Preambulo Disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a las declaraciones electrónicas cualificadas de atributos y las declaraciones electrónicas de atributos proporcionad

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea,

Visto el Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93 /CE ( 1), y en particular su artículo 45 quinquies, apartado 5, su artículo 45 sexies, apartado 2, y su artículo 45 septies, apartados 6 y 7,

Considerando lo siguiente:

(1)

El Reglamento (UE) n.o 910/2014 crea un marco jurídico para la expedición y la validación de declaraciones electrónicas de atributos, que incluye la obligación de que los prestadores de declaraciones electrónicas de atributos proporcionen a los usuarios de la cartera europea de identidad digital (en lo sucesivo, «cartera») la posibilidad de solicitar, obtener, almacenar y gestionar la declaración electrónica de atributos con independencia del Estado miembro en el que se proporcionen las carteras. Las declaraciones electrónicas de atributos son componentes cruciales para el establecimiento de un ecosistema de cartera europea de identidad digital (en lo sucesivo, «ecosistema de cartera») seguro e interoperable. Permiten a los usuarios compartir información con las partes usuarias de manera fiable en diversos casos de uso.

(2)

Las interfaces con las carteras europeas de identidad digital que deben proporcionar los prestadores de declaraciones electrónicas cualificadas de atributos según lo dispuesto en el artículo 45 octies del Reglamento (UE) n.o 910/2014 subrayan la importancia de las declaraciones electrónicas de atributos para el ecosistema de cartera y facilitan su rápida aceptación.

(3)

La Comisión evalúa periódicamente las nuevas tecnologías, prácticas, normas y especificaciones técnicas. Con el fin de garantizar el máximo nivel de armonización entre los Estados miembros para el desarrollo y la certificación de las carteras, las especificaciones técnicas establecidas en el presente Reglamento se basan en el trabajo realizado con arreglo a la Recomendación (UE) 2021/946 de la Comisión, de 3 de junio de 2021, sobre un conjunto de instrumentos común de la Unión para adoptar un enfoque coordinado de cara a un Marco para una Identidad Digital Europea (2), y en particular la arquitectura y el marco de referencia que forman parte de él. De conformidad con el considerando 75 del Reglamento 2024/1183 del Parlamento Europeo y del Consejo (3), la Comisión debe revisar y, en caso necesario, actualizar el presente Reglamento, para mantenerlo en consonancia con la evolución mundial, la arquitectura y el marco de referencia, y seguir las mejores prácticas en el mercado interior, en particular por lo que respecta a la expedición de declaraciones electrónicas de atributos y al cotejo de atributos con fuentes auténticas o intermediarios designados.

(4)

Cuando los prestadores de declaraciones electrónicas cualificadas de atributos y declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, expidan declaraciones de las que se afirme que cumplen los requisitos de los sistemas para la declaración de atributos registrados en el catálogo, las políticas y los procedimientos para garantizar el cumplimiento de los requisitos de dichos sistemas deben formar parte de la evaluación de la conformidad establecida en el Reglamento (UE) n.o 910/2014.

(5)

La protección frente a la información poco fiable es de gran importancia para la digitalización de las certificaciones. Por consiguiente, deben poder revocarse las declaraciones electrónicas cualificadas de atributos y las declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, o deben aplicarse medidas alternativas que contrarresten los riesgos relacionados con la no revocabilidad. Determinadas circunstancias, como la solicitud explícita de la persona a la que se expidió la declaración electrónica de atributos, o cuando el prestador sepa que se han puesto en peligro la seguridad o la fiabilidad de las declaraciones electrónicas cualificadas de atributos, o cuando así lo exija el Derecho de la Unión o nacional, deben dar lugar a la revocación por parte del prestador de una declaración electrónica de atributos. Para salvaguardar los derechos fundamentales a la privacidad y a la protección de datos del usuario, en particular minimizando adecuadamente los riesgos de vinculación y trazabilidad, los prestadores de declaraciones electrónicas cualificadas de atributos y declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, deben establecer políticas de gestión de la revocación que protejan la privacidad.

(6)

Con objeto de facilitar la cooperación entre los Estados miembros y la creación de un ecosistema de identidad digital seguro e interoperable, que incluya el reconocimiento y la interoperabilidad transfronterizos de las declaraciones electrónicas cualificadas de atributos y las declaraciones electrónicas de atributos proporcionadas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, deben establecerse procedimientos simplificados de comunicación administrativa entre las partes interesadas pertinentes, que incluyan la publicación de información para identificar con rapidez a los organismos del sector público pertinentes. Los Estados miembros deben notificar a la Comisión los atributos pertinentes. Por lo tanto, para garantizar la verificación oportuna, eficiente e interoperable de estos atributos, las notificaciones pertinentes a la Comisión deben estar al menos en inglés, ya que esto facilita su amplia accesibilidad, evaluación y comprensión y, al mismo tiempo, refuerza la cooperación entre las partes interesadas pertinentes. No obstante, la traducción de la documentación ya existente no debe generar cargas administrativas o financieras excesivas.

(7)

Para que los usuarios y los prestadores de servicios puedan verificar que las declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, han sido efectivamente expedidas por ese organismo del sector público o en su nombre, es preciso que los Estados miembros notifiquen dichos organismos del sector público a la Comisión. Al notificar los organismos del sector público que expiden declaraciones electrónicas de atributos de conformidad con el artículo 45 septies y el anexo VII del Reglamento (UE) n.o 910/2014, los Estados miembros deben presentar un informe de evaluación de la conformidad que confirme un nivel de fiabilidad equivalente al de los prestadores cualificados de servicios de confianza. Sin embargo, a diferencia de los prestadores cualificados de servicios de confianza que expiden declaraciones electrónicas cualificadas de atributos, en lo que respecta a estos organismos del sector público, corresponde a los Estados miembros decidir cómo garantizar que los prestadores cumplan los requisitos con el paso del tiempo. Por consiguiente, a fin de mantener un alto nivel de confianza en las declaraciones del sector público en toda la Unión, se anima a los Estados miembros a poner en común sus mejores prácticas sobre cómo garantizar la fiabilidad continua a través del Grupo de Cooperación sobre la Identidad Digital Europea, creado en virtud del artículo 46 sexies, apartado 1, del Reglamento (UE) n.o 910/2014 (en lo sucesivo, el «Grupo de Cooperación»). La Comisión debe establecer, mantener y publicar una lista de prestadores y asegurarse de que el acceso a ella sea fácil para el público.

(8)

La Comisión debe establecer un catálogo de atributos con la ayuda del Grupo de Cooperación para facilitar el cotejo de atributos con fuentes auténticas por parte de los prestadores cualificados de servicios de confianza que expidan declaraciones electrónicas cualificadas de atributos. El registro en el catálogo de atributos debe ser obligatorio para los atributos enumerados en el anexo VI del Reglamento (UE) n.o 910/2014. Para los demás atributos, el registro sería opcional.

(9)

La Comisión debe establecer un catálogo de sistemas para la declaración de atributos, con la asistencia del Grupo de Cooperación, a fin de facilitar la expedición de declaraciones por prestadores cualificados de servicios de confianza que expidan declaraciones electrónicas cualificadas de atributos y prestadores de declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, y para facilitar la armonización y la interoperabilidad transfronteriza de estas declaraciones. El registro de sistemas en el catálogo de sistemas debe ser opcional. Las solicitudes de registro en el catálogo o de introducción de cambios en él deben ser presentadas por el titular del sistema para la declaración de atributos y pueden incluir atributos que no figuren en el catálogo de atributos. La Comisión debe evaluar esas solicitudes teniendo en cuenta las necesidades de interoperabilidad y armonización.

(10)

Para garantizar que el catálogo de atributos proporcione información significativa y alcance un alto nivel de interoperabilidad dentro del ecosistema de la declaración electrónica de atributos, debe proporcionar al menos unos elementos mínimos de información, como una descripción semántica del atributo, el espacio de nombres de su identificador y el tipo de datos del atributo. Con el mismo fin, el catálogo de sistemas para la declaración de atributos debe contener descripciones de tipos comunes de declaraciones electrónicas de atributos y una descripción del modelo de confianza y los mecanismos de gobernanza aplicados en el marco del sistema de declaración. La información contenida en los catálogos debe incluir las versiones de los atributos y sistemas, de modo que las declaraciones expedidas con arreglo a versiones específicas no se vean afectadas por los cambios en esos atributos y sistemas.

(11)

Para garantizar la eficacia del cotejo de atributos con fuentes auténticas por los prestadores cualificados de servicios de confianza que expiden declaraciones electrónicas cualificadas de atributos, también a través de intermediarios designados que proporcionen mecanismos de cotejo indirectos a los prestadores de servicios, los Estados miembros deben implantar, dentro del plazo establecido en el artículo 45 sexies, apartado 1, del Reglamento (UE) n.o 910/2014, mecanismos que permitan a los prestadores cualificados de servicios de confianza que expiden declaraciones electrónicas cualificadas de atributos solicitar el cotejo de atributos. Dichos mecanismos deben permitir a los prestadores cualificados de servicios de confianza que expiden declaraciones electrónicas cualificadas de atributos determinar qué atributos pueden cotejarse y cómo cotejarlos. Asimismo, deben incluir información detallada sobre los puntos de acceso y los protocolos de servicio para comprobar la validez y la exactitud de los atributos y deben contemplar la posibilidad de ofrecer un único punto de verificación a nivel nacional.

(12)

Más concretamente, los Estados miembros deben poner a disposición de los prestadores cualificados de servicios de confianza que expidan declaraciones electrónicas cualificadas de atributos los mecanismos para acceder a puntos de verificación para cada uno de los atributos enumerados en el anexo VI de dicho Reglamento (UE) n.o 910/2014, a nivel nacional, y para utilizarlos. Estos mecanismos deben permitir a los prestadores cualificados de servicios de confianza que expidan declaraciones electrónicas cualificadas de atributos presentar, a petición del usuario, atributos específicos a un punto de verificación para la expedición de la declaración y durante su vida útil. Los mecanismos de verificación deben utilizar medios electrónicos adecuados para el tratamiento automático y para que se obtengan lo antes posible las respuestas del punto de verificación. Estas respuestas deben confirmar si los atributos presentados por los prestadores cualificados de servicios de confianza que expiden declaraciones electrónicas cualificadas de atributos corresponden a los atributos almacenados en relación con dicho usuario en la fuente auténtica pertinente y deben especificar la fuente auténtica con la que se llevó a cabo el cotejo. Para evitar conductas indebidas, como solicitudes de verificación ilegales o manifiestamente excesivas, los Estados miembros podrán imponer mecanismos de control al uso de los puntos de verificación, cuando lo consideren oportuno teniendo en cuenta los factores pertinentes, en particular si las fuentes auténticas contienen información asimilable a datos personales o de carácter confidencial o sensible en virtud del Derecho de la Unión o nacional.

(13)

De conformidad con los principios establecidos por el Reglamento sobre la Europa Interoperable (4), a fin de facilitar el establecimiento del catálogo de atributos y el catálogo de sistemas para la declaración de atributos, así como la reutilización, en la medida de lo posible, de los catálogos, los sistemas y la información existentes, la Comisión debe aprovechar, cuando proceda, las sinergias con los servicios comunes del sistema técnico con arreglo al Reglamento (UE) 2018/1724 del Parlamento y del Consejo, relativo a la creación de una pasarela digital única y por el que se modifica el Reglamento (UE) n.o 1024/2012 (5).

(14)

Con el fin de mejorar la interoperabilidad de las declaraciones electrónicas de atributos expedidas por prestadores no cualificados de servicios de confianza, los emisores de declaraciones podrán seguir los principios y requisitos establecidos en el presente Reglamento por lo que respecta a las declaraciones electrónicas no cualificadas de atributos.

(15)

El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (6) y, en su caso, la Directiva 2002/58/CE del Parlamento Europeo y del Consejo (7) son aplicables a las actividades de tratamiento de datos personales en virtud del presente Reglamento.

(16)

Con el objetivo de proporcionar a la Comisión y a los Estados miembros tiempo suficiente para establecer la lista de prestadores de declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, los requisitos del presente Reglamento relativos al catálogo de atributos, al catálogo de sistemas para la declaración de atributos y a los puntos de verificación de atributos deben empezar a ser aplicables doce meses después de la fecha de entrada en vigor del presente Reglamento.

(17)

El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (8), emitió su dictamen el 31 de enero de 2025.

(18)

Las medidas previstas en el presente Reglamento se ajustan al dictamen del comité establecido por el artículo 48 del Reglamento (UE) n.o 910/2014,

HA ADOPTADO EL PRESENTE REGLAMENTO: