Kommissionens genomförandeförordning (EU) 2024/2977 av den 28 november 2024 om tillämpningsföreskrifter för Europaparlamentets och rådets förordning (EU) nr 910/2014 vad gäller personidentifieringsuppgifter och elektroniska attributsintyg som utfärdats för EU:s digitala identitetsplånböcker

(1)

Det europeiska ramverket för digital identitet, som inrättades genom förordning (EU) nr 910/2014, är en avgörande komponent i inrättandet av ett säkert och interoperabelt ekosystem för digital identitet i hela unionen. EU:s digitala identitetsplånböcker (plånböckerna) utgör hörnstenen i ramverket som syftar till att underlätta tillgången till tjänster i medlemsstaterna, samtidigt som skyddet av personuppgifter och integritet säkerställs.

(2)

Europaparlamentets och rådets förordning (EU) 2016/679 (2) och, i förekommande fall, Europaparlamentets och rådets direktiv 2002/58/EG (3) är tillämpliga på all behandling av personuppgifter i enlighet med denna förordning.

(3)

Enligt artikel 5a.23 i förordning (EU) nr 910/2014 ska kommissionen vid behov fastställa relevanta specifikationer och förfaranden. Detta uppnås genom fyra genomförandeförordningar, som behandlar protokoll och gränssnitt: kommissionens genomförandeförordning (EU) 2024/2982 (4), integritet och centrala funktioner: kommissionens genomförandeförordning (EU) 2024/2979 (5), personidentifieringsuppgifter och elektroniska attributsintyg: kommissionens genomförandeförordning (EU) 2024/2977 (6), samt anmälningar till kommissionen: kommissionens genomförandeförordning (EU) 2024/2980 (7). I denna förordning fastställs de relevanta kraven för personidentifieringsuppgifter och elektroniska attributsintyg som ska utfärdas för EU:s digitala identitetsplånböcker.

(4)

Kommissionen utvärderar regelbundet ny teknik, nya metoder, standarder eller tekniska specifikationer. För att säkerställa största möjliga harmonisering bland medlemsstaterna för utveckling och certifiering av plånböcker bygger de tekniska specifikationerna i denna genomförandeförordning på det arbete som utförts på grundval av kommissionens rekommendation (EU) 2021/946 av den 3 juni 2021 om en unionsgemensam verktygslåda för en samordnad strategi för en europeisk ram för digital identitet (8), särskilt den arkitektur och referensram som ingår i den. I enlighet med skäl 75 i Europaparlamentets och rådets förordning (EU) 2024/1183 (9) bör kommissionen vid behov se över och uppdatera denna genomförandeförordning för att hålla den i linje med den globala utvecklingen, arkitekturen och referensramen och för att följa praxis på den inre marknaden.

(5)

För att säkerställa ett inbyggt dataskydd och dataskydd som standard bör plånböckerna förses med flera integritetsfrämjande funktioner för att förhindra att tillhandahållare av medel för elektronisk identifiering och elektroniska attributsintyg kombinerar personuppgifter som erhållits när de tillhandahåller andra tjänster med de personuppgifter som behandlas för att tillhandahålla de tjänster som omfattas av förordning (EU) nr 910/2014.

(6)

För att säkerställa harmonisering bör vissa gemensamma funktioner finnas i alla plånböcker, däribland möjligheten att på ett säkert sätt begära, erhålla, välja, kombinera, lagra, radera, dela och visa personidentifieringsuppgifter och elektroniska attributsintyg, under plånboksanvändarens egen kontroll. För att säkerställa att personidentifieringsuppgifter och elektroniska attributsintyg kan behandlas via varje plånboksenhet måste alla plånbokslösningar stödja tekniska specifikationer för attribut för personidentifieringsuppgifter, uppgiftsformat och den infrastruktur som krävs för att säkerställa att personidentifieringsuppgifterna har en lämplig tillförlitlighet. Gemensamma specifikationer för attribut för personidentifieringsuppgifter syftar dessutom till att säkerställa att dessa uppgifter vid behov kan användas för identitetsmatchning.

(7)

Medlemsstaterna ska säkerställa att plånböckerna kan autentisera förlitande parter, tillhandahållare av personidentifieringsuppgifter och tillhandahållare av elektroniska attributsintyg oavsett var de är etablerade i unionen. För att uppnå detta bör dessa enheter använda förlitandepartcertifikat när de identifierar sig för plånboksenheter. För att garantera att dessa certifikat är interoperabla för alla plånböcker som tillhandahålls inom unionen bör förlitandepartcertifikat följa gemensamma standarder. Kommissionen bör i samarbete med medlemsstaterna noga övervaka utvecklingen av nya eller alternativa standarder som skulle kunna ligga till grund för förlitandepartcertifikat. I synnerhet bör tillitsmodeller som har visat sig vara effektiva och säkra i medlemsstaterna bedömas.

(8)

För att säkerställa öppenhet gentemot plånboksanvändare bör medlemsstaterna offentliggöra information om vilka plånbokslösningar som stöds av tillhandahållare av personidentifieringsuppgifter som är etablerade på deras territorier. Eftersom användarens identitet måste vara så pålitlig som möjligt bör en gemensam tillitsnivå hög införas vid styrkande av plånboksanvändares identitet före utfärdandet av personidentifieringsuppgifter enligt tillitsnivå hög i enlighet med vad som fastställs för medel för elektronisk identifiering enligt förordning (EU) nr 910/2014. På så sätt säkerställer plånboksenheterna största möjliga tillförlitlighet för medlen för identifiering i hela unionen. Vid inskrivning av plånboksanvändare på tillitsnivå hög är olika säkra processer möjliga, till exempel om plånboksanvändaren har kontrollerats och befunnits inneha fotografiskt eller biometriskt identifieringsbevis som erkänns men inte utfärdats av den medlemsstat där ansökan om medlet för elektronisk identifiering görs och den bevisningen avser den påstådda identiteten, bör beviset kontrolleras för att fastställa om det är giltigt enligt en tillförlitlig källa.

(9)

För att främja interoperabilitet bör de elektroniska attributsintygen uppfylla harmoniserade formkrav.

(10)

För att skydda plånboksanvändarnas uppgifter och säkerställa de elektroniska attributsintygens äkthet bör mekanismer för autentisering av tillhandahållare av elektroniska attributsintyg och för tillhandahållarens kontroll av plånboksenheters äkthet och giltighet tillämpas innan intygen utfärdas för plånboksenheter.

(11)

För att undvika användningen av och förlitandet på personidentifieringsuppgifter och elektroniska attributsintyg som har förlorat sin rättsliga giltighet efter att ha utfärdats för en plånboksenhet bör tillhandahållare av personidentifieringsuppgifter och elektroniska attributsintyg offentliggöra en policy som beskriver omständigheterna och förfarandena för återkallelse.

(12)

För att säkerställa att personidentifieringsuppgifterna på ett unikt sätt representerar plånboksanvändaren bör medlemsstaterna, utöver de obligatoriska attribut i personidentifieringsuppgifterna som fastställs i denna förordning, tillhandahålla frivilliga attribut som behövs för att säkerställa att uppsättningen personidentifieringsuppgifter är unik.

(13)

Samråd med Europeiska datatillsynsmannen har skett i enlighet med artikel 42.1 i Europaparlamentets och rådets förordning (EU) 2018/1725 (10) och avgav ett yttrande den 30 september 2024.

(14)

De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från den kommitté som avses i artikel 48 i förordning (EU) nr 910/2014.

(1)

plånboksanvändare: en användare som kontrollerar plånboksenheten.

(2)

plånboksenhet: en unik konfigurering av en plånbokslösning som omfattar plånboksinstanser, krypteringsapplikationer och krypteringshårdvaror som en plånbokstillhandahållare tillhandahåller en enskild plånboksanvändare.

(3)

plånbokslösning: en kombination av programvara, hårdvara, tjänster, inställningar och konfigureringar, inklusive plånboksinstanser, en eller flera krypteringsapplikationer och en eller flera krypteringshårdvaror.

(4)

tillhandahållare av personidentifieringsuppgifter: en fysisk eller juridisk person som ansvarar för att utfärda och återkalla personidentifieringsuppgifter och säkerställa att en användares personidentifieringsuppgifter är kryptografiskt bundna till en plånboksenhet.

(5)

plånboksenhetsintyg: ett dataobjekt som beskriver plånboksenhetens komponenter eller möjliggör autentisering och validering av dessa komponenter.

(6)

plånboksinstans: den applikation som är installerad och konfigurerad på en plånboksanvändares hårdvara eller i en plånboksanvändares miljö, som ingår i en plånboksenhet och som plånboksanvändaren använder för att interagera med plånboksenheten.

(7)

krypteringsapplikation: en applikation som hanterar kritiska tillgångar genom att vara kopplad till och använda de kryptografiska och icke-kryptografiska funktioner som tillhandahålls av krypteringshårdvaran.

(8)

krypteringshårdvara: manipuleringssäker hårdvara som tillhandahåller en miljö som är kopplad till och används av krypteringsapplikationen för att skydda kritiska tillgångar och tillhandahålla kryptografiska funktioner för att säkert kunna utföra kritiska operationer.

(9)

plånbokstillhandahållare: en fysisk eller juridisk person som tillhandahåller plånbokslösningar.

(10)

kritiska tillgångar: tillgångar inom eller i samband med en plånboksenhet som är av sådan extraordinär betydelse att det, om deras konfidentialitet, integritet och tillgänglighet äventyrades, skulle få en mycket allvarlig, funktionsnedsättande inverkan på förmågan att förlita sig på plånboksenheten.

(11)

förlitande part: en förlitande part som avser att förlita sig på plånboksenheter för att genom digital interaktion tillhandahålla offentliga eller privata tjänster.

(12)

förlitandepartcertifikat: ett certifikat för elektroniska stämplar eller underskrifter som autentiserar och validerar den förlitande parten och som utfärdats av en tillhandahållare av förlitandepartcertifikat.

(13)

tillhandahållare av förlitandepartcertifikat: en fysisk eller juridisk person som bemyndigats av en medlemsstat att utfärda förlitandepartcertifikat till förlitande parter som är registrerade i den medlemsstaten.