Preambulo Disposiciones de aplicación del Reglamento (UE) n.º 910/2014 en lo que respecta a los protocolos y las interfaces que admitirá el marco europeo de identidad digital

REGLAMENTO DE EJECUCIÓN (UE) 2024/2982 DE LA COMISIÓN

de 28 de noviembre de 2024

por el que se establecen disposiciones de aplicación del Reglamento (UE) n.º 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a los protocolos y las interfaces que admitirá el marco europeo de identidad digital

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea,

Visto el Reglamento (UE) n.º 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93 /CE ( 1), y, en particular, su artículo 5 bis, apartado 23,

Considerando lo siguiente:

(1) El marco europeo de identidad digital establecido por el Reglamento (UE) n.º 910/2014 es un componente crucial para la creación de un ecosistema de identidad digital seguro e interoperable en toda la Unión. El objetivo de este marco, con las carteras europeas de identidad digital (en lo sucesivo, las «carteras») como piedra angular, es facilitar el acceso a los servicios en todos los Estados miembros, para las personas físicas y jurídicas, garantizando al mismo tiempo la protección de los datos personales y de la privacidad.

(2) El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (2) y, en su caso, la Directiva 2002/58/CE del Parlamento Europeo y del Consejo (3) son aplicables a todas las actividades de tratamiento de datos personales en virtud del presente Reglamento.

(3) El artículo 5 bis, apartado 23, del Reglamento (UE) n.º 910/2014 encomienda a la Comisión que, en caso necesario, establezca las especificaciones y los procedimientos pertinentes. Este mandato se lleva a cabo mediante cuatro Reglamentos de Ejecución, que tratan respectivamente de los protocolos y las interfaces: Reglamento de Ejecución (UE) 2024/2982 de la Comisión (4), la integridad y las funcionalidades básicas: Reglamento de Ejecución (UE) 2024/2979 de la Comisión (5), los datos de identificación de la persona y la declaración electrónica de atributos: Reglamento de Ejecución (UE) 2024/2977 de la Comisión (6), y las notificaciones a la Comisión: Reglamento de Ejecución (UE) 2024/2980 de la Comisión (7). El presente Reglamento establece los requisitos pertinentes para los protocolos y las interfaces.

(4) La Comisión evalúa periódicamente las nuevas tecnologías, prácticas, normas y especificaciones técnicas. Con el fin de garantizar el máximo nivel de armonización entre los Estados miembros para el desarrollo y la certificación de las carteras, las especificaciones técnicas establecidas en el presente Reglamento se basan en el trabajo realizado con arreglo a la Recomendación (UE) 2021/946 de la Comisión, de 3 de junio de 2021, sobre un conjunto de instrumentos común de la Unión para adoptar un enfoque coordinado de cara a un Marco para una Identidad Digital Europea (8), y en particular la arquitectura y el marco de referencia. De conformidad con el considerando 75 del Reglamento (UE) 2024/1183 del Parlamento Europeo y del Consejo (9), la Comisión debe revisar y, en caso necesario, actualizar el presente Reglamento de Ejecución, para mantenerlo en consonancia con la evolución mundial, la arquitectura y el marco de referencia, y seguir las mejores prácticas en el mercado interior.

(5) A fin de garantizar la transparencia y la fiabilidad de las partes usuarias de una cartera ante los usuarios de una cartera, los protocolos y las interfaces utilizados por las soluciones de cartera deben proporcionar a sus usuarios un mecanismo fiable para autenticar a las partes usuarias de una cartera y otras unidades de cartera. Por su parte, los proveedores de carteras deben proporcionar un mecanismo para autenticar y validar las unidades de cartera que ofrezca a las partes usuarias garantías respecto a la fiabilidad y la autenticidad de las unidades de cartera. Además, la infraestructura técnica de las carteras debe estar diseñada también para garantizar que solo se transfiera la cantidad mínima necesaria de datos y únicamente a las partes usuarias autorizadas, manteniendo la no vinculación entre las diferentes transacciones. Con el fin de facilitar la expedición de datos de identificación de la persona y declaraciones electrónicas de atributos, todas las soluciones de cartera deben admitir un conjunto mínimo de protocolos e interfaces.

(6) Para garantizar la facilidad de uso de las soluciones de cartera en todos los Estados miembros, todas las soluciones de cartera deben atenerse a unas especificaciones técnicas comunes cuando los datos de identificación de la persona y las declaraciones electrónicas de atributos se presenten a través de las carteras a las partes usuarias, tanto a distancia como en escenarios de proximidad. Además, las unidades de cartera pueden admitir otros protocolos e interfaces para casos de uso específicos.

(7) Para garantizar la protección de datos mediante el diseño y por defecto, las carteras deben estar provistas de varias características de mejora de la privacidad que impidan que los proveedores de medios de identificación electrónica y declaraciones electrónicas de atributos combinen los datos personales que obtengan cuando presten otros servicios con los datos personales tratados para prestar los servicios incluidos en el ámbito de aplicación del Reglamento (UE) n.º 910/2014. Tal como se establece en el Reglamento (UE) n.º 910/2014, las partes usuarias no deben solicitar a los usuarios que faciliten otros datos que no sean los indicados para el uso previsto de las carteras durante el proceso de registro. Conviene que los usuarios de una cartera puedan verificar en cualquier momento los datos de registro de las partes usuarias. Además, conviene que las unidades de cartera puedan mostrar a los usuarios los certificados de registro de las partes usuarias de la cartera, cuando se disponga de ellos, como parte de una solicitud de atributos. Esto debe permitir a los usuarios de una cartera verificar que los atributos que les solicita la parte usuaria de la cartera están dentro del ámbito de sus atributos registrados, lo que ofrece garantías de que la solicitud es legítima y fiable.

(8) Con el fin de proteger los datos de los usuarios de una cartera, los proveedores de carteras deben garantizar que las unidades de cartera validen las solicitudes de las partes usuarias de la cartera u otras unidades de cartera antes de facilitar dato alguno. Por la misma razón, y de conformidad con el artículo 5 bis, apartado 4, letra d), inciso ii), del Reglamento (UE) n.º 910/2014, los proveedores de carteras deben garantizar que las unidades de cartera permitan a los usuarios de una cartera solicitar la supresión de datos a las partes usuarias de la cartera.

(9) A fin de permitir una reacción rápida en caso de problemas de protección de datos relacionados con el artículo 5 bis, apartado 4, letra d), inciso iii), del Reglamento (UE) n.º 910/2014, los proveedores de carteras deben garantizar que las soluciones de cartera proporcionen mecanismos para denunciar a una parte usuaria ante la autoridad nacional competente de protección de datos. Debe concederse a los proveedores de carteras y las autoridades de protección de datos la flexibilidad adecuada a la hora de establecer los mecanismos adecuados para interactuar con las autoridades de protección de datos de los Estados miembros.

(10) El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (10), emitió su dictamen el 30 de septiembre de 2024.

(11) Las medidas previstas en el presente Reglamento se ajustan al dictamen del comité contemplado en el artículo 48, del Reglamento (UE) n.º 910/2014,

HA ADOPTADO EL PRESENTE REGLAMENTO: