Art. 5 Regulamentul (UE) 2024/1183 (eIDAS 2) — Utilizarea transfrontalieră a portofelelor europene pentru identitatea digitală

Portofelele europene pentru identitatea digitală

(1)   În scopul garantării faptului că toate persoanele fizice și juridice din Uniune au un acces transfrontalier securizat, fiabil și neîntrerupt la servicii publice și private, păstrând totodată controlul deplin asupra datelor lor, fiecare stat membru furnizează cel puțin un portofel european pentru identitatea digitală în termen de 24 de luni de la data intrării în vigoare a actelor de punere în aplicare menționate la alineatul (23) de la prezentul articol și la articolul 5c alineatul (6).

(2)   Portofelele europene pentru identitatea digitală sunt furnizate în unul sau mai multe dintre următoarele moduri:

(a)

direct de către un stat membru;

(b)

pe baza unui mandat din partea unui stat membru;

(c)

în mod independent de un stat membru, dar fiind recunoscute de respectivul stat membru.

(3)   Codul sursă al componentelor de software ale aplicației portofelelor europene pentru identitatea digitală face obiectul unei licențe cu sursă deschisă. Statele membre pot prevedea ca, din motive justificate în mod corespunzător, codul sursă al anumitor componente, altele decât cele instalate pe dispozitivele utilizatorilor, să nu fie divulgat.

(4)   Portofelele europene pentru identitatea digitală permit utilizatorului, într-un mod transparent și ușor de utilizat și de urmărit de către acesta:

(a)

să solicite, să obțină, să selecteze, să combine, să stocheze, să șteargă, să partajeze și să prezinte în condiții de siguranță, exclusiv sub controlul utilizatorului, datele de identificare personală și, după caz, în combinație cu atestate electronice ale atributelor, să se autentifice beneficiarilor online și, după caz, în mod offline, pentru a accesa servicii publice și private, asigurând, în același timp, că este posibilă divulgarea selectivă a datelor;

(b)

să genereze pseudonime și să le stocheze local și în formă criptată în portofelul european pentru identitatea digitală;

(c)

să autentifice în condiții de siguranță portofelul european pentru identitatea digitală al unei alte persoane și să primească și partajeze date de identificare personală și atestate electronice ale atributelor într-un mod securizat între cele două portofele europene pentru identitatea digitală;

(d)

să acceseze o evidență a tuturor tranzacțiilor efectuate cu ajutorul portofelului european pentru identitatea digitală prin intermediul unui tablou de bord comun care să permită utilizatorului:

(i)

să vizualizeze o listă actualizată a beneficiarilor cu care utilizatorul a stabilit o conexiune și, după caz, a tuturor datelor partajate;

(ii)

să solicite cu ușurință unui beneficiar să șteargă datele cu caracter personal în temeiul articolului 17 din Regulamentul (UE) 2016/679;

(iii)

să semnaleze cu ușurință un beneficiar autorității naționale competente pentru protecția datelor, atunci când se primește o cerere de date presupus ilegală sau suspectă;

(e)

să semneze prin intermediul semnăturilor electronice calificate sau să sigileze prin intermediul sigiliilor electronice calificate;

(f)

să descarce, în măsura în care acest lucru este fezabil din punct de vedere tehnic, datele, atestatul electronic al atributelor și configurațiile utilizatorului;

(g)

să exercite dreptul utilizatorului la portabilitatea datelor.

(5)   În special, portofelele europene pentru identitatea digitală:

(a)

permit utilizarea unor protocoale și interfețe comune:

(i)

pentru emiterea datelor de identificare personală, a atestatelor electronice calificate și necalificate ale atributelor sau a certificatelor calificate și necalificate către portofelul european pentru identitatea digitală;

(ii)

pentru ca beneficiarii să solicite și să valideze date de identificare personală și atestate electronice ale atributelor;

(iii)

pentru partajarea și prezentarea către beneficiari a datelor de identificare personală, a atestatului electronic al atributelor sau a datelor conexe divulgate selectiv online și, după caz, în mod offline;

(iv)

pentru ca utilizatorul să permită interacțiunea cu portofelul european pentru identitatea digitală și să afișeze o marcă de încredere a portofelului UE pentru identitatea digitală;

(v)

pentru a realiza integrarea în condiții de siguranță a utilizatorului prin utilizarea unui mijloc de identificare electronică în conformitate cu articolul 5a alineatul (24);

(vi)

pentru interacțiunea între portofelele europene pentru identitatea digitală a două persoane în scopul de a primi, a valida și a partaja date de identificare personală și atestate electronice ale atributelor într-un mod securizat;

(vii)

pentru autentificarea și identificarea beneficiarilor prin punerea în aplicare a mecanismelor de autentificare în conformitate cu articolul 5b;

(viii)

pentru ca beneficiarii să verifice autenticitatea și valabilitatea portofelelor europene pentru identitatea digitală;

(ix)

pentru a solicita unui beneficiar să șteargă datele cu caracter personal în temeiul articolului 17 din Regulamentul (UE) 2016/679;

(x)

pentru a semnala un beneficiar autorității naționale pentru protecția datelor competente în cazul în care se primește o cerere de date presupus ilegală sau suspectă;

(xi)

pentru crearea de semnături sau sigilii electronice calificate prin intermediul dispozitivelor de creare a semnăturilor electronice sau a sigiliilor electronice calificate;

(b)

nu oferă prestatorilor de servicii de încredere care furnizează atestate electronice ale atributelor nicio informație cu privire la utilizarea respectivelor atestate electronice;

(c)

asigură faptul că beneficiarii pot fi autentificați și identificați prin punerea în aplicare a unor mecanisme de autentificare în conformitate cu articolul 5b;

(d)

îndeplinesc cerințele prevăzute la articolul 8 în ceea ce privește nivelul de asigurare ridicat, în special în ceea ce privește cerințele privind dovedirea și verificarea identității, precum și gestionarea și autentificarea mijloacelor de identificare electronică;

(e)

în cazul atestatelor electronice ale atributelor cu politici de divulgare încorporate, pune în aplicare mecanismul adecvat pentru a informa utilizatorul că beneficiarul sau utilizatorul portofelului european pentru identitatea digitală care solicită atestatul electronic al atributelor în cauză are permisiunea de a accesa astfel de atestate;

(f)

asigură faptul că datele de identificare personală, care sunt disponibile din sistemul de identificare electronică în cadrul căruia este furnizat portofelul european pentru identitatea digitală, reprezintă în mod unic persoana fizică, persoana juridică sau persoana fizică ce reprezintă persoana fizică sau juridică și sunt asociate cu respectivul portofel european pentru identitatea digitală;

(g)

oferă tuturor persoanelor fizice posibilitatea de a semna prin intermediul semnăturilor electronice calificate în mod implicit și gratuit.

Prin excepție de la dispozițiile de la primul paragraf litera (g), statele membre pot să prevadă măsuri proporționale pentru a asigura faptul că utilizarea gratuită a semnăturilor electronice calificate de către persoanele fizice este limitată la scopuri neprofesionale.

(6)   Statele Membre informează utilizatorii, fără întârziere, despre orice încălcare a securității care le-ar fi putut compromite total sau parțial portofelul european pentru identitatea digitală sau conținutul lui, în special dacă portofelul european pentru identitatea digitală al utilizatorilor a fost suspendat sau revocat în conformitate cu articolul 5e.

(7)   Fără a aduce atingere articolul 5f, statele membre pot să prevadă, în conformitate cu dreptul intern, funcționalități suplimentare ale portofelelor europene pentru identitatea digitală, inclusiv interoperabilitatea cu mijloacele naționale de identificare electronică existente. Aceste funcționalități suplimentare trebuie să fie conforme cu prezentul articol.

(8)   Statele membre pun la dispoziție cu titlu gratuit mecanisme de validare pentru:

(a)

a asigura faptul că autenticitatea și valabilitatea portofelelor europene pentru identitatea digitală pot fi verificate;

(b)

a permite utilizatorilor să verifice autenticitatea și valabilitatea identității beneficiarilor înregistrați în conformitate cu articolul 5b.

(9)   Statele membre se asigură că valabilitatea portofelului european pentru identitatea digitală poate fi revocată în următoarele circumstanțe:

(a)

la cererea explicită a utilizatorului;

(b)

în cazul în care a fost compromisă securitatea portofelului european pentru identitatea digitală;

(c)

în caz de deces al utilizatorului sau de încetare a activității persoanei juridice.

(10)   Furnizorii de portofele europene pentru identitatea digitală se asigură că utilizatorii pot solicita cu ușurință asistență tehnică și pot raporta problemele tehnice sau orice alte incidente care au impact negativ asupra utilizării portofelului european pentru identitatea digitală.

(11)   Portofelele europene pentru identitatea digitală sunt furnizate în cadrul unui sistem de identificare electronică având nivelul de asigurare ridicat.

(12)   Portofelele europene pentru identitatea digitală garantează securitatea de la stadiul conceperii.

(13)   Portofelele europene pentru identitatea digitală se emit, se utilizează și sunt revocate în mod gratuit pentru toate persoanele fizice.

(14)   Utilizatorii au controlul deplin asupra utilizării portofelului lor european pentru identitatea digitală și asupra datelor din acesta. Furnizorul portofelului european pentru identitatea digitală nu colectează informații cu privire la utilizarea portofelului european pentru identitatea digitală care nu sunt necesare pentru furnizarea serviciilor oferite de portofelul european pentru identitatea digitală și nici nu combină date de identificare personală sau orice alte date cu caracter personal stocate sau legate de utilizarea portofelului european pentru identitatea digitală cu date cu caracter personal provenind de la orice alte servicii oferite de respectivul furnizor sau de la servicii furnizate de terți care nu sunt necesare pentru furnizarea serviciilor oferite de portofelul european pentru identitatea digitală, cu excepția cazului în care utilizatorul a solicitat în mod expres contrariul. Datele cu caracter personal legate de punerea la dispoziție de portofele europene pentru identitatea digitală sunt păstrate separate logic de orice alte date deținute de furnizorul de portofele europene pentru identitatea digitală. În cazul în care portofelul european pentru identitatea digitală este furnizat de părți private în conformitate cu alineatul (2) literele (b) și (c) de la prezentul articol, dispozițiile articolului 45h alineatul (3) se aplică mutatis mutandis.

(15)   Utilizarea portofelelor europene pentru identitatea digitală este voluntară. Accesul la serviciile publice și private, accesul la piața muncii și libertatea de a desfășura o activitate comercială nu sunt în niciun fel restricționate sau permise în condiții mai dezavantajoase pentru persoanele fizice sau juridice care nu utilizează portofelele europene pentru identitatea digitală. Accesul la serviciile publice și private rămâne posibil prin alte mijloace de identificare și autentificare existente.

(16)   Cadrul tehnic al portofelului european pentru identitatea digitală:

(a)

nu permite furnizorilor de atestate electronice ale atributelor sau oricărei alte părți, după emiterea atestatelor atributelor, să obțină date care permit urmărirea, conectarea sau corelarea tranzacțiilor sau a comportamentul utilizatorului sau obținerea în alt mod de cunoștințe privind tranzacțiile sau comportamentul utilizatorului, cu excepția cazului în care utilizatorul autorizează în mod explicit acest lucru;

(b)

permite aplicarea unor tehnici de protecție a vieții private care asigură imposibilitatea stabilirii unei legături, în cazul în care atestarea atributelor nu necesită identificarea utilizatorului.

(17)   Orice prelucrare a datelor cu caracter personal efectuată de statele membre sau, în numele acestora, de organisme sau părți responsabile de furnizarea portofelelor europene pentru identitatea digitală drept mijloace de identificare electronică se efectuează în conformitate cu măsuri adecvate și eficace de protecție a datelor. Trebuie să se demonstreze conformitatea unei astfel de prelucrări cu Regulamentul (UE) 2016/679. Statele membre pot adopta dispoziții de drept intern pentru a preciza mai în detaliu aplicarea acestor măsuri.

(18)   Statele membre transmit Comisiei, fără întârzieri nejustificate, informații cu privire la:

(a)

organismul responsabil cu întocmirea și menținerea listei beneficiarilor înregistrați care recurg la portofelele europene pentru identitatea digitală în conformitate cu articolul 5b alineatul (5) și localizarea acestei liste;

(b)

organismele responsabile de furnizarea portofelelor europene pentru identitatea digitală în conformitate cu articolul 5a alineatul (1);

(c)

organismele responsabile de asigurarea faptului că datele de identificare personală sunt asociate cu portofelul european pentru identitatea digitală în conformitate cu articolul 5a alineatul (5) litera (f);

(d)

mecanismul care permite validarea datelor de identificare personală menționate la articolul 5a alineatul (5) litera (f) și a identității beneficiarilor;

(e)

mecanismul de validare a autenticității și valabilității portofelelor europene pentru identitatea digitală.

Comisia pune informațiile transmise în temeiul primului paragraf la dispoziția publicului prin intermediul unui canal sigur, într-o formă purtând o semnătură electronică sau un sigiliu electronic adecvate pentru prelucrarea automată.

(19)   Fără a aduce atingere alineatului (22) de la prezentul articol, articolul 11 se aplică mutatis mutandis portofelului european pentru identitatea digitală.

(20)   Articolul 24 alineatul (2) litera (b) și literele (d)-(h) se aplică mutatis mutandis furnizorilor de portofelele europene pentru identitatea digitală.

(21)   Se asigură accesibilitatea portofelelor europene pentru identitatea digitală pentru ca persoanele cu dizabilități să le poată utiliza în aceleași condiții ca și ceilalți utilizatori, în conformitate cu Directiva (UE) 2019/882 a Parlamentului European și a Consiliului[(\*2)](#ntr*2-L_202401183RO.000101-E0018).

(22)   În scopul furnizării portofelelor europene pentru identitatea digitală, portofelelor europene pentru identitatea digitală și sistemelor de identificare electronică în cadrul cărora sunt furnizate nu li se aplică cerințele prevăzute la articolele 7, 9, 10, 12 și 12a.

(23)   Până la 21 noiembrie 2024, Comisia stabilește, prin intermediul unor acte de punere în aplicare, o listă de standarde de referință și, dacă este necesar, specificații și proceduri privind cerințele menționate la alineatele (4), (5), (8) și (18) de la prezentul articol, privind implementarea portofelului european pentru identitatea digitală. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).

(24)   Comisia stabilește, prin intermediul unor acte de punere în aplicare, o listă de standarde de referință și, dacă este necesar, specificații tehnice și proceduri pentru a facilita integrarea utilizatorilor în sistemul reprezentat de portofelul european pentru identitatea digitală fie prin mijloace de identificare electronică conforme cu nivelul de asigurare ridicat, fie prin mijloace de identificare electronică conforme cu nivelul de asigurare substanțial combinate cu proceduri suplimentare de integrare la distanță care, împreună, îndeplinesc cerințele nivelului de asigurare ridicat. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).

Beneficiarii portofelului european pentru identitatea digitală

(1)   În cazul în care un beneficiar intenționează să recurgă la portofele europene pentru identitatea digitală pentru furnizarea de servicii publice sau private prin intermediul interacțiunii digitale, beneficiarul se înregistrează în statul membru în care este stabilit.

(2)   Procesul de înregistrare este eficient din punctul de vedere al costurilor și proporțional cu riscurile. Beneficiarul furnizează cel puțin:

(a)

informațiile necesare pentru autentificarea în portofelele europene pentru identitatea digitală, informații care includ cel puțin:

(i)

statul membru în care este stabilit beneficiarul; și

(ii)

numele beneficiarului și, după caz, numărul său de înregistrare, astfel cum figurează într-un registru oficial, împreună cu datele de identificare ale respectivului registru oficial;

(b)

datele de contact ale beneficiarului;

(c)

utilizarea preconizată a portofelelor europene pentru identitatea digitală, inclusiv menționarea datelor pe care beneficiarul urmează să le solicite utilizatorilor.

(3)   Beneficiarii nu solicită utilizatorilor să furnizeze alte date decât cele menționate în temeiul alineatului (2) litera (c).

(4)   Alineatele (1) și (2) nu aduc atingere dreptului Uniunii sau dreptului intern care se aplică prestării de servicii specifice.

(5)   Statele membre pun la dispoziția publicului online informațiile menționate la alineatul (2), într-o formă purtând o semnătură electronică sau un sigiliu electronic adecvate pentru prelucrarea automată.

(6)   Beneficiarii înregistrați în conformitate cu prezentul articol informează fără întârziere statele membre cu privire la orice modificare a informațiilor furnizate în înregistrarea efectuată în temeiul alineatului (2).

(7)   Statele membre stabilesc un mecanism comun care să permită identificarea și autentificarea beneficiarilor, astfel cum se menționează la articolul 5a alineatul (5) litera (c).

(8)   Atunci când intenționează să recurgă la portofele europene pentru identitatea digitală, beneficiarii se identifică față de utilizator.

(9)   Beneficiarii sunt responsabili de îndeplinirea procedurii de autentificare și validare a datelor de identificare personală și de atestare electronică a atributelor solicitate în cadrul portofelelor europene pentru identitatea digitală. Beneficiarii nu refuză utilizarea pseudonimelor, în cazul în care dreptul Uniunii sau de dreptul intern nu impun identificarea utilizatorului.

(10)   Intermediarii care acționează în numele beneficiarilor sunt considerați beneficiari și nu stochează date cu privire la conținutul tranzacției.

(11)   Până la 21 noiembrie 2024, Comisia stabilește specificațiile tehnice și procedurile privind cerințele prevăzute la alineatele (2), (5) și (6)-(9) de la prezentul articol prin intermediul unor acte de punere în aplicare privind implementarea portofelelor europene pentru identitatea digitală, astfel cum se menționează la articolul 5a alineatul (23). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).

Certificarea portofelelor europene pentru identitatea digitală

(1)   Conformitatea portofelelor europene pentru identitatea digitală și a sistemului de identificare electronică în cadrul căruia sunt furnizate cu cerințele prevăzute la articolul 5a alineatele (4), (5) și (8), cu cerința privind separarea logică prevăzută la articolul 5a alineatul (14) și, după caz, cu standardele și specificațiile tehnice menționate la articolul 5a alineatul (24) este certificată de organisme de evaluare a conformității desemnate de statele membre.

(2)   Certificarea conformității portofelelor europene pentru identitatea digitală cu cerințele menționate la alineatul (1) de la prezentul articol care sunt relevante în materie de securitate cibernetică sau cu părți ale acestora se efectuează în conformitate cu sistemele europene de certificare a securității cibernetice adoptate în temeiul Regulamentului (UE) 2019/881 al Parlamentului European și al Consiliului[(\*3)](#ntr*3-L_202401183RO.000101-E0019) și indicate în actele de punere în aplicare menționate la alineatul (6) de la prezentul articol.

(3)   Pentru cerințele menționate la alineatul (1) de la prezentul articol care nu sunt relevante în materie de securitate cibernetică și pentru cerințele menționate la alineatul (1) de la prezentul articol care sunt relevante în materie de securitate cibernetică, în măsura în care sistemele de certificare a securității cibernetice menționate la alineatul (2) de la prezentul articol nu acoperă sau acoperă doar parțial cerințele de securitate cibernetică respective, statele membre instituie, și pentru respectivele cerințe, sisteme de certificare naționale în conformitate cu cerințele stabilite în actele de punere în aplicare menționate la alineatul (6) de la prezentul articol. Statele membre transmit proiectele lor de sisteme de certificare naționale Grupului european de cooperare privind identitatea digitală constituit în temeiul articolului 46e alineatul (1) (denumit în continuare «grupul de cooperare») Grupul de cooperare poate emite avize și recomandări.

(4)   Certificarea realizată în temeiul la alineatului (1) este valabilă pentru o perioadă de maximum cinci ani, cu condiția efectuării unei evaluări a vulnerabilității la fiecare doi ani. În cazul în care este identificată o vulnerabilitate și aceasta nu este remediată în timp util, certificarea este anulată.

(5)   Respectarea cerințelor stabilite la articolul 5a din prezentul regulament referitoare la operațiunile de prelucrare a datelor cu caracter personal poate să fie certificată în temeiul Regulamentului (UE) 2016/679.

(6)   Până la 21 noiembrie 2024, Comisia stabilește, prin intermediul unor acte de punere în aplicare, o listă de standarde de referință și, dacă este necesar, specificații și proceduri pentru certificarea portofelelor europene pentru identitatea digitală menționată la alineatele (1), (2) și (3) de la prezentul articol. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).

(7)   Statele membre comunică Comisiei denumirile și adresele organismelor de evaluare a conformității menționate la alineatul (1). Comisia pune informațiile respective la dispoziția tuturor statelor membre.

(8)   Comisia este împuternicită să adopte acte delegate în conformitate cu articolul 47 prin care se stabilesc criteriile specifice care urmează să fie îndeplinite de organismele de evaluare a conformității desemnate menționate la alineatul (1) de la prezentul articol.

Publicarea unei liste a portofelelor europene pentru identitatea digitală certificate

(1)   Statele membre informează, fără întârzieri nejustificate, Comisia și grupul de cooperare constituit în temeiul articolului 46e alineatul (1) cu privire la portofelele europene pentru identitatea digitală care au fost furnizate în temeiul articolului 5a și au fost certificate de organismele de evaluare a conformității menționate la articolul 5c alineatul (1). Statele membre informează, fără întârzieri nejustificate, Comisia și grupul de cooperare constituit în temeiul articolului 46e alineatul (1) în cazul în care o certificare este anulată și indică motivele anulării.

(2)   Fără a aduce atingere articolului 5a alineatul (18), informațiile menționate la alineatul (1) de la prezentul articol, furnizate de statele membre, includ cel puțin:

(a)

certificatul și raportul de evaluare a certificării portofelului european pentru identitatea digitală certificat;

(b)

o descriere a sistemului de identificare electronică în cadrul căruia este furnizat portofelul european pentru identitatea digitală;

(c)

regimul de supraveghere aplicabil și informații privind regimul de răspundere referitor la partea care furnizează portofelul european pentru identitatea digitală;

(d)

autoritatea sau autoritățile responsabile pentru sistemul de identificare electronică;

(e)

dispozițiile pentru suspendarea sau revocarea sistemului de identificare electronică, a autentificării sau a părților compromise în cauză.

(3)   Pe baza informațiilor primite în temeiul alineatului (1), Comisia stabilește, publică în Jurnalul Oficial al Uniunii Europene și menține într-o formă care poate fi citită automat o listă a portofelelor europene pentru identitatea digitală certificate.

(4)   Un stat membru poate transmite Comisiei o cerere de eliminare de pe lista menționată la alineatul (3) a unui portofel european pentru identitatea digitală și a sistemului de identificare electronică în cadrul căruia este furnizat acesta.

(5)   În cazul în care informațiile transmise în temeiul alineatului (1) se modifică, statul membru furnizează Comisiei informațiile actualizate.

(6)   Comisia actualizează lista menționată la alineatul (3) prin publicarea în Jurnalul Oficial al Uniunii Europene a modificărilor corespunzătoare aduse listei în termen de o lună de la primirea unei cereri în temeiul alineatului (4) sau a informațiilor actualizate în temeiul alineatului (5).

(7)   Până la 21 noiembrie 2024, Comisia stabilește formatele și procedurile aplicabile în vederea îndeplinirii cerințelor prevăzute la alineatele (1), (4) și (5) de la prezentul articol prin intermediul unor acte de punere în aplicare cu privire la implementarea portofelelor europene pentru identitatea digitală, astfel cum se menționează la articolul 5a alineatul (23). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).

Încălcarea securității portofelelor europene pentru identitatea digitală

(1)   În cazul în care portofelele europene pentru identitatea digitală furnizate în temeiul articolului 5a, mecanismele de validare menționate la articolul 5a alineatul (8) sau sistemul de identificare electronică în cadrul căruia sunt furnizate portofelele europene pentru identitatea digitală fac obiectul unei încălcări a securității sau sunt compromise parțial într-un mod care afectează fiabilitatea lor sau a altor portofele europene pentru identitatea digitală, statele membre care au furnizat portofelele europene pentru identitatea digitală suspendă fără întârziere nejustificată furnizarea și utilizarea portofelelor europene pentru identitatea digitală.

În cazul în care acest lucru este justificat de gravitatea încălcării securității sau a compromiterii menționate la primul paragraf, statul membru retrage fără întârzieri nejustificate portofelele europene pentru identitatea digitală.

Statul membru informează în mod corespunzător utilizatorii afectați, punctele unice de contact desemnate în temeiul articolului 46c alineatul (1), beneficiarii și Comisia.

(2)   În cazul în care încălcarea securității sau compromiterea menționată la alineatul (1) primul paragraf de la prezentul articol nu este remediată în termen de trei luni de la suspendare, statul membru care a furnizat portofelele europene pentru identitatea digitală retrage portofelele europene pentru identitatea digitală și le revocă valabilitatea. Statul membru informează în mod corespunzător utilizatorii afectați, punctele unice de contact desemnate în temeiul articolului 46c alineatul (1), beneficiarii și Comisia cu privire la retragere.

(3)   În cazul în care încălcarea securității sau compromiterea menționată la alineatul (1) primul paragraf de la prezentul articol este remediată, statul membru furnizor reia furnizarea și utilizarea portofelelor europene pentru identitatea digitală și informează fără întârzieri nejustificate utilizatorii și beneficiarii afectați, punctele unice de contact desemnate în temeiul articolului 46c alineatul (1) și Comisia.

(4)   Comisia publică în Jurnalul Oficial al Uniunii Europene, fără întârzieri nejustificate, modificările corespunzătoare aduse listei menționate la articolul 5d.

(5)   Până la 21 noiembrie 2024, Comisia stabilește, prin intermediul unor acte de punere în aplicare, o listă de standarde de referință și, dacă este necesar, specificații și proceduri pentru măsurile menționate la alineatele (1), (2) și (3) de la prezentul articol. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).

Utilizarea transfrontalieră a portofelelor europene pentru identitatea digitală

(1)   În cazul în care statele membre solicită identificarea și autentificarea electronică pentru a accesa un serviciu online furnizat de un organism din sectorul public, acestea acceptă și portofelele europene pentru identitatea digitală care sunt furnizate în conformitate cu prezentul regulament.

(2)   În cazul în care beneficiarii privați care furnizează servicii, cu excepția microîntreprinderilor și a întreprinderilor mici, astfel cum sunt definite la articolul 2 din anexa la Recomandarea 2003/361/CE a Comisiei[(\*4)](#ntr*4-L_202401183RO.000101-E0020), au obligația în temeiul dreptului Uniunii sau al dreptului intern să utilizeze autentificarea strictă a utilizatorului pentru identificarea online sau în cazul în care autentificarea strictă a utilizatorului pentru identificarea online este obligatorie în temeiul unei obligații contractuale, inclusiv în domeniile transporturilor, energiei, serviciilor bancare și financiare, securității sociale, sănătății, apei potabile, serviciilor poștale, infrastructurii digitale, educației sau telecomunicațiilor, respectivii beneficiari privați, în termen de 36 de luni de la data intrării în vigoare a actelor de punere în aplicare menționate la articolul 5a alineatul (23) și la articolul 5c alineatul (6) și, numai la cererea voluntară a utilizatorului, acceptă și utilizarea portofelelor europene pentru identitatea digitală care sunt furnizate în conformitate cu prezentul regulament.

(3)   În cazul în care furnizorii de platforme online foarte mari menționate la articolul 33 din Regulamentul (UE) 2022/2065 al Parlamentului European și al Consiliului[(\*5)](#ntr*5-L_202401183RO.000101-E0021) impun autentificarea utilizatorului pentru accesul la servicii online, aceștia acceptă și facilitează și utilizarea portofelelor europene pentru identitatea digitală care sunt furnizate în conformitate cu prezentul regulament pentru autentificarea utilizatorului, numai la cererea voluntară a acestuia și în ceea ce privește datele minime necesare pentru serviciul online specific pentru care se solicită autentificarea.

(4)   În cooperare cu statele membre, Comisia facilitează elaborarea unor coduri de conduită în strânsă colaborare cu toate părțile interesate relevante, inclusiv cu societatea civilă, pentru a contribui la disponibilitatea și utilizarea pe scară largă a portofelelor europene pentru identitatea digitală care se încadrează în domeniul de aplicare al prezentului regulament și pentru a încuraja prestatorii de servicii să finalizeze elaborarea codurilor de conduită.

(5)   În termen de 24 de luni de la implementarea portofelelor europene pentru identitatea digitală, Comisia evaluează cererea, disponibilitatea și posibilitatea de utilizare a portofelelor europene pentru identitatea digitală, ținând seama de criterii precum adoptarea de către utilizatori, prezența transfrontalieră a prestatorilor de servicii, evoluțiile tehnologice, evoluția modelelor de utilizare și cererea consumatorilor.

[(\*2)](#ntc*2-L_202401183RO.000101-E0018)  Directiva (UE) 2019/882 a Parlamentului European și a Consiliului din 17 aprilie 2019 privind cerințele de accesibilitate aplicabile produselor și serviciilor ([JO L 151, 7.6.2019, p. 70](http://publications.europa.eu/resource/oj/JOL_2019_151_R_TOC))."

[(\*3)](#ntc*3-L_202401183RO.000101-E0019)  Regulamentul (UE) 2019/881 al Parlamentului European și al Consiliului din 17 aprilie 2019 privind ENISA (Agenția Uniunii Europene pentru Securitate Cibernetică) și privind certificarea securității cibernetice pentru tehnologia informației și comunicațiilor și de abrogare a Regulamentului (UE) nr. 526/2013 (Regulamentul privind securitatea cibernetică) ([JO L 151, 7.6.2019, p. 15](http://publications.europa.eu/resource/oj/JOL_2019_151_R_TOC))."

[(\*4)](#ntc*4-L_202401183RO.000101-E0020)  Recomandarea 2003/361/CE a Comisiei din 6 mai 2003 privind definirea microîntreprinderilor și a întreprinderilor mici și mijlocii ([JO L 124, 20.5.2003, p. 36](http://publications.europa.eu/resource/oj/JOL_2003_124_R_TOC))."

[(\*5)](#ntc*5-L_202401183RO.000101-E0021)  Regulamentul (UE) 2022/2065 al Parlamentului European și al Consiliului din 19 octombrie 2022 privind o piață unică pentru serviciile digitale și de modificare a Directivei 2000/31/CE (Regulamentul privind serviciile digitale) ([JO L 277, 27.10.2022, p. 1](http://publications.europa.eu/resource/oj/JOL_2022_277_R_TOC)).”

"

6.

Se introduce următorul titlu înainte de articolul 6:

SISTEME DE IDENTIFICARE ELECTRONICĂ”.

7.

La articolul 7, litera (g) se înlocuiește cu următorul text:

„(g)

cu cel puțin șase luni înaintea notificării efectuate în temeiul articolului 9 alineatul (1), statul membru care notifică furnizează celorlalte state membre, în scopul aplicării articolului 12 alineatul (5), o descriere a sistemului respectiv în conformitate cu modalitățile procedurale prevăzute în actele de punere în aplicare adoptate în temeiul articolului 12 alineatul (6);”.

8.

La articolul 8 alineatul (3), primul paragraf se înlocuiește cu următorul text:

„(3)   Până la 18 septembrie 2015, ținând cont de standardele internaționale relevante și sub rezerva alineatului (2), Comisia stabilește, prin intermediul unor acte de punere în aplicare, specificațiile tehnice, standardele și procedurile minime, în raport cu care sunt determinate nivelurile de asigurare scăzut, substanțial și ridicat pentru mijloacele de identificare electronică.”

9.

La articolul 9, alineatele (2) și (3) se înlocuiesc cu următorul text:

„(2)   Comisia publică în Jurnalul Oficial al Uniunii Europene, fără întârzieri nejustificate, o listă a sistemelor de identificare electronică ce au fost notificate în temeiul alineatului (1), împreună cu informațiile de bază cu privire la aceste sisteme.

(3)   Comisia publică în Jurnalul Oficial al Uniunii Europene modificările la lista menționată la alineatul (2) în termen de o lună de la data primirii respectivei notificări.”

10.

La articolul 10, titlul se înlocuiește cu următorul text:

„Încălcarea securității sistemelor de identificare electronică”.

11.

Se introduce următorul articol:

„Articolul 11a

Corelarea transfrontalieră a identităților

(1)   Atunci când acționează în calitate de beneficiari ai unor servicii transfrontaliere, statele membre asigură corelarea fără echivoc a identităților pentru persoanele fizice care utilizează mijloace de identificare electronică notificate sau portofele europene pentru identitatea digitală.

(2)   Statele membre prevăd măsuri tehnice și organizatorice pentru a asigura un nivel ridicat de protecție a datelor cu caracter personal utilizate pentru corelarea identităților și pentru a preveni crearea de profiluri ale utilizatorilor.

(3)   Până la 21 noiembrie 2024, Comisia stabilește, prin intermediul unor acte de punere în aplicare, o listă de standarde de referință și, dacă este necesar, specificații și proceduri privind cerințele menționate la alineatul (1). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).”

12.

Articolul 12 se modifică după cum urmează:

(a)

titlul se înlocuiește cu următorul text:

„Interoperabilitate”;

(b)

alineatul (3) se modifică după cum urmează:

(i)

litera (c) se înlocuiește cu următorul text:

„(c)

facilitează protecția, începând cu momentul conceperii, a vieții private și a securității («privacy and security by design»);”;

(ii)

litera (d) se elimină;

(c)

la alineatul (4), litera (d) se înlocuiește cu următorul text:

„(d)

o trimitere la un set minim de date de identificare personală necesare pentru a reprezenta în mod unic o persoană fizică sau juridică sau o persoană fizică ce reprezintă o altă persoană fizică sau o persoană juridică, care sunt disponibile din sistemele de identificare electronică;”;

(d)

alineatele (5) și (6) se înlocuiesc cu următorul text:

„(5)   Statele membre efectuează evaluări inter pares ale sistemelor de identificare electronică care intră în domeniul de aplicare al prezentului regulament și care trebuie să fie notificate în conformitate cu articolul 9 alineatul (1) litera (a).

(6)   Până la 18 martie 2025, Comisia stabilește, prin intermediul unor acte de punere în aplicare, modalitățile procedurale necesare pentru efectuarea evaluărilor inter pares menționate la alineatul (5) de la prezentul articol, în vederea stimulării unui nivel ridicat de încredere și securitate corespunzător gradului de risc. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).”;

(e)

alineatul (7) se elimină;

(f)

alineatul (8) se înlocuiește cu următorul text:

„(8)   Până la 18 septembrie 2025, în vederea stabilirii unor condiții uniforme pentru punerea în aplicare a cerinței menționate la alineatul (1) de la prezentul articol, sub rezerva criteriilor stabilite la alineatul (3) de la prezentul articol și luând în considerare rezultatele cooperării dintre statele membre, Comisia adoptă acte de punere în aplicare privind cadrul de interoperabilitate, astfel cum este prevăzut la alineatul (4) de la prezentul articol. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).”

13.

În capitolul II se introduc următoarele articole:

„Articolul 12a

Certificarea sistemelor de identificare electronică

(1)   Conformitatea sistemelor de identificare electronică ce trebuie notificate cu cerințele privind securitatea cibernetică prevăzute în prezentul regulament, inclusiv conformitatea cu cerințele relevante în materie de securitate cibernetică prevăzute la articolul 8 alineatul (2) în ceea ce privește nivelurile de asigurare ale sistemelor de identificare electronică, este certificată de organismele de evaluare a conformității desemnate de statele membre.

(2)   Certificarea efectuată în temeiul alineatului (1) de la prezentul articol se efectuează în cadrul unui sistem de certificare a securității cibernetice relevant în conformitate cu Regulamentul (UE) 2019/881 sau al unor părți ale acestuia, în măsura în care certificatul de securitate cibernetică sau unele părți ale acestuia acoperă respectivele cerințe privind securitatea cibernetică.

(3)   Certificarea efectuată în temeiul alineatului (1) este valabilă pentru o perioadă de maximum cinci ani, cu condiția să se efectueze o evaluare a vulnerabilității o dată la doi ani. În cazul în care este identificată o vulnerabilitate și aceasta nu este remediată în termen de trei luni de la identificarea sa, certificarea este anulată.

(4)   În pofida alineatului (2), statele membre pot, în conformitate cu alineatul respectiv, să solicite de la un stat membru care notifică informații suplimentare cu privire la sistemele de identificare electronică sau la părți certificate ale acestora.

(5)   Evaluarea inter pares privind sistemele de identificare electronică menționată la articolul 12 alineatul (5) nu se aplică sistemelor de identificare electronică sau unor părți ale acestor sisteme certificate în conformitate cu alineatul (1) de la prezentul articol. Statele membre pot utiliza un certificat sau o declarație de conformitate, emis(ă) în conformitate cu un sistem de certificare relevant sau cu părți ale unor astfel de sisteme, cu cerințele care nu țin de securitatea cibernetică prevăzute la articolul 8 alineatul (2) în ceea ce privește nivelul de asigurare ale sistemelor de identificare electronică.

(6)   Statele membre transmit Comisiei denumirile și adresele organismelor de evaluare a conformității menționate la alineatul (1). Comisia pune informațiile respective la dispoziția tuturor statelor membre.