Kommissionens genomförandeförordning (EU) 2025/846 av den 6 maj 2025 om tillämpningsföreskrifter för Europaparlamentets och rådets förordning (EU) nr 910/2014 vad gäller gränsöverskridande identitetsmatchning av fysiska personer

(1)

Enligt förordning (EU) nr 910/2014 ska europeiska digitala identitetsplånböcker (plånböckerna) och anmälda medel för elektronisk identifiering finnas tillgängliga som ett alternativ för autentisering för att få tillgång till offentliga tjänster över gränserna som tillhandahålls av medlemsstaterna. I sådana fall av gränsöverskridande autentisering är register som innehåller information om användaren av plånboken eller användaren av anmälda medel för elektronisk identifiering ibland redan tillgängliga för den förlitande parten genom den förlitande partens eget register eller ett externt register, och ofta i form av ett användarkonto. I dessa fall kan viss information som rör användaren och som erhållits från plånböckerna eller från det anmälda medlet för elektronisk identifiering matchas av eller på uppdrag av den förlitande parten. Detta skulle till exempel kunna ske genom att en centraliserad lösning som drivs av ett offentligt organ används för matchning mot den information som redan innehas av den förlitande parten eller finns i ett register som den förlitande parten förlitar sig på, till exempel ett befolkningsregister eller en databas med användarkontoinformation.

(2)

Kommissionen utvärderar regelbundet ny teknik, nya metoder, standarder och tekniska specifikationer. För att säkerställa största möjliga harmonisering bland medlemsstaterna för utveckling och certifiering av plånböcker bygger de tekniska specifikationerna i denna förordning på det arbete som utförts enligt kommissionens rekommendation (EU) 2021/946 (2), särskilt arkitekturen och referensramen som är en del av den. I enlighet med skäl 75 i Europaparlamentets och rådets förordning (EU) 2024/1183 (3) bör kommissionen vid behov se över och vid behov uppdatera denna förordning för att hålla den i linje med den globala utvecklingen, arkitekturen och referensramen och för att följa praxis på den inre marknaden.

(3)

För att säkerställa att identitetsmatchningen fungerar på ett tillförlitligt sätt i alla medlemsstater bör medlemsstater som agerar som förlitande parter utföra den ursprungliga identitetsmatchningen första gången en fysisk person begär att få tillgång till en tjänst som drivs av den förlitande parten, antingen på grundval av den minimiuppsättning av uppgifter som fastställs i kommissionens genomförandeförordning (EU) 2015/1501 (4) eller den uppsättning uppgifter för personidentifiering som fastställs i kommissionens genomförandeförordning (EU) 2024/2977 (5). Denna förordning är inriktad på medlemsstater som fungerar som förlitande parter, medan förordning (EU) nr 910/2014 överlåter åt medlemsstaterna att besluta huruvida systemet för identitetsmatchning också ska göras tillgängligt för privata förlitande parter. Om medlemsstaterna föreskriver identitetsmatchning för förlitande parter som inte är offentliga organ, bör de så långt som möjligt tillämpa de mekanismer och förfaranden som fastställs i denna förordning.

(4)

För gränsöverskridande identitetsmatchning vid användning av plånböcker bör den information som används för entydig identitetsmatchning vara de obligatoriska identifierare som utgör de personidentifieringsuppgifter för fysiska personer som anges i avsnitt 1 i bilagan till genomförandeförordning (EU) 2024/2977, tillsammans med eventuella frivilliga uppgifter som krävs för att säkerställa att uppsättningen personidentifieringsuppgifter är unik.

(5)

För gränsöverskridande identitetsmatchning vid användning av anmälda medel för elektronisk identifiering bör den information som används för entydig identitetsmatchning vara de obligatoriska attributen för den minimiuppsättning uppgifter för en juridisk person som fastställs i avsnitt 1 i bilagan till genomförandeförordning (EU) 2015/1501. Hänvisningen till de obligatoriska attributen för minimiuppsättningen av uppgifter för en fysisk person bör förstås mot bakgrund av genomförandeförordning (EU) 2015/1501, som beskriver ett attribut som en beståndsdel i minimiuppsättningen av personidentifieringsuppgifter, i motsats till den definition av attribut som fastställs i artikel 3.43 i förordning (EU) nr 910/2014, ändrad genom förordning (EU) 2024/1183.

(6)

På grund av beroendet av befintlig information som den förlitande parten använder för att säkerställa entydig identitetsmatchning är det möjligt att identitetsmatchningen inte alltid lyckas. För att ge förlitande parter lämplig flexibilitet får medlemsstaterna införa kompletterande förfaranden som ger en likvärdig grad av förtroende för resultatet av identitetsmatchningen.

(7)

Om identitetsmatchningen anses lyckad enligt bestämmelserna i denna förordning, bör den förlitande parten eller den part som agerar på dess vägnar, eller ett register som förlitande parter förlitar sig på eller det centraliserade systemet säkerställa att användaren informeras om den lyckade registreringen, bland annat genom att visa användarens namn eller pseudonym och, när så är lämpligt, bland annat om de tillgängliga alternativen för lagring av resultatet av identitetsmatchningen. Dessa alternativ kan inbegripa lagring av en associering i ett register som drivs av den förlitande parten och/eller i ett register som den förlitande parten förlitar sig på och/eller utfärdande av ett särskilt elektroniskt attributsintyg som innehåller en associering som kan återanvändas i framtiden och/eller användande av andra alternativ som tillhandahålls av den förlitande parten eller den part som agerar på den förlitande partens vägnar. I tillämpliga fall bör användaren ha möjlighet att välja mellan alternativen, och lagringstiden bör stå under användarens kontroll för att säkerställa att användarna kan återanvända slutförda identitetsmatchningar i framtiden.

(8)

När matchningen av användaren inte är lyckad bör, av transparensskäl och för att öka användarkontrollen, tydliga skäl ges till varför matchningen inte är lyckad. Dessutom bör användaren informeras om eventuella kommande åtgärder. Detta bör omfatta den information som användes i identitetsmatchningsprocessen och eventuella avvikelser som konstaterades, med tydliga förklaringar och instruktioner till användarna om möjliga åtgärder och kompletterande processer.

(9)

För att göra lämpliga mekanismer för handläggning av klagomål tillgängliga i samband med att det utförs identitetsmatchningar bör förlitande parter eller parter som agerar på deras vägnar eller register som förlitande parter förlitar sig på föra lämpliga loggar över identitetsmatchningen, den information som används för matchningen och andra styrkande handlingar som tillhandahålls av den fysiska personen samt resultatet av identitetsmatchningen. Dessa loggar bör lagras i minst 6 månader och högst 12 månader för att göra det möjligt för användarna att registrera och behandla klagomål. Lagringstiden kan förlängas om det krävs enligt unionsrätten eller nationell rätt.

(10)

För att plånboksanvändare inte ska bli tvungna att utföra identitetsmatchningen upprepade gånger får medlemsstaterna kräva att systemen för identitetsmatchning ska kunna utfärda ett elektroniskt attributsintyg med en länk mellan plånboksanvändaren och ett register där användaren är registrerad som känd användare. Alternativt får medlemsstaterna lagra en associering som en referens till ett register som är tillgängligt för den förlitande parten eller lagra andra stödåtgärder.

(11)

För att säkerställa att de plånböcker som ska tillhandahållas i överensstämmelse med kraven i artikel 5a.1 i förordning (EU) nr 910/2014 och de anmälda systemen för elektronisk identifiering ska gynnas av fördelarna med att ha operativa system för identitetsmatchning, måste en längre tidsfrist för tillämpningen av respektive bestämmelser i den här förordningen fastställas. När det gäller plånböcker bör varje medlemsstat tillhandahålla minst en plånbok inom 24 månader från och med dagen för ikraftträdandet av de genomförandeakter som avses i artiklarna 5a.23 och 5c.6 i förordning (EU) nr 910/2014. Tillämpningen av de relevanta bestämmelserna i denna förordning om identitetsmatchning på grundval av plånböcker bör därför sammanfalla med ovanstående tidsram. När det gäller anmälda system för elektronisk identifiering bör tillräckligt med tid ges för att ersätta funktionerna för identitetsmatchning.

(12)

Eftersom användningen av plånboken ska vara frivillig, bör medlemsstaterna förse användarna med alternativa metoder för att få tillgång till de tjänster som de, när de agerar som förlitande parter, tillhandahåller.

(13)

Vid försök till autentisering till en elektronisk tjänst kan en ny användarregistrering vara sömlös och därmed för en användare, såväl visuellt som tekniskt, framstå som ett återbesök på en elektroniska tjänst. Därför bör, vid tillämpningen av denna förordning, en ny användarregistrering hos en elektronisk tjänst betraktas som likvärdig med en lyckad identitetsmatchning.

(14)

Medlemsstaterna bör säkerställa att identitetsmatchningen fungerar sömlöst och att användarens session inte ändras flera gånger och användaren inte måste repetera olika steg, även om identitetsmatchningen till en början inte lyckas och kompletterande processer genomförs.

(15)

Medlemsstaterna har frihet att utforma användargränssnitten och anmälningarna på ett sätt som passar deras nationella förhållanden, med beaktande av andan i i de krav som fastställs i förordningen.

(16)

Europaparlamentets och rådets förordning (EU) 2016/679 (6) och, i förekommande fall, Europaparlamentets och rådets direktiv 2002/58/EG (7) är tillämpliga på behandlingen av personuppgifter enligt denna förordning.

(17)

Samråd med Europeiska datatillsynsmannen har skett i enlighet med artikel 42.1 i Europaparlamentets och rådets förordning (EU) 2018/1725 (8) och avgav ett yttrande den 31 januari 2025.

(18)

De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från den kommitté som inrättats genom artikel 48 i förordning (EU) nr 910/2014.