Regler for personidentifikation og attributter i europæiske digitale tegnebøger

Artikel 1

Genstand og anvendelsesområde

Ved denne forordning fastsættes der regler for udstedelse af personidentifikationsdata og elektroniske attesteringer af attributter til tegnebogsenheder, der skal ajourføres regelmæssigt, så de er i overensstemmelse med den teknologiske udvikling og udviklingen af standarder og med det arbejde, der udføres på grundlag af Kommissionens henstilling (EU) 2021/946, navnlig den tekniske struktur og referencerammen.

Artikel 2

Definitioner

I denne forordning forstås ved:

1) »tegnebogsbruger«: en bruger, der har kontrol over tegnebogsenheden

2) »tegnebogsenhed«: en unik konfiguration af en tegnebogsløsning, der omfatter forekomster af tegnebøger, sikre kryptografiske tegnebogsapplikationer og sikre kryptografiske tegnebogsanordninger, som en tegnebogsudbyder stiller til rådighed for en individuel tegnebogsbruger

3) »tegnebogsløsning«: en kombination af software, hardware, tjenester, indstillinger og konfigurationer, herunder tegnebogsforekomster, en eller flere sikre kryptografiske tegnebogsapplikationer og en eller flere sikre kryptografiske tegnebogsanordninger

4) »udbyder af personidentifikationsdata«: en fysisk eller juridisk person, der er ansvarlig for at udstede og tilbagekalde personidentifikationsdata og sikre, at en brugers personidentifikationsdata er kryptografisk bundet til en tegnebogsenhed

5) »attestering af tegnebogsenhed« og »tegnebogsenhedsattestering«: et dataobjekt, der beskriver tegnebogsenhedens komponenter eller gør det muligt at autentificere og validere disse komponenter

6) »tegnebogsforekomst«: den applikation, der er installeret og konfigureret på en tegnebogsbrugers enhed eller miljø, som er en del af en tegnebogsenhed, og som tegnebogsbrugeren bruger til at interagere med tegnebogsenheden

7) »sikker kryptografisk tegnebogsapplikation«: en applikation, der forvalter kritiske aktiver ved at være knyttet til og anvende de kryptografiske og ikkekryptografiske funktioner, der leveres af en sikker kryptografisk tegnebogsanordning

8) »sikker kryptografisk tegnebogsanordning«: en anordning, der er sikret mod manipulation, og som tilvejebringer et miljø, der er knyttet til og anvendes af den sikre kryptografiske tegnebogsapplikation til at beskytte kritiske aktiver og tilvejebringe kryptografiske funktioner til sikker udførelse af kritiske operationer

9) »tegnebogsudbyder«: en fysisk eller juridisk person, der leverer tegnebogsløsninger

10) »kritiske aktiver«: aktiver i eller i forbindelse med en tegnebogsenhed af så ekstraordinær betydning, at det i alvorlig grad vil svække muligheden for at have tillid til tegnebogsenheden, hvis deres tilgængelighed, fortrolighed eller integritet kompromitteres

11) »tegnebogsmodtager«: en modtagerpart, der har til hensigt at benytte tegnebogsenheder til levering af offentlige eller private tjenester ved hjælp af digital interaktion

12) »adgangscertifikat for tegnebogsmodtager«: et certifikat for elektroniske segl eller signaturer, der autentificerer og validerer tegnebogsmodtageren, og som er udstedt af en udbyder af adgangscertifikater for tegnebogsmodtagere

13) »udbyder af adgangscertifikater for tegnebogsmodtagere«: en fysisk eller juridisk person, der er bemyndiget af en medlemsstat til at udstede adgangscertifikater for tegnebogsmodtagere, der er registreret i den pågældende medlemsstat.

Artikel 3

Udstedelse af personidentifikationsdata til tegnebogsenheder

1. Udbydere af personidentifikationsdata udsteder personidentifikationsdata til tegnebogsenheder i overensstemmelse med de elektroniske identifikationsordninger, som der leveres tegnebogsløsninger under.

2. Udbydere af personidentifikationsdata sikrer, at personidentifikationsdata, der udstedes til tegnebogsenheder, indeholder de oplysninger, der er nødvendige for at autentificere og validere personidentifikationsdataene.

3. Udbydere af personidentifikationsdata sikrer, at personidentifikationsdata, der udstedes til tegnebogsenheder, overholder de tekniske specifikationer i bilaget.

4. Medlemsstaterne sikrer, at de personidentifikationsdata, der udstedes til en given tegnebogsbruger, er unikke for medlemsstaten.

5. Udbydere af personidentifikationsdata sikrer, at de personidentifikationsdata, som de udsteder, er kryptografisk bundet til den tegnebogsenhed, som de er udstedt til.

6. Medlemsstaterne offentliggør en liste over tegnebogsløsninger, der understøttes af de udbydere af personidentifikationsdata, der indgår i den pågældende medlemsstats elektroniske identifikationsordninger.

7. Medlemsstaterne tilmelder tegnebogsbrugere i overensstemmelse med kravene vedrørende tilmelding på sikringsniveauet »høj«, som fastsat i Kommissionens gennemførelsesforordning (EU) 2015/1502 . I forbindelse med tilmeldingsprocessen foretager udbydere af personidentifikationsdata identitetsverifikation af tegnebogsbrugeren i overensstemmelse med kravene vedrørende identitetskontrol og -verifikation, inden de udsteder personidentifikationsdataene til tegnebogsenheden for den tilsvarende tegnebogsbruger.

8. Ved udstedelse af personidentifikationsdata til tegnebogsenheder skal udbydere af personidentifikationsdata identificere sig over for tegnebogsenheder ved hjælp af deres adgangscertifikat for tegnebogsmodtager eller ved at anvende en anden autentifikationsmekanisme i overensstemmelse med en elektronisk identitetsordning, der er anmeldt for sikringsniveauet »høj«.

9. Inden udbydere af personidentifikationsdata udsteder personidentifikationsdata til en tegnebogsenhed, skal de autentificere og validere tegnebogsenhedens attestering og kontrollere, at tegnebogsenheden tilhører en tegnebogsløsning, som udbyderen af personidentifikationsdata accepterer, eller bruge en anden autentifikationsmekanisme i overensstemmelse med en elektronisk identitetsordning, der er anmeldt for sikringsniveauet »høj«.

Artikel 4

Udstedelse af elektroniske attesteringer af attributter til tegnebogsenheder

1. Elektroniske attesteringer af attributter udstedt til tegnebogsenheder skal opfylde mindst én af standarderne på den liste, der er fastsat i bilag I til gennemførelsesforordning (EU) 2024/2979.

2. Udbydere af elektroniske attesteringer af attributter skal identificere sig over for tegnebogsenheder ved hjælp af deres adgangscertifikat for tegnebogsmodtager.

3. Udbydere af elektroniske attesteringer af attributter sikrer, at elektroniske attesteringer af attributter, der udstedes til tegnebogsenheder, indeholder de oplysninger, der er nødvendige for at autentificere og validere personidentifikationsdataene.

Artikel 5

Tilbagekaldelse af personidentifikationsdata

1. Udbydere af personidentifikationsdata, der er udstedt til en tegnebogsenhed, skal have skriftlige og offentligt tilgængelige politikker vedrørende styring af gyldighedsstatus, herunder, i det omfang det er relevant, betingelserne for, at sådanne personidentifikationsdata kan tilbagekaldes uden ophold.

2. Personidentifikationsdata eller elektroniske attesteringer af attributter kan kun tilbagekaldes af de udbydere af personidentifikationsdata eller elektroniske attesteringer af attributter, som har udstedt dem.

3. Hvis udbydere af personidentifikationsdata har tilbagekaldt personidentifikationsdata, skal de via særlige og sikre kanaler underrette de berørte tegnebogsbrugere om disse personidentifikationsdata senest 24 timer efter tilbagekaldelsen og om årsagerne til tilbagekaldelsen. Dette skal ske på en måde, der er kortfattet, let tilgængelig og i et klart og enkelt sprog.

4. Hvis udbydere af personidentifikationsdata tilbagekalder personidentifikationsdata, der er udstedt til tegnebogsenheder, skal de gøre det i hvert af følgende tilfælde:

a) efter udtrykkelig anmodning fra den tegnebogsbruger, til hvis tegnebogsenhed personidentifikationsdataene eller den elektroniske attestering af attributter blev udstedt

b) hvis den tegnebogsenhedsattestering, som personidentifikationsdataene blev udstedt til, er blevet tilbagekaldt

c) i andre situationer, der er fastlagt af udbyderne af personidentifikationsdata eller elektroniske attesteringer af attributter i deres politikker som omhandlet i stk. 1.

5. Udbydere af personidentifikationsdata, der er udstedt til en tegnebogsenhed, sikrer, at tilbagekaldelser ikke kan reverteres.

6. Tilbagekaldte personidentifikationsdata skal forblive tilgængelige, så længe det kræves i henhold til EU-retten eller national ret.

7. Hvis udbydere af personidentifikationsdata tilbagekalder personidentifikationsdata, der er udstedt til tegnebogsenheder, skal de offentliggøre gyldighedsstatussen for de personidentifikationsdata, som de udsteder, på en måde, der beskytter privatlivets fred, og angive placeringen af disse oplysninger i personidentifikationsdataene.

8. Udbydere af personidentifikationsdata skal muliggøre teknikker til beskyttelse af privatlivets fred, som sikrer uforbindelighed, hvis de elektroniske attesteringer af attributter ikke kræver identifikation af brugeren.

Artikel 6

Ikrafttræden

Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.

Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.

Udfærdiget i Bruxelles, den 28. november 2024.

På Kommissionens vegne

Ursula VON DER LEYEN

Formand

---

EUT L 257 af 28.8.2014, s. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj.

Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 4.5.2016, s. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (direktiv om databeskyttelse inden for elektronisk kommunikation) (EFT L 201 af 31.7.2002, s. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).

Kommissionens gennemførelsesforordning (EU) 2024/2982 af 28. november 2024 om regler for anvendelsen af Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 for så vidt angår protokoller og grænseflader, der skal understøttes af den europæiske ramme for digital identitet ().