Preambulo Disposiciones de aplicación del Reglamento (UE) n.º 910/2014 en lo que respecta a los datos de identificación de la persona y las declaraciones electrónicas de atributos expedidos a carteras europeas de identidad digital

REGLAMENTO DE EJECUCIÓN (UE) 2024/2977 DE LA COMISIÓN

de 28 de noviembre de 2024

por el que se establecen disposiciones de aplicación del Reglamento (UE) n.º 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a los datos de identificación de la persona y las declaraciones electrónicas de atributos expedidos a carteras europeas de identidad digital

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea,

Visto el Reglamento (UE) n.º 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93 /CE ( 1), y en particular su artículo 5 bis, apartado 23,

Considerando lo siguiente:

(1) El marco europeo de identidad digital establecido por el Reglamento (UE) n.º 910/2014 es un componente crucial para la creación de un ecosistema de identidad digital seguro e interoperable en toda la Unión. El objetivo de este marco, con las carteras europeas de identidad digital (en lo sucesivo, «carteras») como piedra angular, es facilitar el acceso a los servicios en todos los Estados miembros, garantizando al mismo tiempo la protección de los datos personales y de la privacidad.

(2) El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (2) y, en su caso, la Directiva 2002/58/CE del Parlamento Europeo y del Consejo (3) se aplican a todas las actividades de tratamiento de datos personales en virtud del presente Reglamento.

(3) El artículo 5 bis, apartado 23, del Reglamento (UE) n.º 910/2014 encomienda a la Comisión que, en caso necesario, establezca las especificaciones y los procedimientos pertinentes. Este mandato se lleva a cabo mediante cuatro Reglamentos de Ejecución, que tratan respectivamente de los protocolos y las interfaces: Reglamento de Ejecución (UE) 2024/2982 de la Comisión (4), la integridad y las funcionalidades básicas: Reglamento de Ejecución (UE) 2024/2979 de la Comisión (5), los datos de identificación de la persona y la declaración electrónica de atributos: Reglamento de Ejecución (UE) 2024/2977 de la Comisión (6), y las notificaciones a la Comisión: Reglamento de Ejecución (UE) 2024/2980 de la Comisión (7). El presente Reglamento establece los requisitos aplicables a los datos de identificación de la persona y las declaraciones electrónicas de atributos que deben expedirse a las carteras europeas de identidad digital.

(4) La Comisión evalúa periódicamente las nuevas tecnologías, prácticas, normas y especificaciones técnicas. Con el fin de garantizar el máximo nivel de armonización entre los Estados miembros para el desarrollo y la certificación de las carteras, las especificaciones técnicas establecidas en el presente Reglamento de Ejecución se basan en el trabajo realizado con arreglo a la Recomendación (UE) 2021/946 de la Comisión, de 3 de junio de 2021, sobre un conjunto de instrumentos común de la Unión para adoptar un enfoque coordinado de cara a un Marco para una Identidad Digital Europea (8), y en particular la arquitectura y el marco de referencia que forman parte de él. De conformidad con el considerando 75 del Reglamento (UE) 2024/1183 del Parlamento Europeo y del Consejo (9), la Comisión debe revisar y, en caso necesario, actualizar el presente Reglamento de Ejecución, para mantenerlo en consonancia con la evolución mundial, la arquitectura y el marco de referencia, y seguir las mejores prácticas en el mercado interior.

(5) Para garantizar la protección de datos mediante el diseño y por defecto, las carteras deben estar provistas de varias características de mejora de la privacidad que impidan que los proveedores de medios de identificación electrónica y declaraciones electrónicas de atributos combinen los datos personales que obtengan cuando presten otros servicios con los datos personales tratados para prestar los servicios incluidos en el ámbito de aplicación del Reglamento (UE) n.º 910/2014.

(6) A fin de garantizar la armonización, en todas las carteras deben estar disponibles determinadas funcionalidades comunes, como la capacidad de solicitar, obtener, seleccionar, combinar, almacenar, suprimir, compartir y presentar de forma segura, bajo el control exclusivo del usuario de una cartera, datos de identificación de la persona y declaraciones electrónicas de atributos. Para garantizar que los datos de identificación de la persona y las declaraciones electrónicas de atributos puedan tratarse a través de cada unidad de cartera, todas las soluciones de cartera deben admitir las especificaciones técnicas relativas a los atributos de los datos de identificación de la persona, al formato de los datos y a la infraestructura que sean necesarias para garantizar la adecuada fiabilidad de los datos de identificación de la persona. Además, las especificaciones comunes en relación con los atributos de los datos de identificación de la persona tienen por objeto garantizar que estos datos puedan utilizarse para determinar la correspondencia de las identidades en caso necesario.

(7) Los Estados miembros deben asegurarse de que las carteras puedan autenticar a las partes usuarias, a los proveedores de datos de identificación de la persona y a los proveedores de declaraciones electrónicas de atributos, independientemente de dónde estén establecidos en la Unión. Para ello, estas entidades deben utilizar certificados de acceso de parte usuaria de la cartera cuando se identifiquen en unidades de cartera. A fin de garantizar la interoperabilidad de estos certificados en todas las carteras proporcionadas dentro de la Unión, es preciso que los certificados de acceso de partes usuarias de la cartera se ajusten a unas normas comunes. La Comisión, en colaboración con los Estados miembros, debe supervisar de cerca el desarrollo de normas nuevas o alternativas que puedan servir de base para la elaboración de los certificados de acceso de partes usuarias. En particular, deben evaluarse los modelos de confianza cuya eficacia y seguridad se hayan comprobado en los Estados miembros.

(8) A fin de garantizar la transparencia con respecto a los usuarios de las carteras, los Estados miembros deben publicar la información que indique qué soluciones de cartera admiten los proveedores de datos de identificación de la persona establecidos en su territorio. Puesto que la identidad del usuario debe ser lo más fiable posible, debe imponerse un nivel común de seguridad alto a la acreditación de la identidad de los usuarios de una cartera antes de expedir datos de identificación de la persona, acorde con el nivel de seguridad alto establecido para los medios de identificación electrónica en virtud del Reglamento (UE) n.º 910/2014. De este modo, las unidades de la cartera garantizan el nivel de fiabilidad más elevado disponible para medios de identificación en toda la Unión. La inscripción de los usuarios de una cartera en un nivel de seguridad alto puede conllevar varios procesos seguros, por ejemplo, cuando se ha verificado que el usuario de una cartera está en posesión de pruebas fotográficas o de identificación biométrica reconocidas pero no expedidas por el Estado miembro en el que se presenta la solicitud al medio de identificación electrónica y esas pruebas representan la identidad declarada, las pruebas deben comprobarse para determinar que son válidas según una fuente autorizada pertinente.

(9) A fin de favorecer la interoperabilidad, las declaraciones electrónicas de atributos deben cumplir unos requisitos armonizados en cuanto al formato.

(10) Para proteger los datos de los usuarios de una cartera y garantizar la autenticidad de las declaraciones electrónicas de atributos, deben aplicarse, antes de la expedición de las declaraciones a las unidades de cartera, mecanismos para la autenticación de los proveedores de declaraciones electrónicas de atributos y para la verificación de la autenticidad y la validez de las unidades de cartera por parte de dichos proveedores.

(11) Con el fin de evitar que se utilicen datos de identificación de la persona y declaraciones electrónicas de atributos que hayan perdido su validez legal después de haber sido expedidos a una unidad de cartera, los proveedores de datos de identificación de la persona y de declaraciones electrónicas de atributos deben publicar una política en la que se describan las circunstancias y los procedimientos de revocación.

(12) Para garantizar que los datos de identificación de la persona representen de manera única al usuario de una cartera, los Estados miembros deben proporcionar, además de los atributos obligatorios de los datos de identificación de la persona establecidos en el presente Reglamento, los atributos opcionales que sean necesarios para garantizar que el conjunto de datos de identificación de la persona sea único.

(13) El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (10), emitió su dictamen el 30 de septiembre de 2024.

(14) Las medidas previstas en el presente Reglamento se ajustan al dictamen del comité contemplado en el artículo 48 del Reglamento (UE) n.º 910/2014.

HA ADOPTADO EL PRESENTE REGLAMENTO: