Kommissionens genomförandeförordning (EU) 2025/848 av den 6 maj 2025 om tillämpningsföreskrifter för Europaparlamentets och rådets förordning (EU) nr 910/2014 vad gäller registrering av förlitande parter

(1)

För registreringen av förlitande parter som avser att förlita sig på europeiska digitala identitetsplånböcker (plånböcker) för tillhandahållandet av offentliga och privata tjänster, i enlighet med kraven i förordning (EU) nr 910/2014, bör medlemsstaterna upprätta och underhålla nationella register över förlitande parter som är etablerade på deras territorium.

(2)

Kommissionen utvärderar regelbundet ny teknik, nya metoder, standarder eller tekniska specifikationer. För att säkerställa största möjliga harmonisering bland medlemsstaterna för utveckling och certifiering av plånböcker bygger de tekniska specifikationerna i denna förordning på det arbete som utförts enligt kommissionens rekommendation (EU) 2021/946 (2), särskilt arkitekturen och referensramen som är en del av den. I enlighet med skäl 75 i Europaparlamentets och rådets förordning (EU) 2024/1183 (3) bör kommissionen vid behov se över och uppdatera denna genomförandeförordning för att hålla den i linje med den globala utvecklingen, arkitekturen och referensramen och för att följa praxis på den inre marknaden.

(3)

För att säkerställa bred tillgång till registren och uppnå interoperabilitet bör medlemsstaterna inrätta både människo- och maskinläsbara gränssnitt som uppfyller de tekniska specifikationer som fastställs i denna förordning. Tillhandahållarna av förlitandepartcertifikat och förlitandepartregistreringscertifikat, i förekommande fall, bör också kunna förlita sig på dessa gränssnitt vid utfärdandet av de certifikaten.

(4)

Registreringspolicyerna ger tydlig vägledning till de förlitande parterna om registreringsprocessen, och medlemsstaterna bör därför fastställa och offentliggöra en eller flera nationella registreringspolicyer som är tillämpliga på de nationella register som upprättats på deras territorium.

(5)

Syftet med registreringen av förlitande parter är att skapa förtroende för användningen av plånböcker genom ökad transparens. Därför bör medlemsstaterna göra den relevanta informationen tillgänglig för allmänheten i både människo- och maskinläsbart format. För att åstadkomma detta bör de förlitande parterna tillhandahålla den nödvändiga informationen, inbegripet deras rättighet eller rättigheter, till de nationella registren.

(6)

Vidare bör de förlitande parterna av transparensskäl ange om de avser att förlita sig på elektronisk identifiering av fysiska personer.

(7)

För att säkerställa att registreringsprocessen är kostnadseffektiv och proportionerlig mot risken bör registerförvaltarna inrätta lättanvända elektroniska, och om så är möjligt, automatiserade registreringsprocesser för förlitande parter. Registerförvaltarna bör verifiera ansökningar om registrering utan onödigt dröjsmål.

(8)

Medlemsstaterna ska säkerställa att plånböckerna kan autentisera förlitande parter oavsett var de är etablerade i unionen. För att göra detta bör de förlitande parterna använda förlitandepartcertifikat när de identifierar sig för plånboksenheter. För att garantera att de certifikaten är interoperabla för alla plånböcker som tillhandahålls inom unionen bör förlitandepartcertifikat följa gemensamma krav som fastställs i bilagan. Kommissionen bör utveckla harmoniserade certifieringspolicyer och riktlinjer om certifieringsrutiner som ska genomföras av medlemsstaterna. Kommissionen bör i samarbete med medlemsstaterna noga övervaka utvecklingen av nya eller alternativa standarder som skulle kunna ligga till grund för förlitandepartcertifikat. I synnerhet bör tillitsmodeller som har visat sig vara effektiva och säkra i medlemsstaterna bedömas.

(9)

I enlighet med förordning (EU) nr 910/2014 får förlitande parter inte begära att användarna tillhandahåller några andra uppgifter än de som anges för plånböckernas avsedda användning under registreringsprocessen. Plånboksanvändare bör ha möjlighet att kontrollera förlitande parters registreringsuppgifter. För att göra det möjligt för plånboksanvändarna att verifiera att de attribut som begärs av den förlitande parten omfattas av deras registrerade attribut får medlemsstaterna kräva att det utfärdas förlitandepartregistreringscertifikat till registrerade förlitande parter. För att säkerställa interoperabiliteten hos förlitandepartregistreringscertifikaten bör medlemsstaterna säkerställa att de certifikaten uppfyller de krav och standarder som fastställs i bilagan. I synnerhet bör de förlitande parterna av transparensskäl ange om de avser att förlita sig på elektronisk identifiering av fysiska personer för att uppfylla de krav som fastställs i artikel 6.1 i Europaparlamentets och rådets förordning (EU) 2016/679 (4). Vidare får förlitande parter inte neka användning av pseudonymer om identifiering av användaren inte krävs enligt unionsrätten eller nationell rätt.

(10)

För att skydda användarna mot för stor delning av information med förlitande parter och varna dem för sådana fall bör medlemsstaterna inkludera allmänna tillgångspolicyer i sina certifieringspolicyer som gör det möjligt för en plånbokslösning att informera plånboksanvändaren när en förlitande part begär mer information än de har givits behörighet att få tillgång till.

(11)

För att skydda plånboksanvändarna bör registerförvaltaren ha möjlighet att tillfälligt upphäva eller annullera registrering av en förlitande part utan föregående meddelande, om registerförvaltaren har skäl att tro att registreringen innehåller information som är inkorrekt, inte är aktuell, eller är vilseledande, att den förlitande parten inte följer registreringspolicyn, eller att den förlitande parten på annat sätt är i strid med unionsrätten eller den europeiska förklaringen om digitala rättigheter och principer för det digitala decenniet (5) på ett sätt som har samband med deras roll som förlitande part, till exempel om den förlitande parten inte framgångsrikt minimerat den uppsättning attribut som den begär tillgång till. För att skydda stabiliteten hos ekosystemet för de europeiska digitala identitetsplånböckerna (plånboksekosystemet) bör beslutet att tillfälligt upphäva eller annullera en registrering vara proportionerligt mot den störning som förorsakas av det tillfälliga upphävandet eller annulleringen och den därmed sammanhängande kostnaden och olägenheten för tillhandahållaren av tjänsten och för användaren. I enlighet med artikel 46a.4 f i förordning (EU) nr 910/2014 ska tillsynsorganen också ha rättighet att tillfälligt upphäva eller annullera registreringen, om så krävs.

(12)

För efterhandskontroller, utredningar som genomförs av brottsbekämpande organ och tvistlösning bör registerförvaltarna föra register över all information som tillhandahålls av de förlitande parter som är införda i deras nationella register, under en period av tio år.

(13)

Förordning (EU) 2016/679 och, i förekommande fall, Europaparlamentets och rådets direktiv 2002/58/EG (6) är tillämpliga på behandlingen av personuppgifter enligt denna förordning.

(14)

Samråd med Europeiska datatillsynsmannen har skett i enlighet med artikel 42.1 i Europaparlamentets och rådets förordning (EU) 2018/1725 (7) och avgav ett yttrande den 31 januari 2025.

(15)

De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från den kommitté som inrättats genom artikel 48 i förordning (EU) nr 910/2014.

1.

förlitande part: en förlitande part som avser att förlita sig på plånboksenheter för att genom digital interaktion tillhandahålla offentliga eller privata tjänster.

2.

plånboksenhet: en unik konfigurering av en plånbokslösning som omfattar plånboksinstanser, krypteringsapplikationer och krypteringshårdvaror som en plånbokstillhandahållare tillhandahåller en enskild plånboksanvändare.

3.

plånbokslösning: en kombination av programvara, hårdvara, tjänster, inställningar och konfigureringar, inklusive plånboksinstanser, en eller flera krypteringsapplikationer och en eller flera krypteringshårdvaror.

4.

plånboksinstans: den applikation som är installerad och konfigurerad på en plånboksanvändares hårdvara eller i en plånboksanvändares miljö, som ingår i en plånboksenhet och som plånboksanvändaren använder för att interagera med plånboksenheten.

5.

krypteringsapplikation: en applikation som hanterar kritiska tillgångar genom att vara kopplad till och använda de kryptografiska och icke-kryptografiska funktioner som tillhandahålls av krypteringshårdvaran.

6.

krypteringshårdvara: manipuleringssäker hårdvara som tillhandahåller en miljö som är kopplad till och används av krypteringsapplikationen för att skydda kritiska tillgångar och tillhandahålla kryptografiska funktioner för att säkert kunna utföra kritiska operationer.

7.

kritiska tillgångar: tillgångar inom eller i samband med en plånboksenhet som är av sådan extraordinär betydelse att det, om deras konfidentialitet, integritet och tillgänglighet äventyrades, skulle få en mycket allvarlig, funktionsnedsättande inverkan på förmågan att förlita sig på plånboksenheten.

8.

plånbokstillhandahållare: en fysisk eller juridisk person som tillhandahåller plånbokslösningar.

9.

plånboksanvändare: en användare som kontrollerar plånboksenheten.

10.

nationellt register över förlitande parter: ett nationellt elektroniskt register som en medlemsstat använder för att göra information om förlitande parter som är registrerade i den medlemsstaten allmänt tillgänglig i enlighet med artikel 5b.5 i förordning (EU) nr 910/2014.

11.

tillhandahållare av förlitandepartcertifikat: en fysisk eller juridisk person som bemyndigats av en medlemsstat att utfärda förlitandepartcertifikat till förlitande parter som är registrerade i den medlemsstaten.

12.

förlitandepartcertifikat: ett certifikat för elektroniska stämplar eller underskrifter som autentiserar och validerar den förlitande parten och som utfärdats av en tillhandahållare av förlitandepartcertifikat.

13.

tillhandahållare av personidentifieringsuppgifter: en fysisk eller juridisk person som ansvarar för att utfärda och återkalla personidentifieringsuppgifter och säkerställa att en användares personidentifieringsuppgifter är kryptografiskt bundna till en plånboksenhet.

14.

registerförvaltare: det organ som ansvarar för att upprätta och underhålla förteckningen över registrerade förlitande parter som är etablerade på deras territorium och som har utsetts av en medlemsstat.

15.

Förlitandepartregistreringscertifikat: ett dataobjekt som beskriver den förlitande partens avsedda användning och anger de attribut som den förlitande parten har registrerat i avsikt att begära från användare.

16.

tillhandahållare av förlitandepartregistreringscertifikat: en fysisk eller juridisk person som bemyndigats av en medlemsstat att utfärda förlitandepartregistreringscertifikat till förlitande parter som är registrerade i den medlemsstaten.