5a straipsnis. Europinės skaitmeninės tapatybės dėklės

1. Siekiant užtikrinti, kad visi fiziniai ir juridiniai asmenys Sąjungoje turėtų saugią, patikimą ir sklandžią tarpvalstybinę prieigą prie viešųjų ir privačiųjų paslaugų, kartu galėdami visiškai kontroliuoti savo duomenis, kiekviena valstybė narė per 24 mėnesius nuo 23 dalyje ir 5c straipsnio 6 dalyje nurodytų įgyvendinimo aktų įsigaliojimo dienos suteikia bent vieną europinę skaitmeninės tapatybės dėklę.

2. Europinės skaitmeninės tapatybės dėklės yra teikiamos vienu ar daugiau toliau nurodytų būdų:

a) tiesiogiai valstybės narės;

b) pagal valstybės narės suteiktą įgaliojimą;

c) nepriklausomai nuo valstybės narės, bet tai valstybei narei pripažįstant.

3. Europinių skaitmeninės tapatybės dėklių taikomosios programinės įrangos komponentų pirminiam kodui turi būti suteikta atvirosios programinės įrangos licencija. Valstybės narės gali nustatyti, kad dėl tinkamai pagrįstų priežasčių konkrečių komponentų, išskyrus įdiegtus naudotojo prietaisuose, pirminis kodas nebūtų atskleistas.

4. Naudodamasis europinėmis skaitmeninės tapatybės dėklėmis naudotojas gali jam patogiu, aiškiu ir atsekamu būdu:

a) kontroliuojant vien naudotojui saugiai prašyti asmens tapatybės duomenų, juos gauti, pasirinkti, jungti, saugoti, šalinti, jais dalytis ir juos pateikti ir, kai taikytina, kartu su elektroniniais požymių liudijimais, pasikliaujančiosioms šalims patvirtinti savo tapatumą prisijungus ir, kai tinkama, neprisijungus prie interneto, kad galėtų gauti prieigą prie viešųjų ir privačiųjų paslaugų, kartu užtikrinant, kad būtų galima pasirinktinai atskleisti duomenis;

b) generuoti slapyvardžius ir saugoti juos užšifruotus vietos lygmeniu europinėje skaitmeninės tapatybės dėklėje;

c) saugiai nustatyti kito asmens europinės skaitmeninės tapatybės dėklės tapatumą ir saugiai gauti asmens tapatybės duomenis bei elektroninius požymių liudijimus ir jais dalytis tarp dviejų europinių skaitmeninės tapatybės dėklių;

d) prisijungti prie visų operacijų, vykdomų per europinę skaitmeninės tapatybės dėklę, registro per bendrą skydelį, kad naudotojas galėtų:

i) peržiūrėti naujausią pasikliaujančiųjų šalių, su kuriomis naudotojas užmezgė ryšį, sąrašą ir, kai taikytina, visus duomenis, kuriais keistasi;

ii) lengvai prašyti, kad pasikliaujančioji šalis ištrintų asmens duomenis pagal Reglamento (ES) 2016/679 17 straipsnį;

iii) lengvai pranešti apie pasikliaunančiąją šalį kompetentingai nacionalinei duomenų apsaugos institucijai, kai gaunamas tariamai neteisėtas ar įtartinas duomenų prašymas;

e) pasirašyti kvalifikuotu elektroniniu parašu ar užantspauduoti naudojant kvalifikuotus elektroninius spaudus;

f) kiek techniškai įmanoma, parsisiųsdinti naudotojo duomenis, elektroninį požymių liudijimus ir konfigūracijas;

g) naudotis naudotojo teisėmis į duomenų perkeliamumą.

5. Europinėse skaitmeninės tapatybės dėklėse visų pirma:

a) palaikomi bendri protokolai ir sąsajos:

i) kad į europinę skaitmeninės tapatybės dėklę būtų išduodami asmens tapatybės duomenys, kvalifikuoti ir nekvalifikuoti elektroniniai požymių liudijimai ar kvalifikuoti ir nekvalifikuoti sertifikatai;

ii) pasikliaujančiosioms šalims, kad šios galėtų prašyti asmens tapatybės duomenų ir elektroninių požymių liudijimų ir juos tikrinti;

iii) siekiant prisijungus ir, kai tinkama, neprisijungus prie interneto dalytis asmens tapatybės duomenimis, elektroniniu požymių liudijimu arba pasirinktinai atskleistais susijusiais duomenimis su pasikliaujančiosioms šalims ir juos joms pateikti;

iv) kad būtų galima naudotojo sąveika su europine skaitmeninės tapatybės dėkle ir būtų rodomas ES skaitmeninės tapatybės dėklės patikimumo ženklas;

v) kad būtų saugiai prijungiamas naudotojas, naudojantis elektroninės atpažinties priemonėmis pagal 5a straipsnio 24 dalį;

vi) kad būtų užtikrinta sąveika tarp dviejų asmenų europinių skaitmeninės tapatybės dėklių siekiant saugiu būdu gauti, patvirtinti ir dalintis asmens tapatybės duomenimis bei elektroniniais požymių liudijimais;

vii) siekiant nustatyti ir nurodyti pasikliaujančiųjų šalių tapatybę įgyvendinant tapatumo nustatymo mechanizmus pagal 5b straipsnį;

viii) kad pasikliaujančiosios šalys galėtų tikrinti europinių skaitmeninės tapatybės dėklių tapatumą ir galiojimą;

ix) siekiant prašyti pasikliaujančiosios šalies ištrinti asmens duomenis pagal Reglamento (ES) 2016/679 17 straipsnį;

x) siekiant pranešti nacionalinei kompetentingai duomenų apsaugos institucijai apie pasikliaujančiąją šalį, kai gaunamas galimai neteisėtas arba įtartinas prašymas pateikti duomenis;

xi) siekiant sukurti kvalifikuotus elektroninius parašus ar elektroninius spaudus naudojant elektroninio kvalifikuoto parašo arba elektroninio spaudo kūrimo įtaisus;

b) elektroninių požymių liudijimų patikimumo užtikrinimo paslaugų teikėjams neteikiama jokia informacija apie tų elektroninių liudijimų naudojimą;

c) užtikrinama, kad pasikliaujančiąsias šalis būtų galima nustatyti ir nurodyti įgyvendinant tapatumo nustatymo mechanizmus pagal 5b straipsnį;

d) laikomasi 8 straipsnyje nustatytų reikalavimų dėl aukšto saugumo užtikrinimo lygio, visų pirma reikalavimų dėl tapatybės įrodymo ir patikrinimo bei elektroninės atpažinties priemonių administravimo ir tapatumo nustatymo;

e) elektroninio požymių liudijimo su integruota informacijos atskleidimo politika atveju įgyvendinamas tinkamas mechanizmas, kuriuo naudotojas informuojamas, kad prašančioji pasikliaujančioji šalis arba prašantysis europinės skaitmeninės tapatybės dėklės naudotojas turi leidimą prisijungti prie tokio liudijimo;

f) užtikrinama, kad asmens tapatybės duomenys, kuriuos galima gauti iš elektroninės atpažinties schemos, pagal kurią suteikta europinė skaitmeninės tapatybės dėklė, nurodytų tik fizinį asmenį, juridinį asmenį arba fiziniam ar juridiniam asmeniui atstovaujantį fizinį asmenį ir būtų susieti su ta europine skaitmeninės tapatybės dėkle;

g) visiems fiziniams asmenims suteikiama galimybė automatiškai ir nemokamai pasirašyti kvalifikuotais elektroniniais parašais.

Nepaisant pirmos pastraipos g punkto, valstybės narės gali numatyti proporcingas priemones, kuriomis užtikrintų, kad fiziniai asmenys kvalifikuotus elektroninius parašus nemokamai naudoti galėtų tik neprofesiniais tikslais.

6. Valstybės narės nedelsdamos informuoja naudotojus apie bet kokį saugumo pažeidimą, dėl kurio galėtų būti visiškai arba iš dalies pakenkta jų europinei skaitmeninės tapatybės dėklei ar jos turiniui, visų pirma, apie tai, kad jų europinės skaitmeninės tapatybės dėklės galiojimas sustabdytas arba ji buvo atšaukta pagal 5e straipsnį.

7. Nedarant poveikio 5f straipsniui, valstybės narės pagal nacionalinę teisę gali nustatyti papildomas europinių skaitmeninės tapatybės dėklių funkcijas, įskaitant sąveikumą su esamomis nacionalinėmis elektroninės atpažinties priemonėmis. Tos papildomos funkcijos turi atitikti šį straipsnį.

8. Valstybės narės nustato nemokamus patvirtinimo mechanizmus, kuriais:

a) užtikrinama, kad būtų galima patikrinti europinės skaitmeninės tapatybės dėklės tapatumą ir galiojimą;

b) europinės skaitmeninės tapatybės dėklės naudotojams sudaromos sąlygos patikrinti pagal 5b straipsnio 1 dalį registruotų pasikliaujančiųjų šalių tapatybės autentiškumą ir galiojimą.

9. Valstybės narės užtikrina, kad europinės skaitmeninės tapatybės dėklės galiojimas galėtų būti atšauktas šiomis aplinkybėmis:

a) gavus aiškų naudotojo prašymą;

b) kai kyla pavojus europinės skaitmeninės tapatybės dėklės saugumui;

c) naudotojo mirties arba juridinio asmens veiklos nutraukimo atveju.

10. Europinių skaitmeninės tapatybės dėklių teikėjai užtikrina, kad naudotojai galėtų lengvai prašyti techninės pagalbos ir pranešti apie technines problemas ar bet kokius kitus incidentus, darančius neigiamą poveikį europinės skaitmeninės tapatybės dėklės naudojimui.

11. Europinės skaitmeninės tapatybės dėklės teikiamos pagal aukšto saugumo užtikrinimo lygio elektroninės atpažinties schemą.

12. Europinėmis skaitmeninės tapatybės dėklėmis užtikrinamas pritaikytasis saugumas.

13. Europinių skaitmeninės tapatybės dėklių išdavimas, naudojimas ir atšaukimas visiems fiziniams asmenims yra nemokamas.

14. Naudotojai visiškai kontroliuoja savo europinės skaitmeninės tapatybės dėklės ir joje esančių duomenų naudojimą. Europinės skaitmeninės tapatybės dėklės teikėjas nerenka informacijos apie europinės skaitmeninės tapatybės dėklės naudojimą, kai ji nėra reikalinga europinės skaitmeninės tapatybės dėklės paslaugoms teikti, ir nejungia asmens tapatybės duomenų ar jokių kitų asmens duomenų, saugomų ar susijusių su europinės skaitmeninės tapatybės dėklės naudojimu, su asmens duomenimis, susijusiais su bet kokiomis kitomis to teikėjo siūlomomis paslaugomis ar trečiųjų šalių paslaugomis, kurios nėra būtinos europinės skaitmeninės tapatybės dėklės paslaugoms teikti, išskyrus atvejus, jei naudotojas būtų aiškiai paprašęs kitaip. Su europinės skaitmeninės tapatybės dėklės suteikimu susiję asmens duomenys saugomi logiškai atskirti nuo bet kokios kitos europinės skaitmeninės tapatybės dėklės teikėjo turimų duomenų. Jei europinę skaitmeninės tapatybės dėklę teikia privačiosios šalys pagal šio straipsnio 2 dalies b ir c punktus, mutatis mutandis taikomos 45h straipsnio 3 dalies nuostatos.

15. Naudojimasis europinėmis skaitmeninėmis tapatybės dėklėmis yra savanoriškas. Fizinių ar juridinių asmenų, kurie nesinaudoja europine skaitmeninės tapatybės dėkle, galimybė naudotis viešosiomis ir privačiosiomis paslaugomis, galimybė dalyvauti darbo rinkoje ir jų laisvė užsiimti verslu jokiu būdu neribojama ir dėl to jie nepatiria nepatogumų. Ir toliau įmanoma naudotis viešosiomis ir privačiosiomis paslaugomis naudojantis kitomis esamomis atpažinties ir tapatumo nustatymo priemonėmis.

16. Europinės skaitmeninės tapatybės dėklės techninė sistema:

a) neleidžia elektroninių požymių liudijimų teikėjams ar bet kuriai kitai šaliai, išdavus požymių liudijimą, gauti duomenų, kurie leistų sekti, susieti, sujungti operacijas ar naudotojo elgesį ar kitaip gauti žinių apie operacijas ar naudotojo elgesį, nebent naudotojas tai aiškiai leistų;

b) sudaro sąlygas taikyti privatumo išsaugojimo metodus, kuriais užtikrinamas nesusiejimas, kai pagal požymių liudijimą nereikalaujama nustatyti naudotojo tapatybės.

17. Bet koks valstybių narių arba jų vardu už europinių skaitmeninės tapatybės dėklių, kaip elektroninės atpažinties priemonių, teikimą atsakingų įstaigų ar šalių vykdomas asmens duomenų tvarkymas atliekamas taikant tinkamas ir veiksmingas duomenų apsaugos priemones. Turi būti įrodoma, kad toks duomenų tvarkymas atitinka Reglamentą (ES) 2016/679. Valstybės narės gali priimti nacionalines nuostatas, kuriomis išsamiau patikslinamas tokių priemonių taikymas.

18. Valstybės narės nepagrįstai nedelsdamos praneša Komisijai informaciją apie:

a) įstaigą, atsakingą už registruotų pasikliaujančiųjų šalių, kurios kliaujasi europinėmis skaitmeninės tapatybės dėklėmis, kaip numatyta 5b straipsnio 5 dalyje, sąrašo sudarymą ir tvarkymą ir tai, kur tą sąrašą galima rasti;

b) įstaigas, atsakingas už europinių skaitmeninės tapatybės dėklių teikimą pagal 5a straipsnio 1 dalį;

c) įstaigas, atsakingas už užtikrinimą, kad asmens tapatybės duomenys būtų susieti su europine skaitmeninės tapatybės dėkle pagal 5a straipsnio 5 dalies f punktą;

d) mechanizmą, pagal kurį galima patvirtinti 5a straipsnio 5 dalies f punkte nurodytus asmens tapatybės duomenis ir pasikliaujančiųjų šalių tapatybę;

e) mechanizmą, pagal kurį patvirtinamas europinių skaitmeninės tapatybės dėklių tapatumas ir galiojimas.

Komisija užtikrina, kad informacija, apie kurią pranešta pagal pirmą pastraipą, būtų prieinama visuomenei saugiu kanalu, elektroniniu parašu arba spaudu patvirtinta forma, tinkama automatizuotam tvarkymui.

19. Nedarant poveikio šio straipsnio 22 daliai, europinei skaitmeninės tapatybės dėklei mutatis mutandis taikomas 11 straipsnis.

20. Europinių skaitmeninės tapatybės dėklių teikėjams mutatis mutandis taikomi 24 straipsnio 2 dalies b ir d–h punktai.

21. Europinės skaitmeninės tapatybės dėklės asmenims su negalia turi būti prieinamos vienodomis sąlygomis, kaip ir kitiems naudotojams, pagal Europos Parlamento ir Tarybos direktyvą (ES) 2019/882.

22. Europinių skaitmeninės tapatybės dėklių teikimo tikslais, europinėms skaitmeninės tapatybės dėklėms ir elektroninės atpažinties schemoms, pagal kurias jos teikiamos, 7, 9, 10, 12 ir 12a straipsniuose nustatyti reikalavimai netaikomi.

23. Ne vėliau kaip 2024 m. lapkričio 21 d. Komisija priima įgyvendinimo aktus, kuriais nustato referencinių standartų sąrašą ir, kai būtina, nustato specifikacijas bei procedūras, skirtas šio straipsnio 4, 5, 8 ir 18 dalyse nurodytiems reikalavimams dėl europinės skaitmeninės tapatybės dėklės įgyvendinimo. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

24. Komisija priima įgyvendinimo aktus, kuriais nustato referencinių standartų sąrašą ir, kai būtina, nustato technines specifikacijas ir procedūras, kad naudotojams būtų lengviau prisijungti prie europinės skaitmeninės tapatybės dėklės naudojant elektroninės atpažinties priemones, atitinkančias aukštą saugumo užtikrinimo lygį, arba elektroninės atpažinties priemones, atitinkančias pakankamą saugumo užtikrinimo lygį, kartu su papildomomis nuotolinio prisijungimo procedūromis, kurios kartu atitinka aukšto saugumo užtikrinimo lygio reikalavimus. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.