(1)

Rozporządzenie (UE) nr 910/2014 zawiera wymóg, aby europejskie portfele tożsamości cyfrowej („portfele”) i notyfikowane środki identyfikacji elektronicznej były dostępne jako opcja uwierzytelniania w celu uzyskania dostępu do transgranicznych usług publicznych online świadczonych przez państwa członkowskie. W takich przypadkach transgranicznego uwierzytelniania rejestry zawierające informacje dotyczące użytkownika portfela lub użytkownika notyfikowanych środków identyfikacji elektronicznej są czasami już dostępne dla strony ufającej za pośrednictwem rejestru strony ufającej lub rejestru zewnętrznego, a często w formie konta użytkownika. W takich przypadkach niektóre informacje dotyczące użytkownika uzyskane z portfeli lub notyfikowanych środków identyfikacji elektronicznej mogą być dopasowane przez tę stronę ufającą lub w jej imieniu. Można to osiągnąć na przykład przez zastosowanie scentralizowanego rozwiązania obsługiwanego przez podmiot sektora publicznego w zestawieniu z informacjami już posiadanymi przez tę stronę ufającą lub będącymi w rejestrze, z którego korzysta strona ufająca, orientacyjnie w rejestrze ludności lub bazie danych zawierającej informacje o koncie użytkownika.

(2)

Komisja regularnie przeprowadza ocenę nowych technologii, praktyk, norm i specyfikacji technicznych. Aby zapewnić maksymalną harmonizację działań państw członkowskich w zakresie opracowywania i certyfikacji portfeli, specyfikacje techniczne określone w niniejszym rozporządzeniu opierają się na pracach przeprowadzonych na podstawie zalecenia Komisji (UE) 2021/946 (2), w szczególności na podstawie architektury i ram odniesienia, będących ich częścią. Zgodnie z motywem 75 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1183 (3) Komisja powinna poddawać przeglądowi i w razie potrzeby aktualizować niniejsze rozporządzenie, aby zachować jego aktualność względem globalnych zmian, a także architektury i ram odniesienia oraz przestrzegać najlepszych praktyk na rynku wewnętrznym.

(3)

W celu zapewnienia, aby proces dopasowywania tożsamości funkcjonował w sposób niezawodny we wszystkich państwach członkowskich, państwa członkowskie działające jako strony ufające powinny przeprowadzać wstępne dopasowywanie tożsamości, gdy osoba fizyczna po raz pierwszy wystąpi z wnioskiem o udzielenie dostępu do usługi świadczonej przez stronę ufającą, na podstawie minimalnego zbioru danych określonego w rozporządzeniu wykonawczym Komisji (UE) 2015/1501 (4) albo zbioru danych identyfikujących osobę określonego w rozporządzeniu wykonawczym Komisji (UE) 2024/2977 (5). Chociaż niniejsze rozporządzenie koncentruje się na państwach członkowskich działających jako strony ufające, rozporządzenie (UE) nr 910/2014 pozostawia państwom członkowskim swobodę decydowania, czy system dopasowywania tożsamości jest również udostępniany prywatnym stronom ufającym. W przypadku gdy państwa członkowskie przewidują dopasowywanie tożsamości stron ufających, które nie są podmiotami sektora publicznego, powinny one w miarę możliwości stosować mechanizmy i procedury określone w niniejszym rozporządzeniu.

(4)

Na potrzeby transgranicznego dopasowywania tożsamości, gdy używane są portfele, informacje stosowane do jednoznacznego dopasowywania tożsamości powinny być obowiązkowymi identyfikatorami danych zbioru danych identyfikujących osobę fizyczną określonego w pkt 1 załącznika do rozporządzenia wykonawczego (UE) 2024/2977 wraz z wszelkimi opcjonalnymi danymi, które są potrzebne do zapewnienia niepowtarzalności zbioru danych identyfikujących osobę fizyczną.

(5)

Do celów transgranicznego dopasowywania tożsamości przy użyciu notyfikowanych środków identyfikacji elektronicznej informacje wykorzystywane do jednoznacznego dopasowywania tożsamości powinny być atrybutami obowiązkowymi minimalnego zbioru danych dotyczących osoby fizycznej, jak określono w pkt 1 załącznika do rozporządzenia wykonawczego (UE) 2015/1501. Odniesienie do atrybutów obowiązkowych minimalnego zbioru danych dotyczących osoby fizycznej należy rozumieć w kontekście rozporządzenia wykonawczego (UE) 2015/1501, które opisuje atrybut jako komponent minimalnego zbioru danych identyfikujących osobę, w przeciwieństwie do definicji atrybutu określonej w art. 3 pkt 43 rozporządzenia (UE) nr 910/2014 zmienionego rozporządzeniem (UE) 2024/1183.

(6)

Ze względu na zależność od wcześniej istniejących informacji wykorzystywanych przez stronę ufającą do zapewnienia jednoznacznego dopasowywania tożsamości proces dopasowywania tożsamości może nie być skuteczny we wszystkich przypadkach. Aby zapewnić stronom ufającym odpowiedni stopień elastyczności, państwa członkowskie mogą wprowadzić procesy uzupełniające, które zapewniają równoważny poziom zaufania do wyniku procesu dopasowywania tożsamości.

(7)

W przypadku gdy proces dopasowywania tożsamości zostanie uznany za skuteczny zgodnie z przepisami niniejszego rozporządzenia, strona ufająca lub strona działająca w jej imieniu, lub rejestr, z którego korzystają strony ufające, lub system scentralizowany powinny zapewniać, aby użytkownik był powiadomiony o skutecznej rejestracji, m.in. poprzez wyświetlenie imienia i nazwiska lub pseudonimu użytkownika i, w stosownych przypadkach, powiadomienie m.in. o dostępnych możliwościach przechowywania wyników procesu dopasowywania tożsamości. Opcje te powinny obejmować co najmniej odnotowanie powiązania w rejestrze prowadzonym przez stronę ufającą lub w rejestrze, z którego korzysta strona ufająca, lub wydanie specjalnego elektronicznego poświadczenia atrybutów zawierającego powiązanie, które można ponownie wykorzystać w przyszłości, lub wykorzystanie alternatywnych opcji zapewnionych przez stronę ufającą lub stronę działającą w imieniu strony ufającej. W stosownych przypadkach użytkownik powinien mieć możliwość wyboru między opcjami, a czas przechowywania powinien być kontrolowany przez użytkownika, aby zapewnić użytkownikom możliwość ponownego wykorzystania zakończonych procesów dopasowywania tożsamości w przyszłości.

(8)

Aby zwiększyć przejrzystość i kontrolę użytkowników, w przypadku gdy nie udało się skutecznie dopasować użytkownika, należy mu podać jasne powody, dla których dopasowanie nie powiodło się. Oprócz tego użytkownik powinien zostać powiadomiony o wszelkich potencjalnych kolejnych krokach. Powinno to obejmować informacje wykorzystane w procesie dopasowywania tożsamości oraz wszelkie stwierdzone rozbieżności, a także zawierać jasne wyjaśnienia i instrukcje dla użytkowników dotyczące możliwych środków zaradczych i procesów uzupełniających.

(9)

Aby udostępnić odpowiednie mechanizmy ochrony prawnej za każdym razem, gdy dokonywane jest dopasowywanie tożsamości, strony ufające lub strony działające w ich imieniu, lub rejestry, z których korzystają strony ufające powinny prowadzić odpowiednie rejestry dotyczące procesu dopasowywania tożsamości, informacji wykorzystywanych do dopasowywania oraz wszelkich innych dokumentów potwierdzających dostarczonych przez osobę fizyczną, a także wyników procesu dopasowywania tożsamości. Rejestry te powinny być przechowywane przez co najmniej 6 miesięcy, a maksymalnie przez 12 miesięcy, aby umożliwić rejestrację i rozpatrywanie skarg przez użytkowników. Okres przechowywania danych może ulec przedłużeniu, jeżeli wymaga tego prawo Unii lub prawo krajowe.

(10)

Aby uniknąć sytuacji, w której użytkownicy portfela muszą wielokrotnie przeprowadzać proces dopasowywania tożsamości, państwa członkowskie mogą wymagać, aby w ramach systemów dopasowywania tożsamości możliwe było wydawanie elektronicznych poświadczeń atrybutów z powiązaniem między użytkownikiem portfela a rejestrem, w którym użytkownik ten jest zarejestrowany jako znany użytkownik. Państwa członkowskie mogą ewentualnie przechowywać powiązanie jako odniesienie do rejestru, który jest dostępny dla strony ufającej, lub do innych środków pomocniczych.

(11)

W celu zapewnienia, aby operacyjne systemy dopasowywania tożsamości przynosiły korzyści dla portfeli, które mają być dostarczane, zgodnie z wymogami art. 5a ust. 1 rozporządzenia (UE) nr 910/2014, oraz notyfikowanych systemów identyfikacji elektronicznej, należy odroczyć termin rozpoczęcia stosowania odpowiednich przepisów niniejszego rozporządzenia. W odniesieniu do portfeli każde państwo członkowskie powinno zapewnić co najmniej jeden portfel w terminie 24 miesięcy od daty wejścia w życie aktów wykonawczych, o których mowa w art. 5a ust. 23 i art. 5c ust. 6 rozporządzenia (UE) nr 910/2014. W związku z tym stosowanie odpowiednich przepisów niniejszego rozporządzenia dotyczących dopasowywania tożsamości na podstawie portfeli powinno się pokrywać z powyższymi ramami czasowymi. W odniesieniu do notyfikowanych systemów identyfikacji elektronicznej należy zapewnić wystarczająco dużo czasu na zastąpienie funkcji dopasowywania tożsamości.

(12)

Ponieważ korzystanie z portfela ma być dobrowolne, państwa członkowskie powinny zapewnić alternatywne metody uzyskiwania przez użytkowników dostępu do świadczonych przez nie usług, gdy działają jako strony ufające.

(13)

Przy próbach uwierzytelnienia się w stosunku do usługi elektronicznej, rejestracja nowego użytkownika może być bezproblemowa i tym samym wydawać się użytkownikowi, pod względem wizualnym i technicznym, tym samym co powrót do usługi elektronicznej. Z tego powodu do celów niniejszego rozporządzenia rejestrację nowego użytkownika w ramach usługi elektronicznej należy postrzegać jako równoważną skutecznemu procesowi dopasowywania tożsamości.

(14)

Państwa członkowskie powinny zapewnić, aby proces dopasowywania tożsamości funkcjonował bezproblemowo oraz aby użytkownik nie doświadczał wielu zmian sesji i powtarzalnych etapów, nawet jeżeli proces dopasowywania tożsamości początkowo nie zakończył się powodzeniem i przeprowadzono procesy uzupełniające.

(15)

Państwa członkowskie mają swobodę w zakresie projektowania swoich interfejsów użytkownika i powiadomień w sposób dostosowany do kontekstu krajowego, z uwzględnieniem charakteru wymogów zawartych w niniejszym rozporządzeniu.

(16)

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (6) oraz - w stosownych przypadkach - dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady (7) mają zastosowanie do wszystkich czynności przetwarzania danych osobowych na podstawie niniejszego rozporządzenia.

(17)

Zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 (8) skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię w dniu 31 stycznia 2025 r.

(18)

Środki przewidziane w niniejszym rozporządzeniu są zgodne z opinią komitetu ustanowionego na podstawie art. 48 rozporządzenia (UE) nr 910/2014,