarea identității lor online și offline într-un mod sigur, demn de încredere, ușor de utilizat, convenabil, accesibil și armonizat în întreaga Uniune. Portofelul european pentru identitatea digitală ar trebui să ofere persoanelor fizice și juridice din întreaga Uniune un mijloc armonizat de identificare electronică care să permită autentificarea și partajarea datelor legate de identitatea lor. Orice persoană ar trebui să poată avea acces în condiții de siguranță la serviciile publice și private cu ajutorul unui ecosistem îmbunătățit de servicii de încredere și al unor dovezi ale identității și atestate electronice ale atributelor verificate, cum sunt de exemplu calificările academice, inclusiv diplomele universitare sau alte calificări educaționale sau profesionale. Cadrul european pentru identitatea digitală este menit să realizeze o tranziție de la utilizarea în mod exclusiv a soluțiilor naționale de identitate digitală la furnizarea de atestate electronice ale atributelor, valabile și recunoscute legal în întreaga Uniune. Furnizorii de atestate electronice ale atributelor ar trebui să beneficieze de un set de norme clar și uniform, în timp ce administrațiile publice ar trebui să se poată baza pe documente electronice într-un format determinat.

(8)

O serie de state membre au implementat și utilizează mijloace de identificare electronică ce sunt acceptate de prestatorii de servicii din Uniune. În plus, s-au realizat investiții în soluții naționale și transfrontaliere pe baza Regulamentului (UE) nr. 910/2014, inclusiv în ceea ce privește interoperabilitatea sistemelor de identificare electronică notificate în temeiul regulamentului respectiv. Pentru a asigura complementaritatea și adoptarea rapidă a portofelelor europene pentru identitatea digitală de către utilizatorii actuali ai mijloacelor de identificare electronică notificate, precum și pentru a reduce la minim impactul asupra prestatorilor de servicii existenți, se consideră că portofelele europene pentru identitatea digitală ar trebui să fructifice experiența dobândită cu mijloacele de identificare electronică existente și să profite de infrastructura sistemelor de identificare electronică notificate implementate la nivelul Uniunii și la nivel național.

(9)

Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului (7) și, după caz, Directiva 2002/58/CE a Parlamentului European și a Consiliului (8) se aplică tuturor activităților de prelucrare a datelor cu caracter personal în temeiul Regulamentului (UE) nr. 910/2014. Soluțiile în temeiul cadrului de interoperabilitate prevăzut în prezentul regulament respectă, de asemenea, normele respective. Dreptul Uniunii în materie de protecție a datelor prevede principii de protecție a datelor, cum ar fi principiul și obligațiile privind reducerea la minimum a datelor și limitarea scopului, cum ar fi protecția datelor începând cu momentul conceperii și în mod implicit.

(10)

Pentru a sprijini competitivitatea întreprinderilor Uniunii, prestatorii de servicii atât online cât și offline ar trebui să se poată baza pe soluții de identitate digitală recunoscute în întreaga Uniune, indiferent de statul membru în care soluțiile respective sunt puse la dispoziție, și să beneficieze astfel de o abordare europeană armonizată în materie de încredere, securitate și interoperabilitate. Atât utilizatorii, cât și prestatorii de servicii ar trebui să poată beneficia de atestate electronice ale atributelor care să aibă aceeași valoare juridică în întreaga Uniune. Un cadru armonizat privind identitatea digitală este menit să creeze valoare economică prin facilitarea accesului la bunuri și servicii și prin reducerea semnificativă a costurilor operaționale legate de procedurile de identificare și de autentificare electronică, de exemplu în timpul integrării noilor clienți, prin reducerea potențialului de criminalitate informatică, cum ar fi furtul de identitate, furtul de date și frauda online, promovând astfel creșterea eficienței și transformarea digitală sigură a microîntreprinderilor și a întreprinderilor mici și mijlocii (IMM-uri) din Uniune.

(11)

Portofelele europene pentru identitatea digitală ar trebui să faciliteze aplicarea principiului „doar o singură dată”, reducând astfel sarcina administrativă și sprijinind mobilitatea transfrontalieră a cetățenilor Uniunii și rezidenților din Uniune și a întreprinderilor din întreaga Uniune și promovând dezvoltarea unor servicii interoperabile de e-guvernare în întreaga Uniune.

(12)

Regulamentul (UE) 2016/679, Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului (9) și Directiva 2002/58/CE se aplică prelucrării datelor cu caracter personal în contextul punerii în aplicare a prezentului regulament. Prin urmare, prezentul regulament ar trebui să prevadă garanții specifice pentru a împiedica furnizorii de mijloace de identificare electronică și de atestare electronică a atributelor să combine datele cu caracter personal obținute atunci când prestează alte servicii cu datele cu caracter personal prelucrate pentru a presta serviciile care intră în domeniul de aplicare al prezentului regulament. Datele cu caracter personal legate de furnizarea de portofele europene pentru identitatea digitală ar trebui păstrate separate logic de orice alte date deținute de furnizorul portofelului european pentru identitatea digitală. Prezentul regulament nu ar trebui să îi împiedice pe furnizorii de portofele europene pentru identitatea digitală să aplice măsuri tehnice suplimentare care să contribuie la protecția datelor cu caracter personal, cum ar fi separarea fizică a datelor cu caracter personal legate de furnizarea portofelelor europene pentru identitatea digitală de orice alte date deținute de furnizor. Fără a aduce atingere Regulamentului (UE) 2016/679, prezentul regulament precizează mai detaliat aplicarea principiilor limitării scopului, reducerii la minimum a datelor și protecției datelor începând cu momentul conceperii și în mod implicit.

(13)

Portofelele europene pentru identitatea digitală ar trebui să aibă încorporată prin concepție funcția de tablou de bord comun, pentru a asigura un grad mai mare de transparență, de protejare a vieții private și de control al utilizatorilor asupra datelor cu caracter personal proprii. Funcția respectivă ar trebui să ofere o interfață simplă și ușor de utilizat care să ofere o imagine de ansamblu a tuturor beneficiarilor cu care utilizatorul partajează date, inclusiv atribute, precum și tipul de date partajate cu fiecare beneficiar. Aceasta ar trebui să le permită utilizatorilor să urmărească toate tranzacțiile executate prin intermediul portofelului european pentru identitatea digitală cu cel puțin următoarele date: ora și data tranzacției, identificarea contrapărții, datele cu caracter personal solicitate și datele partajate. Informațiile respective ar trebui să fie stocate chiar dacă tranzacția nu a fost încheiată. Nu ar trebui să fie posibilă negarea autenticității informațiilor conținute în istoricul tranzacțiilor. O astfel de funcție ar trebui să fie activă în mod implicit. Aceasta ar trebui să le permită utilizatorilor să solicite cu ușurință ștergerea imediată de către un beneficiar a datele cu caracter personal în temeiul articolului 17 din Regulamentul (UE) 2016/679 și să raporteze cu ușurință beneficiarul autorității naționale competente pentru protecția datelor în cazul în care se primește o cerere presupus ilegală sau suspectă de date cu caracter personal, direct de la portofelul european pentru identitatea digitală.

(14)

Statele membre ar trebui să integreze diferite tehnologii de protejare a vieții private, cum ar fi dovada de zero cunoștințe („zero knowledge proof”), în portofelul european pentru identitatea digitală. Aceste metode criptografice ar trebui să permită unui beneficiar să valideze dacă o anumită declarație bazată pe datele de identificare ale persoanei și pe atestarea atributelor este adevărată, fără a dezvălui datele pe care se bazează declarația respectivă, protejând astfel viața privată a utilizatorului.

(15)

Prezentul regulament stabilește condiții armonizate pentru instituirea unui cadru corespunzător pentru portofelele europene pentru identitatea digitală care urmează să fie furnizate de statele membre. Toți cetățenii Uniunii, precum și rezidenții din Uniune, astfel cum sunt definiți în dreptul intern, ar trebui să fie abilitați să solicite, să selecteze, să combine, să stocheze, să șteargă, să partajeze și să prezinte în condiții de siguranță date privind identitatea lor și să solicite ștergerea datelor lor cu caracter personal într-un mod ușor de utilizat și practic, exclusiv sub controlul utilizatorului, permițând în același timp divulgarea selectivă a datelor cu caracter personal. Prezentul regulament reflectă valorile europene comune și respectă drepturile fundamentale, garanțiile juridice și răspunderea, protejând astfel societățile democratice, cetățenii Uniunii și rezidenții din Uniune. Tehnologiile utilizate pentru atingerea acestor obiective ar trebui să fie dezvoltate cu scopul de a se atinge cel mai înalt nivel de securitate, de confidențialitate, de confort pentru utilizatori, de accesibilitate, de utilizare pe scară largă și de interoperabilitate neîntreruptă. Statele membre ar trebui să asigure accesul egal la identificarea electronică pentru toți cetățenii și rezidenții lor. Statele membre nu ar trebui să limiteze, în mod direct sau indirect, accesul la serviciile publice sau private pentru persoanele fizice sau juridice care nu optează pentru utilizarea portofelelor europene pentru identitatea digitală și ar trebui să pună la dispoziție soluții alternative adecvate.

(16)

Statele membre ar trebui să se bazeze pe posibilitățile oferite de prezentul regulament pentru a furniza, sub responsabilitatea lor, portofele europene pentru identitatea digitală în vederea utilizării de către persoanele fizice și juridice care își au reședința pe teritoriul lor. Pentru a oferi statelor membre flexibilitate și a valorifica tehnologia de ultimă generație, prezentul regulament ar trebui să permită furnizarea portofelelor europene pentru identitatea digitală direct de către un stat membru, în temeiul unui mandat din partea unui stat membru sau independent de un stat membru, dar recunoscute de statul membru respectiv.

(17)

În scopul înregistrării, beneficiarii ar trebui să furnizeze informațiile necesare pentru a permite identificarea și autentificarea lor electronică către portofelele europene pentru identitatea digitală. Atunci când declară utilizarea preconizată a portofelului european pentru identitatea digitală, beneficiarii ar trebui să furnizeze informații cu privire la datele pe care le vor solicita, dacă este cazul, pentru a-și furniza serviciile și la motivul cererii. Înregistrarea beneficiarului facilitează verificarea de către statele membre a legalității activităților beneficiarilor în conformitate cu dreptul Uniunii. Obligația de înregistrare prevăzută în prezentul regulament nu ar trebui să aducă atingere obligațiilor prevăzute în alte dispoziții de drept al Uniunii sau de drept intern, cum ar fi informațiile care trebuie să fie furnizate persoanelor vizate în temeiul Regulamentului (UE) 2016/679. Beneficiarii ar trebui să asigure garanțiile oferite de articolele 35 și 36 din regulamentul respectiv, în special prin realizarea unor evaluări ale impactului asupra protecției datelor și prin consultarea autorităților competente pentru protecția datelor înainte de prelucrarea datelor în cazul în care evaluările impactului asupra protecției datelor indică faptul că prelucrarea ar conduce la un risc ridicat. Astfel de garanții ar trebui să sprijine prelucrarea legală a datelor cu caracter personal de către beneficiari, în special în ceea ce privește categoriile speciale de date, cum ar fi datele privind sănătatea. Înregistrarea beneficiarilor este menită să sporească transparența și încrederea în utilizarea portofelelor europene pentru identitatea digitală. Înregistrarea ar trebui să fie eficientă din punctul de vedere al costurilor și proporțională cu riscurile aferente, pentru a asigura adoptarea de către prestatorii de servicii. În acest context, înregistrarea ar trebui să prevadă utilizarea unor proceduri automatizate, inclusiv recurgerea la registrele existente și utilizarea acestora de către statele membre, și nu ar trebui să implice un proces de preautorizare. Procesul de înregistrare ar trebui să permită o varietate de cazuri de utilizare care pot fi diferite în ceea ce privește modul de operare, fie online, fie offline, sau în ceea ce privește cerința de autentificare a dispozitivelor în scopul interfeței cu portofelul european pentru identitatea digitală. Înregistrarea ar trebui să se aplice exclusiv beneficiarilor care furnizează servicii prin intermediul interacțiunii digitale.

(18)

Protejarea cetățenilor Uniunii și a rezidenților din Uniune împotriva utilizării neautorizate sau frauduloase a portofelelor europene pentru identitatea digitală este extrem de importantă pentru asigurarea încrederii în portofelele europene pentru identitatea digitală și pentru adoptarea pe scară largă a acestora. Utilizatorii ar trebui să beneficieze de o protecție eficace împotriva unei astfel de utilizări abuzive. În special, atunci când faptele care stau la baza utilizării frauduloase sau ilegale în alt mod a unui portofel european pentru identitatea digitală sunt constatate de o autoritate judiciară națională în contextul unei alte proceduri, organismele de supraveghere care sunt responsabile de emitenții portofelului european pentru identitatea digitală ar trebui, după notificare, să ia măsurile necesare pentru a se asigura că înregistrarea beneficiarului și includerea beneficiarilor în mecanismul de autentificare sunt retrase sau suspendate până când autoritatea de notificare confirmă că neregulile identificate au fost remediate.

(19)

Toate portofelele europene pentru identitatea digitală ar trebui să le permită utilizatorilor identificarea și autentificarea electronică online și offline, la nivel transfrontalier, în vederea accesării unei game largi de servicii publice și private. Fără a aduce atingere prerogativelor statelor membre în ceea ce privește identificarea cetățenilor și rezidenților lor, portofelele europene pentru identitatea digitală pot răspunde și nevoilor instituționale ale administrațiilor publice, ale organizațiilor internaționale și ale instituțiilor, organelor, oficiilor și agențiilor Uniunii. Autentificarea offline ar fi importantă în numeroase sectoare, inclusiv în sectorul sănătății, unde serviciile sunt adesea furnizate prin interacțiune directă și unde verificarea autenticității prescripțiilor electronice ar trebui să se poată face cu ajutorul codurilor QR sau al unor tehnologii similare. Bazate fiind pe nivelul de asigurare ridicat în ceea ce privește sistemele de identificare electronică, portofelele europene pentru identitatea digitală ar trebui să profite de potențialul oferit de soluțiile inviolabile, cum ar fi elementele de securitate, pentru a respecta cerințele în materie de securitate prevăzute în prezentul regulament. De asemenea, portofelele europene pentru identitatea digitală ar trebui să le permită utilizatorilor să creeze și să utilizeze semnături și sigilii electronice calificate care sunt acceptate în întreaga Uniune. Odată ce s-au integrat în sistemul reprezentat de portofelul european pentru identitatea digitală, persoanele fizice ar trebui să îl poată utiliza pentru a semna cu semnături electronice calificate, în mod implicit și gratuit, fără a fi nevoite să parcurgă proceduri administrative suplimentare. Utilizatorii ar trebui să poată să semneze sau să sigileze afirmațiile sau atributele autorevendicate. Pentru a obține beneficii în materie de simplificare și de reducere a costurilor pentru persoanele și întreprinderile din întreaga Uniune, inclusiv prin validarea competențelor de reprezentare și a mandatelor electronice, statele membre ar trebui să furnizeze portofele europene pentru identitatea digitală care să se bazeze pe standarde și specificații tehnice comune pentru a asigura interoperabilitatea neîntreruptă și a spori în mod adecvat nivelul de securitate informatică, pentru a consolida robustețea împotriva atacurilor cibernetice și a reduce, astfel, în mod semnificativ riscurile potențiale ale digitalizării în curs pentru cetățenii Uniunii, rezidenții din Uniune și întreprinderi. Numai autoritățile competente ale statelor membre pot oferi un nivel ridicat de încredere în stabilirea identității unei persoane și astfel pot oferi garanția că persoana care pretinde sau declară o anumită identitate este într-adevăr persoana care pretinde că este. Prin urmare, furnizarea portofelelor europene pentru identitatea digitală este necesar să se bazeze pe recurgerea la identitatea juridică a cetățenilor Uniunii, a rezidenților din Uniune sau a persoanelor juridice. Recurgerea la identitatea juridică nu ar trebui să împiedice utilizatorii portofelului european pentru identitatea digitală să acceseze servicii sub un pseudonim, în cazul în care nu există nicio cerință legală privind identitatea juridică pentru autentificare. Încrederea în portofelele europene pentru identitatea digitală ar fi consolidată prin faptul că părților emitente și celor care le gestionează li se solicită să pună în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura cel mai ridicat nivel de securitate care să fie proporțional cu riscurile la adresa drepturilor și libertăților persoanelor fizice, în conformitate cu Regulamentul (UE) 2016/679.

(20)

Utilizarea unei semnături electronice calificate ar trebui să fie gratuită pentru toate persoanele fizice în scopuri neprofesionale. Statele membre ar trebui să aibă posibilitatea să prevadă măsuri de prevenire a utilizării gratuite a semnăturilor electronice calificate în scopuri profesionale de către persoanele fizice, asigurându-se, în același timp, că orice astfel de măsuri sunt proporționale cu riscurile identificate și sunt justificate.

(21)

Este benefic să se faciliteze adoptarea pe scară largă și utilizarea portofelelor europene pentru identitatea digitală prin integrarea fără sincope a acestora în ecosistemul serviciilor digitale publice și private deja implementate la nivel național, local sau regional. Pentru a atinge acest obiectiv, ar trebui să fie posibil pentru statele membre să prevadă măsuri juridice și organizatorice pentru a spori flexibilitatea pentru furnizorii de portofele europene pentru identitatea digitală și pentru a permite funcționalități suplimentare ale portofelelor europene pentru identitatea digitală față de cele prevăzute în prezentul regulament, inclusiv printr-o interoperabilitate sporită cu mijloacele naționale de identificare electronică existente. Aceste funcționalități suplimentare nu ar trebui în niciun caz să fie în detrimentul asigurării funcțiilor de bază ale portofelelor europene pentru identitatea digitală prevăzute în prezentul regulament sau să promoveze soluțiile naționale existente în detrimentul portofelelor europene pentru identitatea digitală. Întrucât depășesc cadrul prezentului regulament, aceste funcționalități suplimentare nu intră sub incidența dispozițiilor privind utilizarea transfrontalieră a portofelelor europene pentru identitatea digitală prevăzute în prezentul regulament.

(22)

Portofelele europene pentru identitatea digitală ar trebui să includă o funcționalitate care să genereze pseudonime alese și gestionate de utilizator, în vederea autentificării atunci când se accesează servicii online.

(23)

Pentru a atinge un nivel ridicat de securitate și fiabilitate, prezentul regulament stabilește cerințele în ceea ce privește portofelele europene pentru identitate digitală. Conformitatea portofelelor europene pentru identitatea digitală cu cerințele respective ar trebui să fie certificată de organisme acreditate de evaluare a conformității desemnate de statele membre.

(24)

Pentru a evita abordările divergente și a armoniza punerea în aplicare a cerințelor prevăzute în prezentul regulament, în vederea certificării portofelelor europene pentru identitatea digitală, Comisia ar trebui să adopte acte de punere în aplicare prin care să stabilească o listă de standarde de referință și, dacă este necesar, specificații și proceduri privind exprimarea specificațiilor tehnice detaliate ale cerințelor respective. În măsura în care certificarea conformității portofelelor europene pentru identitatea digitală cu cerințele relevante în materie de securitate cibernetică nu intră sub incidența sistemelor existente de certificare a securității cibernetice menționate în prezentul regulament și în ceea ce privește cerințele care nu sunt de securitate cibernetică relevante pentru portofelele europene pentru identitatea digitală, statele membre ar trebui să instituie sisteme naționale de certificare în temeiul cerințelor armonizate prevăzute și adoptate în temeiul prezentului regulament. Statele membre ar trebui să transmită Grupului european de cooperare privind identitatea digitală proiectele lor de sisteme de certificare naționale, iar grupul de cooperare ar trebui să poată emite avize și recomandări.

(25)

Certificarea conformității cu cerințele de securitate cibernetică stabilite în prezentul regulament ar trebui, dacă este disponibilă, să se bazeze pe sistemele europene de certificare a securității cibernetice relevante instituite în temeiul Regulamentului (UE) 2019/881 al Parlamentului European și al Consiliului (10), care instituie un cadru european voluntar de certificare a securității cibernetice pentru produsele, procesele și serviciile TIC.

(26)

Pentru a evalua și a atenua în permanență riscurile legate de securitate, portofelele europene pentru identitatea digitală certificate ar trebui să facă obiectul unor evaluări periodice ale vulnerabilității menite să detecteze orice vulnerabilitate a componentelor legate de produse certificate, procese certificate și serviciile certificate ale portofelului european pentru identitatea digitală.

(27)

Prin protejarea utilizatorilor și a întreprinderilor de riscurile de securitate cibernetică, cerințele esențiale de securitate cibernetică prevăzute în prezentul regulament contribuie, de asemenea, la îmbunătățirea protecției datelor cu caracter personal și a vieții private a persoanelor. Ar trebui avute în vedere sinergii atât în ceea ce privește standardizarea, cât și certificarea cu privire la aspectele legate de securitatea cibernetică prin cooperarea dintre Comisie, organizațiile europene de standardizare, Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA), Comitetul european pentru protecția datelor instituit prin Regulamentul (UE) 2016/679 și autoritățile naționale de supraveghere a protecției datelor.

(28)

Integrarea cetățenilor Uniunii și a rezidenților din Uniune în sistemul reprezentat de portofelul european pentru identitatea digitală ar trebui să fie facilitată prin utilizarea mijloacelor de identificare electronică emise cu un nivel de asigurare ridicat. Mijloacele de identificare electronică emise cu un nivel de asigurare substanțial ar trebui să fie utilizate numai în cazul în care specificații tehnice și proceduri armonizate care utilizează mijloace de identificare electronică emise cu un nivel de asigurare substanțial în combinație cu alte mijloace suplimentare de verificare a identității vor permite îndeplinirea cerințelor prevăzute în prezentul regulament în ceea ce privește nivelul de asigurare ridicat. Astfel de mijloace suplimentare ar trebui să fie fiabile și ușor de utilizat și s-ar putea baza pe posibilitatea de a utiliza proceduri de integrare de la distanță, certificate calificate susținute de semnături electronice calificate, atestate electronice calificate ale atributelor sau o combinație a acestora. Pentru a asigura adoptarea pe scară suficient de largă a portofelelor europene pentru identitatea digitală, ar trebui stabilite, prin acte de punere în aplicare, specificații tehnice și proceduri armonizate pentru integrarea utilizatorilor prin utilizarea mijloacelor de identificare electronică, inclusiv a celor emise cu un nivel de asigurare substanțial.

(29)

Obiectivul prezentului regulament este de a oferi utilizatorului un portofel european pentru identitatea digitală integral mobil, sigur și ușor de utilizat. Ca măsură tranzitorie până la apariția unor soluții certificate inviolabile, cum ar fi elementele de securitate încorporate în dispozitivele utilizatorilor, portofelele europene pentru identitatea digitală ar trebui să se poată baza pe elemente de securitate certificate externe pentru protecția materialului criptografic și a altor date cu caracter sensibil sau pe mijloace de identificare electronică notificate cu un nivel de asigurare ridicat pentru a demonstra conformitatea cu cerințele relevante ale prezentului regulament în ceea ce privește nivelul de asigurare al portofelului european pentru identitatea digitală. Prezentul regulament nu ar trebui să aducă atingere condițiilor naționale privind emiterea și utilizarea elementelor de securitate certificate externe în cazul în care măsura tranzitorie se bazează pe astfel de elemente.

(30)

Portofelele europene pentru identitatea digitală ar trebui să asigure cel mai înalt nivel de protecție și de securitate a datelor în scopul identificării și autentificării electronice pentru a facilita accesul la serviciile publice și private, indiferent dacă aceste date sunt stocate la nivel local sau prin soluții de tip cloud, luând în considerare în mod corespunzător diferitele niveluri de risc.

(31)

Portofelele europene pentru identitatea digitală ar trebui să fie securizate de la stadiul conceperii și ar trebui să pună în aplicare elemente de securitate avansate pentru a proteja împotriva furtului de identitate și de alte date, a refuzării serviciului și a oricărei alte amenințări cibernetice. O astfel de securitate ar trebui să includă metode de criptare și stocare de ultimă generație care să fie accesibile numai utilizatorului, care să poată fi decriptate numai de către utilizator și care să se bazeze pe comunicații criptate de la un capăt la altul cu alte portofele europene pentru identitatea digitală și cu beneficiarii. În plus, portofelele europene pentru identitatea digitală ar trebui să necesite o confirmare sigură, explicită și activă din partea utilizatorului pentru operațiunile efectuate prin intermediul portofelelor europene pentru identitatea digitală.

(32)

Utilizarea gratuită a portofelelor europene pentru identitatea digitală nu ar trebui să conducă la o prelucrare a datelor mai mult decât este necesar pentru furnizarea de servicii specifice portofelelor europene pentru identitatea digitală. Prezentul regulament nu ar trebui să permită prelucrarea datelor cu caracter personal, stocate în portofelul european pentru identitatea digitală sau care rezultă din utilizarea acestuia, de către furnizorul portofelului european pentru identitatea digitală în alte scopuri decât furnizarea de servicii specifice portofelelor europene pentru identitatea digitală. Pentru a asigura protejarea vieții private, furnizorii de portofele europene pentru identitatea digitală ar trebui să asigure neobservabilitatea prin faptul că nu colectează date și nu cunosc tranzacțiile utilizatorilor portofelului european pentru identitatea digitală. Această neobservabilitate înseamnă că furnizorii nu pot vedea detaliile tranzacțiilor efectuate de utilizator. Cu toate acestea, în cazuri specifice, pe baza consimțământului prealabil explicit al utilizatorului în fiecare dintre aceste cazuri specifice și în deplină conformitate cu Regulamentul (UE) 2016/679, furnizorilor de portofele europene pentru identitatea digitală li s-ar putea acorda acces la informațiile necesare pentru furnizarea unui anumit serviciu legat de portofelele europene pentru identitatea digitală.

(33)

Transparența portofelelor europene pentru identitatea digitală și responsabilitatea furnizorilor acestora reprezintă elemente esențiale pentru a crea încredere socială și a declanșa acceptarea cadrului. Prin urmare, funcționarea portofelelor europene pentru identitatea digitală ar trebui să fie transparentă și, în special, să permită prelucrarea verificabilă a datelor cu caracter personal. Pentru a realiza acest lucru, statele membre ar trebui să divulge codul sursă al componentelor de software ale aplicației pentru utilizatori a portofelelor europene pentru identitatea digitală, inclusiv cele care au legătură cu prelucrarea datelor cu caracter personal și a datelor persoanelor juridice. Publicarea acestui cod sursă sub o licență cu sursă deschisă ar trebui să permită societății, inclusiv utilizatorilor și dezvoltatorilor, să înțeleagă funcționarea, să auditeze și să revizuiască codul. Acest lucru ar spori încrederea utilizatorilor în ecosistem și ar contribui la securitatea portofelelor europene pentru identitatea digitală, dând posibilitatea oricărei persoane să raporteze vulnerabilități și erori identificate în cod. În general, acest lucru ar trebui să ofere furnizorilor un stimulent pentru a furniza și a menține un produs foarte sigur. Cu toate acestea, în anumite cazuri, divulgarea codului sursă pentru bibliotecile utilizate, canalul de comunicare sau alte elemente care nu sunt găzduite pe dispozitivul utilizatorului ar putea fi limitată de statele membre, din motive justificate în mod corespunzător, în special în scopul siguranței publice.

(34)

Utilizarea portofelelor europene pentru identitatea digitală, precum și întreruperea utilizării acestora ar trebui să fie dreptul exclusiv și alegerea utilizatorilor. Statele membre ar trebui să elaboreze proceduri simple și sigure pentru ca utilizatorii să solicite revocarea imediată a valabilității portofelelor europene pentru identitatea digitală, inclusiv în caz de pierdere sau de furt. În cazul decesului utilizatorului sau al încetării activității unei persoane juridice, ar trebui să fie stabilit un mecanism care să permită autorității responsabile cu stabilirea succesiunii persoanei fizice sau a activelor persoanei juridice să solicite revocarea imediată a portofelelor europene pentru identitatea digitală.

(35)

Pentru a promova adoptarea portofelelor europene pentru identitatea digitală și utilizarea pe scară mai largă a identităților digitale, statele membre ar trebui nu numai să promoveze beneficiile serviciilor relevante, ci și, în cooperare cu sectorul privat, cu cercetătorii și cu mediul academic, să dezvolte programe de instruire menite să întărească competențele digitale ale cetățenilor și rezidenților lor, în special pentru grupurile vulnerabile, cum ar fi persoanele cu dizabilități și persoanele în vârstă. Statele membre ar trebui de asemenea să informeze publicul despre beneficiile și riscurile portofelelor europene pentru identitatea digitală prin intermediul campaniilor de comunicare.

(36)

Pentru a se asigura faptul că, în ceea ce privește cadrul european pentru identitatea digitală, acesta este deschis inovării, dezvoltării tehnologice și este adaptat exigențelor viitorului, statele membre sunt încurajate să creeze, împreună, spații de testare comune pentru a testa soluții inovatoare într-un mediu controlat și sigur, în special pentru a îmbunătăți funcționalitatea, protecția datelor cu caracter personal, securitatea și interoperabilitatea soluțiilor, precum și pentru a fundamenta viitoarele actualizări în materie de referințe tehnice și cerințe legale. Mediul respectiv ar trebui să încurajeze includerea IMM-urilor, a întreprinderilor nou-înființate și a inovatorilor și cercetătorilor individuali, precum și a părților interesate relevante din industrie. Astfel de inițiative ar trebui să contribuie la respectarea reglementărilor și la robustețea tehnică a portofelelor europene pentru identitatea digitală, și să le consolideze, portofele care urmează să fie furnizate cetățenilor Uniunii și rezidenților din Uniune, prevenind astfel dezvoltarea de soluții care nu respectă dreptul Uniunii privind protecția datelor sau care sunt deschise vulnerabilităților în materie de securitate.

(37)

Regulamentul (UE) 2019/1157 al Parlamentului European și al Consiliului (11) prevede întărirea securității cărților de identitate cu elemente de securitate mărită până în august 2021. Statele membre ar trebui să ia în considerare posibilitatea notificării acestora în cadrul sistemelor de identificare electronică, în scopul extinderii disponibilității transfrontaliere a mijloacelor de identificare electronică.

(38)

Procesul de notificare a sistemelor de identificare electronică ar trebui să fie simplificat și să fie accelerat pentru a promova accesul la soluții de autentificare și identificare practice, fiabile, sigure și inovatoare și, după caz, pentru a încuraja furnizorii privați de mijloace de identificare să pună la dispoziția autorităților statelor membre sisteme de identificare electronică pentru notificare ca sisteme naționale de identificare electronică în temeiul Regulamentului (UE) nr. 910/2014.

(39)

Simplificarea procedurilor actuale de notificare și de evaluare inter pares va preveni abordările eterogene ale evaluării diferitelor sisteme de identificare electronică notificate și va facilita consolidarea încrederii între statele membre. Mecanismele noi, simplificate, sunt menite să încurajeze cooperarea dintre statele membre în ceea ce privește securitatea și interoperabilitatea sistemelor de identificare electronică notificate ale acestora.

(40)

Statele membre ar trebui să beneficieze de instrumente noi și flexibile pentru a asigura conformitatea cu cerințele prezentului regulament și ale actelor de punere în aplicare relevante adoptate în temeiul acestuia. Prezentul regulament ar trebui să permită statelor membre să utilizeze rapoartele și evaluările efectuate de organismele acreditate de evaluare a conformității, astfel cum se prevede în contextul sistemelor de certificare ce urmează a fi instituite la nivelul Uniunii în temeiul Regulamentului (UE) 2019/881, pentru a-și fundamenta afirmațiile privind alinierea sistemelor sau a unor părți ale acestora la Regulamentul (UE) nr. 910/2014.

(41)

Prestatorii de servicii publice utilizează datele de identificare personală disponibile prin mijloacele de identificare electronică în temeiul Regulamentului (UE) nr. 910/2014 pentru a corela identitatea electronică a utilizatorilor din alte state membre cu datele de identificare personală furnizate utilizatorilor respectivi în statul membru care efectuează procesul de corelare transfrontalieră a identităților. Cu toate acestea, în multe cazuri, în pofida utilizării setului minim de date furnizate în cadrul sistemelor de identificare electronică notificate, asigurarea unei corespondențe exacte a identității atunci când statele membre acționează în calitate de beneficiari necesită informații suplimentare cu privire la utilizator și proceduri specifice de identificare unică complementară care trebuie efectuate la nivel național. Pentru a sprijini în continuare posibilitățile de utilizare a mijloacelor de identificare electronică, pentru a oferi servicii publice online mai bune și pentru a spori securitatea juridică în ceea ce privește identitatea electronică a utilizatorilor, Regulamentul (UE) nr. 910/2014 ar trebui să solicite statelor membre să ia măsuri online specifice pentru a asigura corelarea fără echivoc a identității atunci când utilizatorii intenționează să acceseze servicii publice transfrontaliere online.

(42)

La elaborarea portofelelor europene pentru identitatea digitală, este esențial să fie luate în considerare nevoile utilizatorilor. Ar trebui să fie disponibile cazuri de utilizare și servicii online importante care să se bazeze pe portofelele europene pentru identitatea digitală. Pentru confortul utilizatorilor și pentru a asigura disponibilitatea transfrontalieră a unor astfel de servicii, este important să fie întreprinse acțiuni pentru a facilita o abordare similară în ceea ce privește proiectarea, dezvoltarea și implementarea serviciilor online în toate statele membre. Orientările fără caracter obligatoriu privind modul de proiectare, elaborare și implementare a serviciilor online care se bazează pe portofelele europene pentru identitatea digitală ar putea deveni un instrument util pentru atingerea acestui obiectiv. Astfel de orientări ar trebui să fie elaborate ținând seama de cadrul de interoperabilitate al Uniunii. Statele membre ar trebui să aibă un rol principal în adoptarea acestor orientări.

(43)

În conformitate cu Directiva (UE) 2019/882 a Parlamentului European și a Consiliului (12), persoanele cu dizabilități ar trebui să poată utiliza portofelele europene pentru identitatea digitală, serviciile de încredere și produsele destinate utilizatorului final utilizate la prestarea serviciilor respective, în aceleași condiții ca și ceilalți utilizatori.

(44)

Pentru a asigura aplicarea eficace a prezentului regulament, ar trebui să se stabilească un nivel minim al amenzilor administrative maxime atât pentru prestatorii de servicii de încredere calificați, cât și pentru cei necalificați. Statele membre ar trebui să prevadă sancțiuni efective, proporționale și cu efect de descurajare. La stabilirea sancțiunilor, ar trebui să se țină seama în mod corespunzător de dimensiunea entităților afectate, de modelele lor de afaceri și de gravitatea încălcărilor.

(45)

Statele membre ar trebui să stabilească norme privind sancțiunile care se aplică în cazul unor încălcări cum sunt practicile directe sau indirecte care creează confuzie între serviciile de încredere necalificate și cele calificate sau care conduc la utilizarea abuzivă a mărcii de încredere a UE de către prestatori de servicii de încredere necalificate. Marca de încredere a UE nu ar trebui să fie utilizată în condiții care, în mod direct sau indirect, dau impresia că orice servicii de încredere necalificate oferite de astfel de prestatori ar fi calificate.

(46)

Prezentul regulament nu ar trebui să reglementeze aspectele privind încheierea și valabilitatea contractelor sau a altor obligații juridice, în cazul în care există cerințe cu privire la formă prevăzute de dreptul Uniunii sau dreptul intern. Mai mult, prezentul regulament nu ar trebui să afecteze cerințele naționale cu privire la formă aferente registrelor publice, în special registrelor comerțului și cadastrelor.

(47)

Prestarea și utilizarea serviciilor de încredere și beneficiile aduse în ceea ce privește confortul și securitatea juridică în contextul tranzacțiilor transfrontaliere, în special atunci când sunt utilizate servicii de încredere calificate, capătă o importanță sporită pentru comerțul și cooperarea la nivel internațional. Partenerii internaționali ai Uniunii instituie cadre de încredere inspirate din Regulamentul (UE) nr. 910/2014. Pentru a facilita recunoașterea serviciilor de încredere calificate și a prestatorilor acestora, Comisia poate adopta acte de punere în aplicare pentru a stabili condițiile în care cadrele de încredere ale țărilor terțe ar putea fi considerate echivalente cu cadrul de încredere pentru serviciile de încredere calificate și prestatorii de servicii de încredere calificați care fac obiectul prezentului regulament. O astfel de abordare ar trebui să completeze posibilitatea de recunoaștere reciprocă a serviciilor de încredere și a prestatorilor acestora stabiliți în Uniune și în țări terțe în conformitate cu articolul 218 din Tratatul privind funcționarea Uniunii Europene (TFUE). Atunci când sunt stabilite condițiile în care cadrele de încredere ale țărilor terțe ar putea fi considerate echivalente cu cadrul de încredere pentru serviciile de încredere calificate și prestatorii de servicii de încredere calificați în temeiul Regulamentului (UE) nr. 910/2014, ar trebui să se asigure respectarea dispozițiilor relevante din Directiva (UE) 2022/2555 a Parlamentului European și a Consiliului (13) și din Regulamentul (UE) 2016/679, precum și utilizarea listelor sigure ca elemente esențiale pentru consolidarea încrederii.

(48)

Prezentul regulament ar trebui să încurajeze alegerea și posibilitatea de a trece de la un portofel european pentru identitatea digitală la altul în cazul în care un stat membru a aprobat mai multe soluții pentru portofele europene pentru identitatea digitală pe teritoriul său. Pentru a evita efectele de blocare în astfel de situații, atunci când acest lucru este fezabil din punct de vedere tehnic, furnizorii de portofele europene pentru identitatea digitală ar trebui să asigure, la cererea utilizatorilor portofelului european pentru identitatea digitală, portabilitatea efectivă a datelor și nu ar trebui să li se permită acestor furnizori să utilizeze bariere contractuale, economice sau tehnice pentru a împiedica sau a descuraja trecerea efectivă de la un portofel european pentru identitatea digitală la altul.

(49)

Pentru a asigura buna funcționare a portofelelor europene pentru identitatea digitală, furnizorii de portofele europene pentru identitatea digitală au nevoie de interoperabilitate efectivă și de condiții echitabile, rezonabile și nediscriminatorii pentru ca portofelele europene pentru identitatea digitală să acceseze componente de hardware și de software specifice ale dispozitivelor mobile. Componentele respective ar putea include în special antene de comunicare în câmp apropiat și elemente de securitate, inclusiv carduri cu circuit integrat universal, elemente de securitate încorporate, carduri microSD și Bluetooth cu consum redus de energie. Accesul la componentele respective ar putea fi sub controlul operatorilor de rețele mobile și al producătorilor de echipamente. Prin urmare, în cazul în care este necesar pentru a presta serviciile specifice portofelelor europene pentru identitatea digitală, producătorii de echipamente originale de dispozitive mobile sau furnizorii de servicii de comunicații electronice nu ar trebui să refuze accesul la astfel de componente. În plus, întreprinderilor desemnate drept controlori de acces pentru serviciile de platformă esențiale, astfel cum sunt indicate de Comisie în temeiul Regulamentului (UE) 2022/1925 al Parlamentului European și al Consiliului (14), ar trebui să li se aplice în continuare dispozițiile specifice ale regulamentului menționat, pe baza articolului 6 alineatul (7) din regulamentul respectiv.

(50)

Pentru a raționaliza obligațiile în materie de securitate cibernetică impuse prestatorilor de servicii de încredere, precum și pentru a permite acestor prestatori și autorităților lor competente să beneficieze de cadrul juridic instituit prin Directiva (UE) 2022/2555, se impune serviciilor de încredere să ia măsuri tehnice și organizatorice adecvate în temeiul directivei menționate, cum ar fi măsuri ce vizează defecțiuni ale sistemelor, erori umane, acțiuni răuvoitoare sau fenomene naturale, pentru a gestiona riscurile la adresa securității rețelelor și a sistemelor informatice pe care prestatorii respectivi le utilizează pentru a furniza servicii, precum și pentru a notifica incidente și amenințări cibernetice semnificative în conformitate cu directiva respectivă. În ceea ce privește raportarea incidentelor, prestatorii de servicii de încredere ar trebui să notifice orice incident care are un impact semnificativ asupra prestării serviciilor lor, inclusiv cele cauzate de furtul sau pierderea de dispozitive, de deteriorarea cablurilor de rețea sau de incidentele care survin în contextul identificării persoanelor. Cerințele de gestionare a riscurilor în materie de securitate cibernetică și obligațiile de raportare în temeiul Directivei (UE) 2022/2555 ar trebui să fie considerate complementare cerințelor impuse prestatorilor de servicii de încredere în temeiul prezentului regulament. După caz, autoritățile competente desemnate în temeiul Directivei (UE) 2022/2555 ar trebui să aplice în continuare practicile sau orientările naționale existente în legătură cu punerea în aplicare a cerințelor în materie de securitate și raportare și cu supravegherea conformității cu aceste cerințe în temeiul Regulamentului (UE) nr. 910/2014. Prezentul regulament nu aduce atingere obligației de notificare a încălcărilor securității datelor cu caracter personal în temeiul Regulamentului (UE) 2016/679.

(51)

Ar trebui să se acorde o atenție deosebită asigurării unei cooperări eficace între organismele de supraveghere desemnate în temeiul articolului 46b din Regulamentul (UE) nr. 910/2014 și autoritățile competente desemnate sau înființate în temeiul articolului 8 alineatul (1) din Directiva (UE) 2022/2555. În cazul în care un astfel de organism de supraveghere este altul decât o astfel de autoritate competentă, organismul de supraveghere și autoritatea competentă ar trebui să coopereze îndeaproape, în timp util, prin efectuarea unui schimb de informații relevante, pentru a asigura supravegherea eficace și respectarea de către prestatorii de servicii de încredere a cerințelor prevăzute în Regulamentul (UE) nr. 910/2014 și în Directiva (UE) 2022/2555. În special, organismele de supraveghere desemnate în temeiul Regulamentului (UE) nr. 910/2014 ar trebui să aibă dreptul de a solicita autorităților competente desemnate sau înființate în temeiul Directivei (UE) 2022/2555 să furnizeze informațiile relevante necesare pentru a acorda statutul de calificat și pentru a desfășura acțiuni de supraveghere în scopul de a verifica respectarea de către prestatorii de servicii de încredere a cerințelor relevante în temeiul Directivei (UE) 2022/2555 sau de a le solicita să remedieze situațiile de nerespectare.

(52)

Este esențial să se prevadă un cadru juridic pentru a facilita recunoașterea transfrontalieră între sistemele juridice naționale existente în ceea ce privește serviciile de distribuție electronică înregistrată. Acest cadru ar putea genera, de asemenea, noi oportunități de piață pentru ca prestatorii de servicii de încredere ai Uniunii să ofere noi servicii de distribuție electronică înregistrată în întreaga Uniune. Pentru a se asigura că datele care utilizează un serviciu de distribuție electronică înregistrată calificat sunt furnizate destinatarului corect, serviciile de distribuție electronică înregistrată calificate ar trebui să asigure cu deplină certitudine identificarea destinatarului, în timp ce un nivel ridicat de încredere ar fi suficient în ceea ce privește identificarea expeditorului. Prestatorii de servicii de distribuție electronică înregistrată calificate ar trebui să fie încurajați de statele membre să facă în așa fel încât serviciile lor să fie interoperabile cu serviciile de distribuție electronică înregistrată calificate furnizate de alți prestatori de servicii de încredere calificați, pentru a transfera cu ușurință datele înregistrate în format electronic între doi sau mai mulți prestatori de servicii de încredere calificați și pentru a promova practici echitabile pe piața internă.

(53)

În majoritatea cazurilor, cetățenii Uniunii și rezidenții din Uniune nu pot face, la nivel transfrontalier, schimb digital de informații referitoare la identitatea lor, cum ar fi adresa lor, vârstă, calificări profesionale, permis de conducere și alte date privind plăți și permise, în condiții de siguranță și cu un nivel ridicat de protecție a datelor.

(54)

Ar trebui să fie posibil să se elibereze și gestioneze atribute electronice de încredere și să se contribuie la reducerea sarcinii administrative, oferindu-se cetățenilor Uniunii și rezidenților din Uniune posibilitatea de a le utiliza în tranzacțiile lor private și publice. Cetățenii Uniunii și rezidenții din Uniune ar trebui să fie în măsură, de exemplu, să demonstreze că sunt posesori ai unui permis de conducere valabil eliberat de o autoritate dintr-un stat membru, iar autoritățile relevante din alte state membre ar trebui să poată verifica permisul și să se poată baza pe acesta; cetățenii Uniunii și rezidenții din Uniune ar trebui totodată să se poată baza pe credențialele lor în materie de securitate socială sau pe viitoare documente de călătorie digitale în context transfrontalier.

(55)

Orice prestator de servicii care emite atestate electronice ale atributelor, cum ar fi diplome, licențe, certificate de naștere sau împuterniciri și mandate de a reprezenta persoane fizice sau juridice sau de a acționa în numele acestora, ar trebui să fie considerată prestator de servicii de încredere de atestare electronică a atributelor. Unui atestat electronic al atributelor nu ar trebui să i se refuze efectul juridic din motiv că acesta este în format electronic sau că nu îndeplinește cerințele pentru atestatul electronic calificat al atributelor. Ar trebui să fie stabilite cerințe generale pentru a garanta că un atestat electronic calificat al atributelor are efect juridic echivalent cu cel al atestatelor emise în mod legal în format tipărit. Cu toate acestea, cerințele respective ar trebui să se aplice fără a aduce atingere dreptului Uniunii sau dreptului intern care stabilește cerințe sectoriale suplimentare în ceea ce privește forma cu efecte juridice subiacente și, în special, recunoașterea transfrontalieră a atestatului electronic calificat al atributelor, după caz.

(56)

Disponibilitatea și utilizarea pe scară largă a portofelelor europene pentru identitatea digitală ar trebui să sporească gradul de acceptare și încrederea în acestea atât de către persoanele fizice, cât și de către prestatorii privați de servicii. Prin urmare, beneficiarii privați care prestează servicii de exemplu în domeniile transporturilor, energiei, serviciilor bancare și financiare, securității sociale, sănătății, apei potabile, serviciilor poștale, infrastructurii digitale, telecomunicațiilor sau educației ar trebui să accepte utilizarea portofelelor europene pentru identitatea digitală pentru prestarea serviciilor atunci când autentificarea strictă a utilizatorilor pentru identificarea online este obligatorie în temeiul dreptului Uniunii sau al dreptului intern ori al unei obligații contractuale. Orice solicitare din partea beneficiarului de informații de la utilizatorul unui portofel european pentru identificarea digitală ar trebui să fie necesară și proporțională cu utilizarea preconizată într-un anumit caz, ar trebui să respecte principiul reducerii la minimum a datelor și ar trebui să asigure transparența în ceea ce privește datele care sunt partajate și scopurile în care sunt partajate. Pentru a facilita utilizarea și acceptarea portofelelor europene pentru identitatea digitală, la implementarea lor ar trebui să se țină seama de standardele și specificațiile din industrie acceptate pe scară largă.

(57)

În cazul în care platformele online foarte mari în sensul articolului 33 alineatul (1) din Regulamentul (UE) 2022/2065 al Parlamentului European și al Consiliului (15), impun utilizatorilor să fie autentificați pentru a accesa servicii online, aceste platforme ar trebui să aibă obligația să accepte utilizarea portofelelor europene pentru identitatea digitală la cererea voluntară a utilizatorului. Utilizatorii nu ar trebui să fie obligați să utilizeze un portofel european pentru identitatea digitală pentru a accesa servicii private, iar accesul lor la servicii nu ar trebui să fie restricționat sau împiedicat pe motiv că nu utilizează un portofel european pentru identitatea digitală. Cu toate acestea, dacă utilizatorii doresc să utilizeze portofele europene pentru identitatea digitală, platformele online foarte mari ar trebui să le accepte în acest scop, respectând în același timp principiul reducerii la minimum a datelor și dreptul utilizatorilor de a utiliza pseudonime alese în mod liber. Având în vedere importanța platformelor online foarte mari, datorită amplorii lor, în special în ceea ce privește numărul de destinatari ai serviciului și tranzacțiile economice, obligația de a accepta portofele europene pentru identitatea digitală este necesară pentru a spori protecția utilizatorilor împotriva fraudei și pentru a asigura un nivel ridicat de protecție a datelor.

(58)

Ar trebui să fie elaborate coduri de conduită la nivelul Uniunii pentru a contribui la disponibilitatea și utilizarea pe scară largă a mijloacelor de identificare electronică, inclusiv a portofelelor europene pentru identitatea digitală în cadrul domeniului de aplicare al prezentului regulament. Codurile de conduită ar trebui să faciliteze acceptarea pe scară largă a mijloacelor de identificare electronică, inclusiv a portofelelor europene pentru identitatea digitală, de către prestatorii de servicii care nu se califică drept platforme foarte mari și care se bazează pe servicii de identificare electronică furnizate de terți pentru autentificarea utilizatorilor.

(59)

Divulgarea selectivă este un concept care permite proprietarului datelor să divulge numai anumite părți ale unui set de date mai mare, astfel încât entitatea destinatară să obțină numai acele informații care sunt necesare pentru furnizarea unui serviciu solicitat de utilizatorul în cauză. Portofelul european pentru identitatea digitală ar trebui să permită din punct de vedere tehnic divulgarea selectivă a atributelor către beneficiari. Ar trebui să fie posibil din punct de vedere tehnic pentru utilizator să divulge selectiv atribute, inclusiv din mai multe atestate electronice distincte, să le combine și să le prezinte fără întreruperi beneficiarilor. Această caracteristică ar trebui să devină un element de proiectare de bază al portofelelor europene pentru identitatea digitală, consolidând astfel confortul și protecția datelor cu caracter personal, inclusiv reducerea la minimum a datelor.

(60)

Cu excepția cazului în care norme specifice de drept al Uniunii sau de drept intern impun utilizatorilor să se identifice, accesul la servicii prin utilizarea unui pseudonim nu ar trebui să fie interzis.

(61)

Atributele furnizate de prestatorii de servicii de încredere calificați în cadrul atestatului calificat al atributelor ar trebui să fie verificate prin compararea lor cu surse autentice, fie direct de către prestatorul de servicii de încredere calificat, fie prin intermediari desemnați, recunoscuți la nivel național în conformitate cu dreptul Uniunii sau cu dreptul intern, în scopul schimbului securizat de atribute atestate între prestatorii de servicii de identificare sau de atestare a atributelor și beneficiarii acestor servicii. Statele membre ar trebui să instituie mecanisme adecvate la nivel național pentru a se asigura că prestatorii de servicii de încredere calificați care emit atestate electronice calificate ale atributelor sunt în măsură, pe baza consimțământului persoanei căreia i se emite atestatul, să verifice autenticitatea atributelor bazându-se pe surse autentice. Ar trebui să fie posibil ca mecanisme adecvate să includă recurgerea la intermediari specifici sau la soluții tehnice în conformitate cu dreptul intern care permite accesul la surse autentice. Asigurarea disponibilității unui mecanism care permite verificarea atributelor prin compararea lor cu surse autentice este menit să faciliteze respectarea de către prestatorii de servicii de încredere calificați care emit atestate electronice calificate ale atributelor a obligațiilor care le revin în temeiul Regulamentului (UE) nr. 910/2014. O nouă anexă la regulamentul respectiv ar trebui să conțină o listă a categoriilor de atribute în privința cărora statele membre trebuie să se asigure că se iau măsuri pentru a permite prestatorilor calificați care emit atestate electronice ale atributelor să verifice prin mijloace electronice, la cererea utilizatorului, autenticitatea acestora prin comparare cu sursa autentică relevantă.

(62)

Identificarea electronică securizată și furnizarea de atestate ale atributelor ar trebui să ofere flexibilitate și soluții suplimentare pentru sectorul serviciilor financiare în scopul de a permite identificarea clienților și schimbul de atribute specifice necesare pentru a respecta, de exemplu, cerințele de precauție privind clientela în temeiul unui viitor regulament privind înființarea Autorității pentru Combaterea Spălării Banilor și cerințele privind caracterul adecvat care decurg din legislația privind protecția investitorilor, sau în scopul de a sprijini îndeplinirea unor cerințe de autentificare strictă a clienților în cazul identificării online în scopul intrării în cont și al inițierii tranzacțiilor în domeniul serviciilor de plată.

(63)

Efectul juridic al unei semnături electronice nu se contestă pe motivul că aceasta este în format electronic sau că nu îndeplinește cerințele pentru semnătura electronică calificată. Prezentul regulament prevede ca o semnătură electronică calificată să fie considerată echivalentă cu o semnătură olografă. Cu toate acestea, efectul juridic al semnăturilor electronice se stabilește prin dreptul intern, cu excepția cerințelor prevăzute de prezentul regulament potrivit cărora efectul juridic al unei semnături electronice calificate se consideră ca fiind echivalent cu cel al unei semnături olografe. Atunci când stabilesc efectele juridice ale semnăturilor electronice, statele membre ar trebui să țină seama de principiul proporționalității între valoarea juridică a unui document care urmează să fie semnat și nivelul de securitate și costurile pe care le impune o semnătură electronică. Pentru a spori accesibilitatea și utilizarea semnăturilor electronice, statele membre sunt încurajate să ia în considerare utilizarea semnăturilor electronice avansate în tranzacțiile zilnice pentru care oferă un nivel suficient de securitate și încredere.

(64)

Pentru a asigura consecvența practicilor de certificare în întreaga Uniune, Comisia ar trebui să emită orientări privind certificarea și recertificarea dispozitivelor calificate de creare a semnăturilor electronice și a dispozitivelor calificate de creare a sigiliilor electronice, inclusiv privind valabilitatea și limitările în timp ale acestora. Prezentul regulament nu împiedică organismele publice sau private să recertifice temporar astfel de dispozitive pentru o perioadă scurtă de valabilitate a certificării, pe baza rezultatelor celei mai recente proceduri de certificare, atunci când o astfel de recertificare nu poate avea loc în termenul stabilit prin lege pentru orice alt motiv decât o încălcare a securității sau un incident de securitate și fără a aduce atingere obligației de a efectua o evaluare a vulnerabilității și fără a aduce atingere practicii de certificare aplicabile.

(65)

Emiterea certificatelor pentru autentificarea site-urilor internet este destinată să ofere utilizatorilor o garanție cu un nivel ridicat de încredere în ceea ce privește identitatea entității care se află în spatele site-ului internet, indiferent ce platformă este folosită pentru afișarea identității respective. Certificatele respective ar trebui să contribuie la construirea încrederii în desfășurarea de activități comerciale online, întrucât utilizatorii ar avea încredere într-un site internet care a fost autentificat. Utilizarea unor astfel de certificate de către site-uri internet ar trebui să fie voluntară. Pentru ca autentificarea unui site internet să devină un mijloc prin care se sporește încrederea, se oferă utilizatorului o experiență mai bună și se stimulează creșterea economică pe piața internă, prezentul regulament prevede un cadru de încredere care include obligații minime în materie de securitate și răspundere pentru furnizorii certificatelor calificate pentru autentificarea site-urilor internet și cerințe pentru emiterea certificatelor respective. Listele sigure naționale ar trebui să confirme statutul de calificat al serviciilor de autentificare a unui site internet și al prestatorilor lor de servicii de încredere, inclusiv conformitatea deplină a acestora cu cerințele prezentului regulament în ceea ce privește emiterea certificatelor calificate pentru autentificarea unui site internet. Recunoașterea certificatelor calificate pentru autentificarea unui site internet înseamnă că furnizorii de browsere web nu ar trebui să refuze autenticitatea certificatelor calificate pentru autentificarea unui site internet numai cu scopul de a atesta legătura dintre numele de domeniu al site-ului internet și persoana fizică sau juridică căreia i se emite certificatul sau de a confirma identitatea persoanei respective. Furnizorii de browsere web ar trebui să afișeze utilizatorului final datele de identitate certificate și celelalte atribute atestate într-un mod ușor de utilizat în mediul browserului, utilizând mijloacele tehnice alese de aceștia. În acest scop, furnizorii de browsere web ar trebui să asigure asistență și interoperabilitate pentru certificatele calificate pentru autentificarea unui site internet emise cu deplina respectare a prezentului regulament. Obligația de recunoaștere, interoperabilitate și asistență pentru certificatele calificate pentru autentificarea unui site internet nu afectează libertatea furnizorilor de browsere web de a asigura securitatea web, autentificarea domeniilor și criptarea traficului web în maniera și prin intermediul tehnologiei pe care o consideră cea mai adecvată. Pentru a contribui la securitatea online a utilizatorilor finali, furnizorii de browsere web ar trebui, în circumstanțe excepționale, să poată lua măsuri de precauție care sunt atât necesare, cât și proporționale ca răspuns la preocupări motivate referitoare la încălcări ale securității sau la pierderea integrității unui certificat identificat sau a unui set de certificate identificate. În cazul în care iau astfel de măsuri de precauție, furnizorii de browsere web ar trebui să notifice fără întârzieri nejustificate Comisiei, organismului național de supraveghere, entității căreia i-a fost emis certificatul și prestatorului de servicii de încredere calificat care a emis certificatul sau setul de certificate cu privire la orice preocupare referitoare la o astfel de încălcare a securității sau de pierdere a integrității, precum și cu privire la măsurile luate cu privire la certificat sau la setul de certificate. Măsurile respective nu ar trebui să aducă atingere obligației furnizorilor de browsere web de a recunoaște certificatele calificate pentru autentificarea unui site internet în conformitate cu listele sigure naționale. Pentru a proteja suplimentar cetățenii Uniunii și rezidenții din Uniune și pentru a promova utilizarea certificatelor calificate pentru autentificarea unui site internet, autoritățile publice din statele membre ar trebui să ia în considerare includerea certificatelor calificate pentru autentificarea unui site internet în site-urile lor internet. Măsurile prevăzute de prezentul regulament care vizează asigurarea unei coerențe sporite între abordările și practicile divergente ale statelor membre în ceea ce privește procedurile de supraveghere sunt menite să contribuie la îmbunătățirea încrederii în securitatea, calitatea și disponibilitatea certificatelor calificate pentru autentificarea unui site internet.

(66)

Numeroase state membre au introdus cerințe naționale pentru serviciile care oferă arhivare electronică sigură și fiabilă, pentru a permite conservarea pe termen lung a datelor electronice și a documentelor electronice și a serviciilor de încredere conexe. Pentru a asigura securitatea juridică, încrederea și armonizarea între statele membre, ar trebui să fie instituit un cadru juridic pentru serviciile calificate de arhivare electronică, inspirat de cadrul aferent celorlalte servicii de încredere prevăzute în prezentul regulament. Cadrul juridic pentru serviciile calificate de arhivare electronică ar trebui să ofere prestatorilor de servicii de încredere și utilizatorilor un set eficient de instrumente care să includă cerințe funcționale pentru serviciul de arhivare electronică, precum și efecte juridice clare atunci când se utilizează un serviciu calificat de arhivare electronică. Dispozițiile respective ar trebui să se aplice datelor electronice și documentelor constituite în format electronic, precum și documentelor pe suport de hârtie care au fost scanate și digitalizate. Atunci când este necesar, dispozițiile respective ar trebui să permită ca datele electronice și documentele electronice păstrate să fie transferate pe diferite suporturi sau în diferite formate în scopul prelungirii durabilității și lizibilității acestora dincolo de perioada de valabilitate tehnologică, împiedicând în același timp, în cea mai mare măsură posibilă, pierderile și modificările. Atunci când datele electronice și documentele electronice transmise serviciului de arhivare electronică conțin una sau mai multe semnături electronice calificate sau sigilii electronice calificate, serviciul ar trebui să utilizeze proceduri și tehnologii capabile să le extindă fiabilitatea pe toată perioada de păstrare a acestor date, eventual bazându-se pe utilizarea altor servicii de încredere calificate instituite prin prezentul regulament. Pentru a crea dovezi ale conservării în cazul în care se utilizează semnături electronice, sigilii electronice sau mărci temporale electronice, ar trebui să fie utilizate servicii de încredere calificate. În măsura în care serviciile de arhivare electronică nu sunt armonizate prin prezentul regulament, statele membre ar trebui să poată menține sau introduce dispoziții de drept intern, conforme cu dreptul Uniunii, referitoare la aceste servicii, cum ar fi dispoziții specifice pentru serviciile integrate într-o organizație și utilizate exclusiv în scopul arhivării interne în cadrul organizației respective. Prezentul regulament nu ar trebui să facă distincție între datele electronice și documentele constituite în format electronic și documentele fizice care au fost digitalizate.

(67)

Activitățile arhivelor naționale și ale instituțiilor dedicate conservării trecutului, în calitatea lor de organizații dedicate conservării patrimoniului documentar în interes public, sunt, de obicei, reglementate în dreptul intern și nu furnizează neapărat servicii de încredere în sensul prezentului regulament. Atât timp cât aceste instituții nu furnizează astfel de servicii de încredere, prezentul regulament nu aduce atingere funcționării lor.

(68)

Registrele electronice reprezintă o secvență de înregistrări electronice de date care ar trebui să asigure integritatea acestora și acuratețea ordonării lor cronologice. Registrele electronice ar trebui să stabilească o secvență cronologică de înregistrări de date. Împreună cu alte tehnologii, acestea ar trebui să contribuie la găsirea de soluții pentru servicii publice mai eficiente și transformatoare, cum ar fi votul electronic, cooperarea transfrontalieră a autorităților vamale, cooperarea transfrontalieră a institutelor academice și înregistrarea dreptului de proprietate asupra bunurilor imobiliare în registre funciare descentralizate. Registrele electronice calificate ar trebui să stabilească o prezumție legală pentru ordonarea cronologică secvențială unică și exactă și pentru integritatea înregistrărilor de date din registre. Datorită specificului acestora, cum ar fi ordonarea cronologică secvențială a înregistrărilor de date, registrele electronice ar trebui să se distingă de alte servicii de încredere, cum ar fi mărcile temporale electronice și serviciile de distribuție electronică înregistrată. Pentru a asigura securitatea juridică și a promova inovarea, ar trebui să se instituie un cadru juridic la nivelul Uniunii care să prevadă recunoașterea transfrontalieră a serviciilor de încredere pentru înregistrarea datelor în registrele electronice. Acest lucru ar trebui să împiedice în mod suficient copierea și vânzarea aceluiași activ digital de mai multe ori unor părți diferite. Procesul de creare și actualizare a unui registru electronic depinde de tipul de registru utilizat, și anume dacă este centralizat sau distribuit. Prezentul regulament ar trebui să asigure neutralitatea tehnologică, și anume să nu favorizeze și nici să nu discrimineze nicio tehnologie utilizată pentru punerea în aplicare a noului serviciu de încredere pentru registrele electronice. În plus, Comisia ar trebui să țină seama de indicatorii de durabilitate cu privire la orice efect negativ asupra climei sau la alte efecte negative legate de mediu, utilizând metodologii adecvate, atunci când pregătește actele de punere în aplicare care precizează cerințele pentru registrele electronice calificate.

(69)

Rolul prestatorilor de servicii de încredere pentru registrele electronice ar trebui să fie cel de a verifica înregistrarea secvențială a datelor în registru. Prezentul regulament nu aduce atingere niciunei obligații legale a utilizatorilor registrelor electronice în temeiul dreptului Uniunii sau al dreptului intern. De exemplu, cazurile de utilizare care implică prelucrarea datelor cu caracter personal ar trebui să respecte Regulamentul (UE) 2016/679, iar cazurile de utilizare care se referă la servicii financiare ar trebui să respecte legislația relevantă a Uniunii privind serviciile financiare.

(70)

Pentru a evita fragmentarea pieței interne și obstacolele pe această piață, cauzate de standarde divergente și de restricții tehnice, precum și pentru a asigura un proces coordonat în scopul de a evita să fie afectată punerea în aplicare a cadrului european pentru identitatea digitală, este necesar să existe un proces de cooperare strânsă și structurată între Comisie, statele membre, societatea civilă, mediul academic și sectorul privat. Pentru a atinge acest obiectiv, statele membre și Comisia ar trebui să coopereze în cadrul stabilit prin Recomandarea (UE) 2021/946 a Comisiei (16) pentru a identifica un set comun de instrumente la nivelul Uniunii vizând cadrul european pentru identitatea digitală. În acest context, statele membre ar trebui să ajungă la un acord cu privire la o arhitectură tehnică cuprinzătoare și un cadru de referință, un set de standarde comune și de referințe tehnice comune, inclusiv standarde existente recunoscute, precum și un set de orientări și descrieri de bune practici care să privească cel puțin toate funcționalitățile și interoperabilitatea portofelelor europene pentru identitatea digitală, inclusiv semnăturile electronice, și ale prestatorilor de servicii de încredere calificați pentru atestarea electronică a atributelor, astfel cum se prevede în prezentul regulament. În acest context, statele membre ar trebui, de asemenea, să ajungă la un acord cu privire la elementele comune ale unui model de afaceri și ale structurii taxelor aferente portofelelor europene pentru identitatea digitală, pentru a facilita adoptarea acestora, în special de către IMM-uri, în context transfrontalier. Conținutul setului de instrumente ar trebui să evolueze în paralel cu rezultatul discuțiilor și al procesului de adoptare a cadrului european pentru identitatea digitală și să reflecte rezultatele acestora.

(71)

Prezentul regulament prevede un nivel armonizat de calitate, fiabilitate și securitate a serviciilor de încredere calificate, indiferent de locul în care se desfășoară operațiunile. Astfel, un prestator de servicii de încredere calificat ar trebui să fie autorizat să își externalizeze operațiunile legate de prestarea unui serviciu de încredere calificat într-o țară terță, cu condiția ca țara terță respectivă să prevadă garanții adecvate care să asigure că activitățile de supraveghere și auditurile pot fi puse în aplicare ca și cum ar fi efectuate în Uniune. Atunci când respectarea prezentului regulament nu poate fi asigurată pe deplin, organismele de supraveghere ar trebui să poată adopta măsuri proporționate și justificate, inclusiv retragerea statutului de calificat al serviciului de încredere prestat.

(72)

Pentru a asigura securitatea juridică cu privire la valabilitatea semnăturilor electronice avansate bazate pe certificate calificate, este esențial să fie precizată în detaliu evaluarea efectuată de beneficiarul care efectuează validarea respectivei semnături electronice avansate bazate pe certificate calificate.

(73)

Prestatorii de servicii de încredere ar trebui să utilizeze metode criptografice care să reflecte bunele practici actuale și să le implementeze într-un mod demn de încredere pentru a asigura securitatea și fiabilitatea serviciilor lor de încredere.

(74)

Prezentul regulament prevede obligația prestatorilor de servicii de încredere calificați de a verifica identitatea unei persoane fizice sau juridice căreia i se emite certificatul calificat sau atestatul electronic calificat al atributelor pe baza mai multor metode armonizate în întreaga Uniune. Pentru a se asigura că certificatele calificate și atestatele electronice calificate ale atributelor sunt emise persoanei căreia îi aparțin și că acestea atestă setul corect și unic de date care reprezintă identitatea persoanei respective, prestatorii de servicii de încredere calificați care emit certificate calificate sau atestate electronice calificate ale atributelor ar trebui, la momentul emiterii certificatelor și atestatelor respective, să asigure cu certitudine deplină identificarea persoanei respective. În plus, pe lângă verificarea obligatorie a identității persoanei, dacă este cazul pentru emiterea certificatelor calificate și atunci când emit un atestat electronic calificat al atributelor, prestatorii de servicii de încredere calificați ar trebui să asigure cu certitudine deplină corectitudinea și exactitatea atributelor atestate ale persoanei căreia i se emite certificatul calificat sau atestatul electronic calificat al atributelor. Aceste obligații privind rezultatul și certitudinea deplină în ceea ce privește verificarea datelor atestate ar trebui să fie susținute prin mijloace adecvate, inclusiv prin utilizarea unei metode specifice sau, dacă este necesar, a unei combinații de metode specifice prevăzute de prezentul regulament. Ar trebui să fie posibilă combinarea metodelor respective pentru a oferi o bază adecvată pentru verificarea identității persoanei căreia i se emite certificatul calificat sau un atestat electronic calificat al atributelor. O astfel de combinație ar trebui să poată include recurgerea la mijloace de identificare electronică care îndeplinesc cerințele privind nivelul de asigurare substanțial în combinație cu alte mijloace de verificare a identității care ar permite îndeplinirea cerințelor armonizate prevăzute în prezentul regulament în ceea ce privește nivelul de asigurare ridicat ca parte a procedurilor armonizate suplimentare la distanță, asigurând identificarea cu un nivel ridicat de încredere. Aceste metode ar trebui să includă posibilitatea ca prestatorul de servicii de încredere calificat care emite un atestat electronic calificat al atributelor să verifice atributele care urmează să fie atestate prin mijloace electronice la cererea utilizatorului, în conformitate cu dreptul Uniunii sau cu dreptul intern, inclusiv din surse autentice.

(75)

Pentru a menține prezentul regulament aliniat la evoluțiile mondiale și pentru a respecta bunele practici de pe piața internă, actele delegate și actele de punere în aplicare adoptate de Comisie ar trebui să fie revizuite și, dacă este necesar, actualizate periodic. Evaluarea necesității acestor actualizări ar trebui să țină seama de noile tehnologii, practici, standarde sau specificații tehnice.

(76)

Întrucât obiectivele prezentului regulament, și anume dezvoltarea cadrului european pentru identitatea digitală și a unui cadru privind serviciile de încredere la nivelul Uniunii, nu pot fi realizate în mod satisfăcător de către statele membre, dar, având în vedere amploarea și efectele lor, acestea pot fi realizate mai bine la nivelul Uniunii, aceasta poate adopta măsuri, în conformitate cu principiul subsidiarității, astfel cum este prevăzut la articolul 5 din Tratatul privind Uniunea Europeană. În conformitate cu principiul proporționalității, astfel cum este prevăzut la articolul respectiv, prezentul regulament nu depășește ceea ce este necesar pentru realizarea obiectivelor respective.

(77)

Autoritatea Europeană pentru Protecția Datelor a fost consultată în temeiul articolului 42 alineatul (1) din Regulamentul (UE) 2018/1725.

(78)

Prin urmare, Regulamentul (UE) nr. 910/2014 trebuie să fie modificat în consecință,

1.

Articolul 1 se înlocuiește cu următorul text:

2.

Articolul 2 se modifică după cum urmează:

3.

Articolul 3 se modifică după cum urmează:

4.

Articolul 5 se înlocuiește cu următorul text:

5.

În capitolul II, se introduce următoarea secțiune:

(*2)  Directiva (UE) 2019/882 a Parlamentului European și a Consiliului din 17 aprilie 2019 privind cerințele de accesibilitate aplicabile produselor și serviciilor (JO L 151, 7.6.2019, p. 70)."

(*3)  Regulamentul (UE) 2019/881 al Parlamentului European și al Consiliului din 17 aprilie 2019 privind ENISA (Agenția Uniunii Europene pentru Securitate Cibernetică) și privind certificarea securității cibernetice pentru tehnologia informației și comunicațiilor și de abrogare a Regulamentului (UE) nr. 526/2013 (Regulamentul privind securitatea cibernetică) (JO L 151, 7.6.2019, p. 15)."

(*4)  Recomandarea 2003/361/CE a Comisiei din 6 mai 2003 privind definirea microîntreprinderilor și a întreprinderilor mici și mijlocii (JO L 124, 20.5.2003, p. 36)."

(*5)  Regulamentul (UE) 2022/2065 al Parlamentului European și al Consiliului din 19 octombrie 2022 privind o piață unică pentru serviciile digitale și de modificare a Directivei 2000/31/CE (Regulamentul privind serviciile digitale) (JO L 277, 27.10.2022, p. 1).” "

6.

Se introduce următorul titlu înainte de articolul 6:

7.

La articolul 7, litera (g) se înlocuiește cu următorul text:

8.

La articolul 8 alineatul (3), primul paragraf se înlocuiește cu următorul text:

9.

La articolul 9, alineatele (2) și (3) se înlocuiesc cu următorul text:

10.

La articolul 10, titlul se înlocuiește cu următorul text:

„Încălcarea securității sistemelor de identificare electronică”.

11.

Se introduce următorul articol:

12.

Articolul 12 se modifică după cum urmează:

13.

În capitolul II se introduc următoarele articole:

(*6)  Regulamentul (UE) 2022/1925 al Parlamentului European și al Consiliului din 14 septembrie 2022 privind piețe contestabile și echitabile în sectorul digital și de modificare a Directivelor (UE) 2019/1937 și (UE) 2020/1828 (Regulamentul privind piețele digitale) (JO L 265, 12.10.2022, p. 1).” "

14.

La articolul 13, alineatul (1) se înlocuiește cu următorul text:

15.

Articolele 14, 15 și 16 se înlocuiesc cu următorul text:

(*7)  Directiva (UE) 2022/2555 a Parlamentului European și a Consiliului din 14 decembrie 2022 privind măsuri pentru un nivel comun ridicat de securitate cibernetică în Uniune, de modificare a Regulamentului (UE) nr. 910/2014 și a Directivei (UE) 2018/1972 și de abrogare a Directivei (UE) 2016/1148 (Directiva NIS 2) (JO L 333, 27.12.2022, p. 80).” "

16.

În capitolul III secțiunea 2, titlul se înlocuiește cu următorul text:

„Servicii de încredere necalificate”.

17.

Articolele 17 și 18 se elimină.

18.

În capitolul III secțiunea 2 se introduce următorul articol:

19.

Articolul 20 se modifică după cum urmează:

20.

Articolul 21 se modifică după cum urmează:

21.

Articolul 24 se modifică după cum urmează:

22.

În capitolul III secțiunea 3 se introduce următorul articol:

23.

La articolul 25, alineatul (3) se elimină.

24.

Articolul 26 se modifică după cum urmează:

25.

La articolul 27, alineatul (4) se elimină.

26.

La articolul 28, alineatul (6) se înlocuiește cu următorul text:

27.

La articolul 29 se introduce următorul alineat:

28.

Se introduce următorul articol:

29.

La articolul 30 se introduce următorul alineat:

30.

La articolul 31, alineatul (3) se înlocuiește cu următorul text:

31.

Articolul 32 se modifică după cum urmează:

32.

Se introduce următorul articol:

33.

La articolul 33, alineatul (2) se înlocuiește cu următorul text:

34.

Articolul 34 se modifică după cum urmează:

35.

La articolul 35, alineatul (3) se elimină.

36.

Articolul 36 se modifică după cum urmează:

37.

La articolul 37, alineatul (4) se elimină.

38.

La articolul 38, alineatul (6) se înlocuiește cu următorul text:

39.

Se introduce următorul articol:

40.

În capitolul III secțiunea 5 se introduce următorul articol:

41.

La articolul 41, alineatul (3) se elimină.

42.

Articolul 42 se modifică după cum urmează:

43.

Articolul 44 se modifică după cum urmează:

44.

Articolul 45 se înlocuiește cu următorul text:

45.

Se introduce următorul articol:

46.

În capitolul III se introduc următoarele secțiuni:

47.

Se introduce următorul capitol: