Kommissionens genomförandeförordning (EU) 2024/2979 av den 28 november 2024 om tillämpningsföreskrifter för Europaparlamentets och rådets förordning (EU) nr 910/2024 vad gäller integritet och centrala funktioner i EU:s digitala identitetsplånböcker

(1)

Det europeiska ramverket för digital identitet, som inrättades genom förordning (EU) nr 910/2014, är en avgörande komponent i inrättandet av ett säkert och interoperabelt ekosystem för digital identitet i hela unionen. EU:s digitala identitetsplånböcker (plånböckerna) utgör hörnstenen i ramverket som syftar till att underlätta för fysiska och juridiska personer att få tillgång till tjänster i medlemsstaterna, samtidigt som skyddet av personuppgifter och integritet säkerställs.

(2)

Europaparlamentets och rådets förordning (EU) 2016/679 (2) och, i förekommande fall, Europaparlamentets och rådets direktiv 2002/58/EG (3) är tillämpliga på all behandling av personuppgifter i enlighet med denna förordning.

(3)

Enligt artikel 5a.23 i förordning (EU) nr 910/2014 ska kommissionen vid behov fastställa relevanta specifikationer och förfaranden. Detta uppnås genom fyra genomförandeförordningar, som behandlar protokoll och gränssnitt: kommissionens genomförandeförordning (EU) 2024/2982 (4), integritet och centrala funktioner: kommissionens genomförandeförordning (EU) 2024/2979 (5), personidentifieringsuppgifter och elektroniska attributsintyg: kommissionens genomförandeförordning (EU) 2024/2977 (6) samt anmälningar till kommissionen: kommissionens genomförandeförordning (EU) 2024/2980 (7). I denna förordning fastställs de relevanta kraven för personidentifieringsuppgifter och elektroniska attributsintyg som ska utfärdas för EU:s digitala identitetsplånböcker.

(4)

Kommissionen utvärderar regelbundet ny teknik, nya metoder, standarder eller tekniska specifikationer. För att säkerställa största möjliga harmonisering bland medlemsstaterna för utveckling och certifiering av plånböcker bygger de tekniska specifikationerna i denna förordning på det arbete som utförts på grundval av kommissionens rekommendation (EU) 2021/946 av den 3 juni 2021 om en unionsgemensam verktygslåda för en samordnad strategi för en europeisk ram för digital identitet (8), särskilt arkitekturen och referensramen. I enlighet med skäl 75 i Europaparlamentets och rådets förordning (EU) 2024/1183 (9) bör kommissionen vid behov se över och uppdatera denna genomförandeförordning för att hålla den i linje med den globala utvecklingen, arkitekturen och referensramen och för att följa praxis på den inre marknaden.

(5)

För att säkerställa exakt kommunikation, teknisk differentiering och tydlig ansvarsfördelning är det nödvändigt att skilja mellan olika komponenter och konfigureringar av plånböcker. En plånbokslösning bör förstås som det fullständiga system som tillhandahålls av en tillhandahållare av plånböcker och som är nödvändigt för att driva en plånbok. Det bör omfatta programvaru- och hårdvarukomponenter samt de tjänster, inställningar och konfigureringar som behövs för att säkerställa att plånboken fungerar korrekt. En plånbokslösning kan finnas på användarens enheter och miljöer och på tillhandahållarens backend-struktur. En plånboksenhet bör förstås som en särskild konfigurering av plånbokslösningen för en enskild användare. Den bör omfatta den applikation som installerats på en plånboksanvändares enhet eller miljö som plånboksanvändaren interagerar direkt med (plånboksinstansen) och de säkerhetsdetaljer som krävs för att skydda användarnas uppgifter och transaktioner. Dessa säkerhetsfunktioner bör omfatta särskild programvara eller hårdvara för att kryptera och skydda känslig information. En plånboksinstans bör ingå i plånboksenheten och göra det möjligt för plånboksanvändaren att få tillgång till plånbokens funktioner.

(6)

Krypteringsapplikationer som separata specialiserade komponenter inom en plånboksenhet är nödvändiga inte bara för att skydda kritiska tillgångar, såsom privata krypteringsnycklar, utan även för att tillhandahålla viktiga funktioner, såsom presentation av elektroniska attributsintyg. Användningen av gemensamma tekniska specifikationer kan underlätta plånbokstillhandahållarnas tillgång till inbyggda säkerhetskomponenter. Krypteringsapplikationer kan tillhandahållas på olika sätt och till olika typer av krypteringshårdvaror. Om krypteringsapplikationer tillhandahålls av plånbokstillhandahållare i form av Java Card-miniprogram till inbyggda säkerhetskomponenter, bör plånbokstillhandahållarna följa de standarder som förtecknas i bilaga I eller motsvarande tekniska specifikationer.

(7)

Plånboksenheter ska göra det möjligt för tillhandahållare av personidentifieringsuppgifter eller elektroniska attributsintyg att kontrollera att de utfärdar dessa uppgifter eller intyg till verkliga plånboksenheter tillhörande plånboksanvändare.

(8)

För att säkerställa ett inbyggt dataskydd och dataskydd som standard bör plånböckerna förses med den senaste tillgängliga integritetsfrämjande tekniken. Dessa funktioner bör göra det möjligt att använda plånböcker utan att plånboksanvändaren kan spåras mellan olika förlitande parter, om detta är tillämpligt i användningsscenariot. Plånbokstillhandahållare bör till exempel överväga de senaste integritetsbegränsande åtgärderna för plånboksenhetsintyg, till exempel tillfälliga plånboksenhetsintyg eller grupputfärdande. Dessutom bör inbyggda policyer för utlämnande varna plånboksanvändarna för olämpligt eller olagligt utlämnande av attribut från elektroniska attributsintyg.

(9)

Plånboksenhetsintygen bör göra det möjligt för förlitande parter som begär attribut från plånboksenheter att kontrollera giltigheten för den plånboksenhet som de kommunicerar med, eftersom plånboksenhetsintyg ska återkallas när en plånboksenhet inte längre anses vara giltig. Informationen om plånboksenheternas giltighet bör göras tillgänglig på ett interoperabelt sätt för att säkerställa att den kan användas av alla förlitande parter. I fall där plånboksanvändare förlorat sina plånboksenheter eller inte längre har kontroll över dem bör plånbokstillhandahållarna dessutom göra det möjligt för plånboksanvändare att begära att deras plånboksenhet återkallas. För att säkerställa integritet och olänkbarhet bör medlemsstaterna använda integritetsbevarande teknik även för plånboksenhetsintyg. Detta kan inbegripa användning av flera plånboksenhetsintyg för olika ändamål, där endast den minimalt relevanta information om plånboken som krävs för en transaktion lämnas ut, eller att begränsa livslängden för ett plånboksenhetsintyg som ett alternativ till att använda identifieringskoder för återkallelse.

(10)

För att säkerställa att alla plånböcker har tekniska möjligheter att ta emot och presentera personidentifieringsuppgifter och elektroniska attributsintyg i gränsöverskridande scenarier utan att detta försämrar interoperabiliteten bör plånböckerna stödja förutbestämda typer av dataformat och selektivt utlämnande. Såsom fastställs i förordning (EU) nr 910/2014 är selektivt utlämnande ett begrepp som ger dataägaren rätt att endast lämna ut vissa delar av en större datamängd, så att den mottagande enheten endast kan inhämta information som är nödvändig för tillhandahållandet av en tjänst som begärs av en användare. Eftersom plånböckerna ska göra det möjligt för användaren att selektivt utlämna attribut bör de standarder som förtecknas i bilaga II genomföras på ett sätt som möjliggör denna funktion i plånböckerna. Plånböcker kan dessutom stödja andra format och funktioner för att underlätta särskilda användningsfall.

(11)

Loggning av transaktioner är ett viktigt verktyg för att skapa transparens genom att ge plånboksanvändaren en översikt över transaktionerna. Dessutom bör loggar användas för att göra det möjligt att, på begäran av plånboksanvändaren, snabbt och enkelt utbyta viss information med de behöriga tillsynsmyndigheter som inrättats i enlighet med artikel 51 i förordning (EU) 2016/679, om förlitande parter uppträder misstänkt.

(12)

För att en plånboksanvändare ska kunna skriva under elektroniskt bör ett kvalificerat certifikat, som är bundet till en kvalificerad anordning för skapande av elektroniska underskrifter, utfärdas till plånboksanvändaren. Plånboksanvändaren bör ha tillgång till en applikation för skapande av underskrifter. Utfärdandet av kvalificerade certifikat är en tjänst som tillhandahålls av kvalificerade tillhandahållare av betrodda tjänster, men plånbokstillhandahållare eller andra enheter bör kunna tillhandahålla övriga komponenter. Kvalificerade anordningar för skapande av elektroniska underskrifter kan till exempel förvaltas av kvalificerade tillhandahållare av betrodda tjänster som en tjänst eller kan vara lokala i förhållande till plånboksanvändarens enhet, till exempel som ett smartkort. På samma sätt kan applikationer för skapande av underskrifter integreras i plånboksinstansen, vara en separat app i plånboksanvändarens enhet eller tillhandahållas på distans.

(13)

Föremål för dataexport och dataportabilitet kan logga personidentifieringsuppgifter och elektroniska attributsintyg som har utfärdats till en viss plånboksenhet. Dessa föremål gör det möjligt för plånboksanvändare att hämta relevanta uppgifter från sin plånboksenhet för att stärka sin rätt till dataportabilitet. Plånbokstillhandahållare uppmuntras att använda samma tekniska lösningar för att även genomföra säkerhetskopierings- och återställningsprocesser för plånboksenheter, vilket gör det möjligt att återställa förlorade plånboksenheter eller överföra information från en plånbokstillhandahållare till en annan, när så är lämpligt och i den mån detta kan göras utan att rätten till dataskydd och säkerheten i ekosystemet för digital identitet försämras.

(14)

Genereringen av pseudonymer som är specifika för förlitande parter bör göra det möjligt för plånboksanvändare att autentisera sig utan att förse förlitande parter med onödig information. I enlighet med förordning (EU) nr 910/2014 ska plånboksanvändare inte hindras från att få tillgång till tjänster under en pseudonym, om det inte finns något rättsligt krav på juridisk identitet för autentisering. Plånböckerna ska därför innehålla en funktion för att generera pseudonymer som användaren väljer och hanterar, för autentisering för att få tillgång till onlinetjänster. Genomförandet av specifikationerna i bilaga V bör möjliggöra dessa funktioner i enlighet med detta. Förlitande parter får vidare inte begära att användarna tillhandahåller några andra uppgifter än de som anges för plånböckernas avsedda användning i registret över förlitande parter. Plånboksanvändare bör ha möjlighet att när som helst kontrollera förlitande parters registreringsuppgifter.

(15)

Enligt förordning (EU) 2024/1183 får medlemsstaterna inte direkt eller indirekt begränsa tillgången till offentliga eller privata tjänster för fysiska eller juridiska personer som väljer att inte använda plånböcker och ska tillhandahålla lämpliga alternativa lösningar.

(16)

Samråd med Europeiska datatillsynsmannen har skett i enlighet med artikel 42.1 i Europaparlamentets och rådets förordning (EU) 2018/1725 (10) och avgav ett yttrande den 30 september 2024.

(17)

De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från den kommitté som avses i artikel 48 i förordning (EU) nr 910/2014.