NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY (EU) č. 910/2014
ze dne 23. července 2014
o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu a o zrušení směrnice 1999/93/ES
EVROPSKÝ PARLAMENT A RADA EVROPSKÉ UNIE,
s ohledem na Smlouvu o fungování Evropské unie, a zejména na článek 114 této smlouvy,
s ohledem na návrh Evropské komise,
po postoupení návrhu legislativního aktu vnitrostátním parlamentům,
s ohledem na stanovisko Evropského hospodářského a sociálního výboru (1),
v souladu s řádným legislativním postupem (2),
vzhledem k těmto důvodům:
(1)
Budování důvěryhodnosti on-line prostředí má pro hospodářský a sociální rozvoj klíčový význam. Nedostatečná důvěra, zejména v důsledku pocitu nedostatku právní jistoty, vede k tomu, že se spotřebitelé, podniky a orgány veřejné moci zdráhají provádět transakce elektronickými prostředky a přijímat nové služby.
(2)
Toto nařízení má zvýšit důvěryhodnost elektronických transakcí na vnitřním trhu tím, že poskytne společný základ pro bezpečnou elektronickou komunikaci mezi občany, podniky, orgány veřejné moci, čímž posílí efektivnost veřejných a soukromých on-line služeb, elektronického podnikání a elektronického obchodu v Unii.
(3)
Směrnice Evropského parlamentu a Rady 1999/93/ES (3) upravovala elektronické podpisy, aniž by poskytovala ucelený přeshraniční a meziodvětvový rámec pro bezpečné, důvěryhodné a snadno použitelné elektronické transakce. Toto nařízení acquis uvedené směrnice posiluje a rozšiřuje.
(4)
Ve sdělení Komise ze dne 26. srpna 2010 s názvem „Digitální agenda pro Evropu“ byly jako hlavní překážky účinného cyklu digitální ekonomiky označeny roztříštěnost digitálního trhu, nedostatečná interoperabilita a nárůst kyberkriminality. Ve své zprávě o občanství EU za rok 2010 s názvem „Odstranit překážky pro výkon práv občanů EU“ dále Komise vyzdvihla potřebu odstranit hlavní problémy, které občanům Unie brání ve využívání výhod jednotného digitálního trhu a přeshraničních digitálních služeb.
(5)
Evropská rada ve svých závěrech ze dnů 4. února 2011 a 23. října 2011 vyzvala Komisi, aby do roku 2015 vytvořila jednotný digitální trh s cílem urychleně pokročit v klíčových oblastech digitálního hospodářství a aby prosazovala plně integrovaný jednotný digitální trh usnadněním přeshraničního využívání on-line služeb a zvláštní pozornost přitom věnovala usnadnění bezpečné elektronické identifikace a autentizace.
(6)
Rada ve svých závěrech ze dne 27. května 2011 Komisi vyzvala, aby přispěla k jednotnému digitálnímu trhu vytvořením vhodných podmínek pro vzájemné přeshraniční uznávání klíčových prvků, jako jsou elektronická identifikace, elektronické dokumenty, elektronické podpisy a služby elektronického doručování, a pro interoperabilní služby elektronické veřejné správy v celé Evropské unii.
(7)
Evropský parlament ve svém usnesení ze dne 21. září 2010 o dotvoření vnitřního trhu pro elektronický obchod (4) zdůraznil význam bezpečnosti elektronických služeb, zejména elektronických podpisů, a nutnost vytvořit na celoevropské úrovni infrastrukturu veřejných klíčů, a vyzval Komisi, aby zřídila portál evropských evidenčních orgánů s cílem zajistit přeshraniční interoperabilitu elektronických podpisů a zvýšit bezpečnost transakcí prováděných po internetu.
(8)
Směrnice Evropského parlamentu a Rady 2006/123/ES (5) vyžaduje, aby členské státy vytvořily jednotná kontaktní místa s cílem zajistit, aby veškeré postupy a formality vztahující se k přístupu k činnosti poskytování služeb a jejímu výkonu mohly být snadno splněny na dálku a pomocí elektronických prostředků, a to prostřednictvím příslušného jednotného kontaktního místa a u příslušných orgánů. Mnoho on-line služeb přístupných prostřednictvím jednotného kontaktního místa vyžaduje elektronickou identifikaci, autentizaci a podpis.
(9)
Ve většině případů nemohou občané svou elektronickou identifikaci využívat k autentizaci v jiném členském státě, neboť vnitrostátní systémy elektronické identifikace v jejich zemi nejsou uznávány v ostatních členských státech. Tato elektronická bariéra znemožňuje poskytovatelům služeb plně využívat výhod vnitřního trhu. Vzájemně uznávané prostředky pro elektronickou identifikaci usnadní přeshraniční poskytování četných služeb na vnitřním trhu a umožní podnikům přeshraniční působení, aniž by se při kontaktech s orgány veřejné moci potýkaly s mnoha překážkami.
(10)
Směrnice Evropského parlamentu a Rady 2011/24/EU (6) zřídila síť vnitrostátních orgánů odpovědných za elektronické zdravotnictví. V zájmu zvýšení bezpečnosti a zajištění kontinuity přeshraniční zdravotní péče je tato síť povinna vypracovat pokyny k přeshraničnímu přístupu k elektronickým zdravotním údajům a službám, mimo jiné podporou „společných opatření pro identifikaci a ověřování za účelem snadnější přenositelnosti údajů v rámci přeshraniční zdravotní péče“. Vzájemné uznávání elektronické identifikace a autentizace je hlavním předpokladem pro to, aby se přeshraniční zdravotní péče stala pro evropské občany skutečností. Pokud občané cestují za účelem lékařského ošetření, musí být údaje o jejich zdravotním stavu dostupné v zemi, v níž je léčba poskytována. To vyžaduje řádný, bezpečný a důvěryhodný rámec pro elektronickou identifikaci.
(11)
Toto nařízení by mělo být uplatňováno v plném souladu se zásadami ochrany osobních údajů podle směrnice Evropského parlamentu a Rady 95/46/ES (7). V tomto směru by se, s ohledem na zásadu vzájemného uznávání stanovenou v tomto nařízení, měla autentizace pro účely on-line služeb týkat zpracování pouze těch identifikačních údajů, které jsou přiměřené, podstatné a rozsahem úměrné pro udělení přístupu k dané on-line službě. Dále by poskytovatelé služeb vytvářejících důvěru a orgány dohledu měly dodržovat požadavky stanovené ve směrnici 95/46/ES týkající se důvěrné povahy a bezpečnosti zpracování.
(12)
Jedním z cílů tohoto nařízení je odstranění stávajících překážek přeshraničního využívání prostředků pro elektronickou identifikaci, které se v členských státech používají k autentizaci, alespoň pro účely veřejných služeb. Toto nařízení nemá za cíl zasahovat do systémů správy elektronické identity a souvisejících infrastruktur zřízených v členských státech. Jeho cílem je zajistit, aby u přístupu k přeshraničním on-line službám poskytovaným členskými státy byla možná bezpečná elektronická identifikace a autentizace.
(13)
Členské státy by měly mít možnost používat nebo zavést prostředky pro účely elektronické identifikace pro přístup k on-line službám. Měly by mít rovněž možnost rozhodnout, zda do poskytování těchto prostředků zapojí soukromý sektor. Členské státy by neměly mít povinnost oznámit své systémy elektronické identifikace Komisi. Je na členských státech, aby si zvolily, zda jí oznámí veškeré systémy elektronické identifikace používané na vnitrostátní úrovni pro přístup alespoň k veřejným on-line službám či zvláštním službám nebo pouze některé z těchto systémů, nebo zda tyto systémy neoznámí.
(14)
V tomto nařízení je nutno stanovit určité podmínky, pokud jde o to, které prostředky pro elektronickou identifikaci musí být uznávány, a způsob oznamování systémů elektronické identifikace. Tyto podmínky by měly členským státům pomoci při budování nezbytné vzájemné důvěry v systémy elektronické identifikace a při vzájemném uznávání prostředků pro elektronickou identifikaci spadajících do jejich oznámených systémů. Zásada vzájemného uznávání by se měla použít, jestliže systém elektronické identifikace oznamujícího členského státu splňuje podmínky pro oznámení a toto oznámení bylo zveřejněno v Úředním věstníku Evropské unie. Zásada vzájemného uznávání by se však měla týkat pouze autentizace pro účely on-line služby. Přístup k těmto on-line službám a jejich skutečné poskytnutí žadateli by měly úzce souviset s právem na obdržení takovýchto služeb za podmínek stanovených ve vnitrostátních právních předpisech.
(15)
Povinnost uznávat prostředky pro elektronickou identifikaci by se měla týkat pouze těch prostředků, jejichž úroveň záruky totožnosti odpovídá úrovni, která je stejná nebo vyšší než úroveň požadovaná pro dotyčnou on-line službu. Kromě toho by tato povinnost měla platit pouze v případě, že dotyčný subjekt veřejného sektoru používá v souvislosti s přístupem k dané on-line službě značnou nebo vysokou úroveň záruky. Členské státy by měly mít možnost uznávat v souladu s právem Unie prostředky pro elektronickou identifikaci, které mají nižší úrovně záruky totožnosti.
(16)
Úrovně záruky by měly vyjadřovat míru spolehlivosti prostředků pro elektronickou identifikaci při určování totožnosti osob, a tím poskytovat záruku, že osoba deklarující konkrétní totožnost je skutečně osobou, s níž je tato totožnost spojena. Úroveň záruky závisí na míře spolehlivosti, kterou daný prostředek pro elektronickou identifikaci u deklarované nebo uváděné totožnosti osoby poskytuje s přihlédnutím k postupům (například prokazování a ověřování totožnosti a autentizace), řídícím činnostem (například subjekt vydávající prostředky pro elektronickou identifikaci a postup vydávání těchto prostředků) a prováděným technickým kontrolám. V důsledku rozsáhlých pilotních projektů financovaných Unií, normalizace a činností v mezinárodním měřítku existují různé technické definice a popisy úrovní záruk. Zejména rozsáhlý pilotní projekt STORK a norma ISO 29115 uvádějí mimo jiné úrovně 2, 3 a 4, které by měly být v maximální míře zohledněny při stanovování minimálních technických požadavků, norem a postupů pro nízkou, značnou a vysokou úroveň záruky ve smyslu tohoto nařízení, a současně by mělo být zajištěno jednotné uplatňování tohoto nařízení, zejména pokud jde o vysokou úroveň záruky v souvislosti s prokazováním totožnosti pro vydávání kvalifikovaných certifikátů. Stanovené požadavky by měly být z technologického hlediska neutrální. Měla by tedy existovat možnost splnit nezbytné bezpečnostní požadavky různými technologiemi.
(17)
Členské státy by měly podporovat soukromý sektor, aby pro účely identifikace, je-li u on-line služeb nebo elektronických transakcí zapotřebí, dobrovolně používal prostředky pro elektronickou identifikaci v rámci oznámeného systému. Možnost používat tyto prostředky pro elektronickou identifikaci by soukromému sektoru umožnila spoléhat se na elektronickou identifikaci a autentizaci, která se již v mnoha členských státech ve značné míře používá přinejmenším u veřejných služeb, a usnadnila by podnikům a občanům přeshraniční přístup k on-line službám. V zájmu snazšího přeshraničního používání těchto prostředků pro elektronickou identifikaci soukromým sektorem by možnost autentizace zajišťovaná kterýmkoli členským státem měla být k dispozici i spoléhajícím se stranám ze soukromého sektoru, které jsou usazeny mimo území daného členského státu, a to za stejných podmínek jako pro spoléhající se strany ze soukromého sektoru, které v daném členském státě usazeny jsou. Oznamující členský stát tak může stanovit podmínky přístupu spoléhajících se stran ze soukromého sektoru k prostředkům pro autentizaci. Tyto podmínky přístupu mohou informovat o tom, zda je prostředek pro autentizaci související s oznámeným systémem v současnosti dostupný spoléhajícím se stranám ze soukromého sektoru.
(18)
Toto nařízení by mělo stanovit odpovědnost oznamujícího členského státu, strany vydávající prostředky pro elektronickou identifikaci a strany provozující postup autentizace za nedodržení příslušných povinností z tohoto nařízení vyplývajících. Mělo by však být uplatňováno v souladu s vnitrostátními pravidly odpovědnosti. Tato vnitrostátní pravidla týkající se například vymezení škod nebo souvisejících platných procesních pravidel, včetně důkazního břemene, jím proto nejsou dotčena.
(19)
Bezpečnost systémů elektronické identifikace je klíčovým předpokladem pro důvěryhodné přeshraniční vzájemné uznávání prostředků pro elektronickou identifikaci. Členské státy by v této souvislosti měly spolupracovat v otázkách bezpečnosti a interoperability systémů elektronické identifikace na úrovni Unie. Ve všech případech, kdy systémy elektronické identifikace vyžadují, aby spoléhající se strany použily na vnitrostátní úrovni zvláštní technické zařízení nebo programové vybavení, je v zájmu přeshraniční interoperability žádoucí, aby tyto členské státy takové požadavky a související náklady neuplatňovaly vůči spoléhajícím se stranám usazeným mimo jejich území. V takovém případě je v mezích rámce interoperability třeba projednat a vyvinout vhodná řešení. Nicméně technické požadavky, které vyplývají z vlastních specifikací vnitrostátních prostředků pro elektronickou identifikaci a mohou mít vliv na držitele těchto elektronických prostředků (například inteligentní karty), jsou nevyhnutelné.
(20)
Spolupráce členských států by měla usnadnit technickou interoperabilitu oznámených systémů elektronické identifikace v zájmu podpory vysoké úrovně důvěryhodnosti a bezpečnosti odpovídající míře rizika. Této spolupráci by měla napomoci výměna informací a sdílení osvědčených postupů mezi členskými státy za účelem jejich vzájemného uznávání.
(21)
Toto nařízení by mělo stanovit rovněž obecný právní rámec pro využívání služeb vytvářejících důvěru. Nemělo by však zakládat obecnou povinnost používat tyto služby ani zřídit přístupový bod pro všechny existující služby vytvářející důvěru. Zejména by se nemělo vztahovat na poskytování služeb, které jsou využívány výhradně uvnitř uzavřených systémů mezi určeným okruhem účastníků a nemají žádný vliv na třetí osoby. Požadavky tohoto nařízení by se neměly například vztahovat na systémy zavedené v podnicích nebo v orgánech veřejné správy za účelem řízení vnitřních postupů využívajících služby vytvářející důvěru. Měly by jim podléhat pouze služby vytvářející důvěru, které jsou poskytovány veřejnosti a které mají vliv na třetí osoby. Toto nařízení by se nemělo vztahovat ani na aspekty související s uzavíráním a platností smluv nebo jiných právních povinností, pokud existují požadavky na formu stanovené vnitrostátním právem nebo právem Unie. Neměly by jím být dotčeny ani vnitrostátní požadavky na formu týkající se veřejných rejstříků, zejména obchodních rejstříků a katastrů nemovitostí.
(22)
Aby se přispělo k obecnému přeshraničnímu využívání služeb vytvářejících důvěru, mělo by být možné použít je ve všech členských státech jako důkaz v soudním a správním řízení. Je na vnitrostátním právu, aby vymezilo právní účinky služeb vytvářejících důvěru, nestanoví-li se v tomto nařízení jinak.
(23)
Pokud toto nařízení ukládá povinnost uznávat určitou službu vytvářející důvěru, může být její uznání odmítnuto pouze v případě, že ji povinný subjekt z technických důvodů, které jsou mimo jeho přímou kontrolu, není schopen přečíst nebo ověřit. Tato povinnost by však sama o sobě neměla znamenat, že veřejný subjekt musí získat technické zařízení a programové vybavení nezbytné pro technickou čitelnost všech existujících služeb vytvářejících důvěru.
(24)
Členské státy mohou v souladu s právem Unie zachovat nebo zavést vnitrostátní předpisy týkající se služeb vytvářejících důvěru, pokud dané služby nejsou tímto nařízením plně harmonizovány. Služby vytvářející důvěru, které vyhovují tomuto nařízení, by se však měly na vnitřním trhu volně pohybovat.
(25)
Členské státy by měly mít možnost stanovit kromě služeb vytvářejících důvěru, jež jsou součástí uzavřeného seznamu služeb vytvářejících důvěru stanoveného v tomto nařízení, i jiné druhy služeb vytvářejících důvěru za účelem jejich uznávání na vnitrostátní úrovni jako kvalifikovaných služeb vytvářejících důvěru.
(26)
Vzhledem k tempu technologických změn by toto nařízení mělo přijmout přístup, který je otevřený inovacím.
(27)
Toto nařízení by mělo být z technologického hlediska neutrální. Právních účinků, které přiznává, by mělo být možné dosáhnout jakýmikoli technickými prostředky, jsou-li splněny požadavky tohoto nařízení.
(28)
Ke zvýšení důvěry zejména malých a středních podniků a spotřebitelů ve vnitřní trh a na podporu používání služeb vytvářejících důvěru a produktů by měly být zavedeny pojmy „kvalifikované služby vytvářející důvěru“ a „kvalifikovaný poskytovatel služeb vytvářejících důvěru“ za účelem stanovení požadavků a povinností, které zajistí vysokou úroveň bezpečnosti všech používaných nebo poskytovaných kvalifikovaných služeb vytvářejících důvěru a produktů.
(29)
V souladu se závazky podle Úmluvy OSN o právech osob se zdravotním postižením, která byla schválena rozhodnutím Rady 2010/48/ES (8), a zejména s jejím článkem 9, by osoby se zdravotním postižením měly mít možnost využívat služby vytvářející důvěru a konečné uživatelské produkty používané při poskytování těchto služeb stejně jako ostatní spotřebitelé. Poskytované služby vytvářející důvěru a konečné uživatelské produkty používané při poskytování těchto služeb by proto měly být dostupné osobám se zdravotním postižením, je-li to proveditelné. Součástí posouzení proveditelnosti by měly být mimo jiné technické a ekonomické aspekty.
(30)
Členské státy by měly určit orgán nebo orgány dohledu, které budou vykonávat činnosti v oblasti dohledu podle tohoto nařízení. Na základě vzájemné dohody s jiným členským státem by členské státy rovněž měly mít možnost rozhodnout, že určí orgán dohledu na území tohoto jiného členského státu.
(31)
Orgány dohledu by měly spolupracovat s orgány pro ochranu údajů, například je informovat o výsledcích auditů kvalifikovaných poskytovatelů služeb vytvářejících důvěru, jestliže podle všeho došlo k porušení pravidel týkajících se ochrany osobních údajů. Toto poskytování informací by se mělo týkat zejména bezpečnostních incidentů a narušení bezpečnosti osobních údajů.
(32)
Všichni poskytovatelé služeb vytvářejících důvěru by měli mít povinnost uplatňovat řádné bezpečnostní postupy, které jsou přiměřené s ohledem na rizika spojená s jejich činnostmi, aby byla posílena důvěra uživatelů v jednotný trh.
(33)
Ustanovení o používání pseudonymů v certifikátech by neměla členským státům bránit v tom, aby vyžadovaly identifikaci osob podle práva Unie nebo podle vnitrostátního práva.
(34)
Všechny členské státy by měly dodržovat společné základní požadavky na dohled s cílem zajistit srovnatelnou úroveň bezpečnosti kvalifikovaných služeb vytvářejících důvěru. K usnadnění jednotného uplatňování těchto požadavků v celé Unii by členské státy měly přijmout srovnatelné postupy a měly by si vyměňovat informace o svých činnostech v oblasti dohledu a o osvědčených postupech používaných v praxi.
(35)
Požadavky tohoto nařízení, zejména požadavky týkající se bezpečnosti a povinnosti zajistit hloubkovou kontrolu operací a služeb, jejich transparentnost a odpovědnost za ně, by se měly vztahovat na všechny poskytovatele služeb vytvářejících důvěru. S přihlédnutím k druhu služeb, které poskytovatelé služeb vytvářejících důvěru poskytují, je však vhodné rozlišovat v souvislosti s těmito požadavky kvalifikované a nekvalifikované poskytovatele služeb vytvářejících důvěru.
(36)
Zavedení režimu dohledu pro všechny poskytovatele služeb vytvářejících důvěru by zajistilo rovné podmínky pro bezpečnost jejich činností a služeb a odpovědnost za ně, což by přispělo k ochraně uživatelů a k fungování vnitřního trhu. Nekvalifikovaní poskytovatelé služeb vytvářejících důvěru by měli podléhat nezatěžujícím a pružným činnostem následného dohledu, odůvodněným povahou jejich služeb a činností. Orgán dohledu by proto neměl mít obecnou povinnost vykonávat nad nekvalifikovanými poskytovateli služeb dohled. Orgán dohledu by měl jednat pouze v případě, že byl (například samotným nekvalifikovaným poskytovatelem služeb vytvářejících důvěru, jiným orgánem dohledu, na základě oznámení uživatele či obchodního partnera nebo na základě vlastního šetření) informován o tom, že nekvalifikovaný poskytovatel služeb vytvářejících důvěru nesplňuje požadavky tohoto nařízení.
(37)
Toto nařízení by mělo stanovit odpovědnost pro všechny poskytovatele služeb vytvářejících důvěru. Zejména zavádí režim odpovědnosti, podle kterého by všichni poskytovatelé služeb vytvářejících důvěru měli odpovídat za škodu, kterou fyzické nebo právnické osobě způsobí v důsledku nesplnění povinností podle tohoto nařízení. Za účelem snadnějšího posouzení finančního rizika, které poskytovatelé služeb vytvářejících důvěru mohou být nuceni nést nebo které by mělo být kryto jejich pojistnou smlouvou, toto nařízení poskytovatelům služeb vytvářejících důvěru umožňuje stanovit za určitých podmínek omezení týkající se využívání jimi poskytovaných služeb a zprostit se odpovědnosti za škody vyplývající z využívání služeb nad rámec těchto omezení. Zákazníci by měli být o těchto omezeních předem řádně informováni. Tato omezení by měla být rozpoznatelná pro třetí osoby, například tím, že informace o těchto omezeních budou zahrnuty v podmínkách poskytované služby, nebo jinými rozpoznatelnými prostředky. Za účelem účinného uplatňování těchto zásad by se toto nařízení mělo použít v souladu s vnitrostátními pravidly odpovědnosti. Tato vnitrostátní pravidla týkající se například vymezení škody, úmyslu nebo nedbalosti nebo související platná procesní pravidla proto tímto nařízením nejsou dotčena.
(38)
Oznamování narušení bezpečnosti a posuzování bezpečnostních rizik je nezbytné, aby mohly být dotčeným stranám v případě narušení bezpečnosti nebo ztráty integrity poskytnuty náležité informace.
(39)
Aby mohly Komise a členské státy posoudit účinnost mechanismu pro oznamování narušení bezpečnosti, který je zaveden tímto nařízením, měly by orgány dohledu poskytovat souhrnné informace Komisi a Agentuře Evropské unie pro bezpečnost sítí a informací (ENISA).
(40)
Aby mohly Komise a členské státy posoudit účinnost zdokonaleného mechanismu dohledu, který je zaveden tímto nařízením, měly by orgány dohledu podávat zprávy o své činnosti. To by napomohlo při usnadňování výměny osvědčených postupů mezi orgány dohledu a zajistilo ověření toho, zda jsou základní požadavky na dohled ve všech členských státech uplatňovány jednotně a účinně.
(41)
K zajištění udržitelnosti a stálosti kvalifikovaných služeb vytvářejících důvěru a posílení důvěry uživatelů v kontinuitu kvalifikovaných služeb vytvářejících důvěru by orgány dohledu měly ověřovat existenci a správné uplatňování předpisů o plánech ukončení činnosti v případech, kdy kvalifikovaní poskytovatelé služeb vytvářejících důvěru ukončí svou činnost.
(42)
K usnadnění dohledu nad kvalifikovanými poskytovateli služeb vytvářejících důvěru například v případě, že poskytovatel poskytuje své služby na území jiného členského státu a nepodléhá v něm dohledu, nebo pokud se počítače poskytovatele nacházejí na území jiného členského státu, než ve kterém je usazen, by měl být zřízen systém vzájemné pomoci mezi orgány dohledu v členských státech.
(43)
Aby bylo zajištěno, že kvalifikovaní poskytovatelé služeb vytvářejících důvěru a jimi poskytované služby splňují požadavky stanovené v tomto nařízení, měl by subjekt posuzování shody provádět posuzování shody a kvalifikovaní poskytovatelé služeb vytvářejících důvěru by měli výsledné zprávy o posouzení shody předkládat orgánu dohledu. Kdykoli orgán dohledu požaduje, aby kvalifikovaný poskytovatel služeb vytvářejících důvěru předložil ad hoc zprávu o posouzení shody, měl by tento orgán dohledu dodržovat zejména zásadu řádné správy věcí veřejných, včetně povinnosti zdůvodnit svá rozhodnutí, a dále zásadu proporcionality. Orgán dohledu by tedy měl svá rozhodnutí požadující ad hoc posouzení shody řádně odůvodnit.
(44)
Cílem tohoto nařízení je zajistit soudržný rámec, který by v souvislosti se službami vytvářejícími důvěru zabezpečil vysokou úroveň bezpečnosti a právní jistotu. V tomto směru by při úpravě posuzování shody produktů a služeb měla Komise ve vhodných případech usilovat o synergie se stávajícími příslušnými evropskými a mezinárodními režimy, jako je například nařízení Evropského parlamentu a Rady (ES) č. 765/2008 (9), které stanoví požadavky na akreditaci subjektů posuzování shody a dozor nad trhem s výrobky.
(45)
S cílem umožnit účinný postup pro zahájení poskytování služeb, který by měl vést k zařazení kvalifikovaných poskytovatelů služeb vytvářejících důvěru a jimi poskytovaných kvalifikovaných služeb vytvářejících důvěru na důvěryhodné seznamy, je nutno podporovat předběžné kontakty mezi potencionálními kvalifikovanými poskytovateli služeb vytvářejících důvěru a příslušným orgánem dohledu v zájmu usnadnění hloubkové kontroly vedoucí k poskytování kvalifikovaných služeb vytvářejících důvěru.
(46)
Nezbytnými prvky při budování důvěry mezi tržními subjekty jsou důvěryhodné seznamy, jelikož udávají stav kvalifikace poskytovatele služeb v době dohledu.
(47)
Důvěra v on-line služby a pohodlí, které tyto služby nabízejí, jsou zásadní pro to, aby mohli uživatelé plně využívat elektronických služeb a vědomě se na ně spoléhat. Za tímto účelem by měla být vytvořena značka důvěry EU, jež by označovala kvalifikované služby vytvářející důvěru poskytované kvalifikovanými poskytovateli služeb vytvářejících důvěru. Tato značka důvěry EU pro kvalifikované služby vytvářející důvěru by tyto služby jasně odlišila od ostatních služeb vytvářejících důvěru, a tím by přispěla k transparentnosti na trhu. Používání značky důvěry EU kvalifikovanými poskytovateli služeb vytvářejících důvěru by mělo být dobrovolné a nemělo by vést k uložení žádných jiných požadavků kromě těch, které jsou stanoveny v tomto nařízení.
(48)
Ačkoliv k zajištění vzájemného uznávání elektronických podpisů je zapotřebí vysoká úroveň bezpečnosti, měly by být ve zvláštních případech, například v kontextu rozhodnutí Komise 2009/767/ES (10), přijímány rovněž elektronické podpisy s nižší zárukou bezpečnosti.
(49)
Toto nařízení by mělo zavést zásadu, že elektronickému podpisu by neměly být upírány právní účinky na základě skutečnosti, že má elektronickou podobu nebo že nesplňuje požadavky na kvalifikovaný elektronický podpis. Právní účinky elektronických podpisů v členských státech by však měly být vymezeny vnitrostátním právem, s výjimkou požadavků stanovených v tomto nařízení, podle něhož by měl mít kvalifikovaný elektronický podpis rovnocenný právní účinek jako podpis vlastnoruční.
(50)
Jelikož v současnosti používají příslušné orgány v členských státech při podepisování svých dokumentů elektronickými prostředky různé formáty zaručených elektronických podpisů, je nutné zajistit, aby členské státy mohly při přijímání dokumentů, které byly podepsány elektronickými prostředky, technicky podporovat alespoň určitý počet formátů zaručených elektronických podpisů. Pokud příslušné orgány v členských státech používají zaručené elektronické pečetě, bude obdobně nutné zajistit, aby podporovaly přinejmenším určitý počet formátů zaručených elektronických pečetí.
(51)
Podepisující osoba by měla mít možnost svěřit kvalifikované prostředky pro vytváření elektronických podpisů do péče třetí straně, pokud jsou zavedeny odpovídající mechanismy a postupy, které zajišťují, že podepisující osoba má výhradní kontrolu nad používáním svých dat pro vytváření elektronických podpisů, a použitím tohoto prostředku jsou splněny požadavky na kvalifikovaný elektronický podpis.
(52)
Vytváření elektronického podpisu na dálku, jehož prostředí spravuje poskytovatel služeb vytvářejících důvěru jménem podepisující osoby, přináší mnohé ekonomické výhody, a bude tedy pravděpodobně stále častější. Aby však bylo zajištěno, že tyto elektronické podpisy budou z právního hlediska uznávány stejně jako elektronické podpisy, které jsou vytvářeny v prostředí spravovaném výlučně uživatelem, měli by poskytovatelé nabízející služby elektronického podpisu na dálku uplatňovat zvláštní postupy pro zajištění bezpečnosti v oblasti řízení a správy a používat důvěryhodné systémy a produkty zahrnující zabezpečené kanály pro elektronickou komunikaci, a zajistit tak spolehlivost prostředí, v němž jsou elektronické podpisy vytvářeny, a zaručit, že je toto prostředí používáno pod výlučnou kontrolou podepisující osoby. V případě kvalifikovaného elektronického podpisu vytvořeného pomocí prostředku pro vytváření elektronických podpisů na dálku by se měly použít požadavky stanovené v tomto nařízení, které jsou použitelné na kvalifikované poskytovatele služeb vytvářejících důvěru.
(53)
Pozastavení platnosti kvalifikovaných certifikátů je jedním ze zavedených operativních postupů poskytovatelů služeb vytvářejících důvěru v řadě členských států, který se liší od zneplatnění a znamená dočasnou ztrátu platnosti certifikátu. V zájmu právní jistoty je nezbytné, aby bylo pozastavení platnosti certifikátu vždy jasně vyznačeno. Za tímto účelem by měli být poskytovatelé služeb vytvářejících důvěru odpovědní za jasné vyznačení statusu certifikátu a - v případě jeho pozastavení jeho platnosti - přesné doby, na kterou byla platnost certifikátu pozastavena. Toto nařízení by nemělo poskytovatelům služeb vytvářejících důvěru ani členským státům ukládat povinnost pozastavení platnosti uplatňovat, ale mělo by stanovit transparentní pravidla ohledně toho, kdy a kde je tento postup k dispozici.
(54)
Pro přeshraniční uznávání kvalifikovaných elektronických podpisů jsou předpokladem přeshraniční interoperabilita a uznávání kvalifikovaných certifikátů. Kvalifikované certifikáty by proto neměly podléhat žádným závazným požadavkům, které přesahují požadavky stanovené v tomto nařízení. Na vnitrostátní úrovni by však zahrnutí zvláštních atributů, například jedinečných identifikátorů, do kvalifikovaných certifikátů mělo být povoleno, pokud tyto zvláštní atributy nebrání přeshraniční interoperabilitě a uznávání kvalifikovaných certifikátů a kvalifikovaných elektronických podpisů.
(55)
Certifikace bezpečnosti IT systémů založená na mezinárodních normách, jako jsou ISO 15408 a související hodnotící metody a mechanismy vzájemného uznávání, je důležitým nástrojem ověřování bezpečnosti kvalifikovaných prostředků pro vytváření elektronických podpisů a měla by být podporována. Inovační řešení a služby, jako například podepisování prostřednictvím mobilního telefonu a podepisování v cloudech, se však opírají o technická a organizační řešení pro kvalifikované prostředky pro vytváření elektronických podpisů, pro něž bezpečnostní normy dosud nemusí být k dispozici nebo pro něž první certifikace bezpečnosti IT systémů dosud probíhá. Pouze v případě, že bezpečnostní normy nejsou k dispozici nebo první certifikace bezpečnosti IT systémů probíhá, by mohla být úroveň bezpečnosti těchto kvalifikovaných prostředků pro vytváření elektronických podpisů posouzena alternativními postupy. Tyto postupy by měly být srovnatelné s normami pro certifikaci bezpečnosti IT systémů, pokud jsou jejich úrovně bezpečnosti rovnocenné. Vzájemné hodnocení by mohlo tyto postupy usnadnit.
(56)
Toto nařízení by mělo stanovit požadavky na kvalifikované prostředky pro vytváření elektronických podpisů, které mají zajistit funkčnost zaručených elektronických podpisů. Toto nařízení by nemělo zahrnovat celé systémové prostředí, ve kterém se tyto prostředky využívají. Rozsah certifikace kvalifikovaných prostředků pro vytváření podpisů by proto měl být omezen na technické zařízení a systémové programové vybavení používané pro správu a ochranu dat pro vytváření podpisů, která jsou v prostředku pro vytváření podpisů vytvořena, uložena nebo zpracovávána. Jak je podrobně uvedeno v příslušných normách, měly by být z certifikační povinnosti vyloučeny aplikace pro vytváření podpisů.
(57)
V zájmu zajištění právní jistoty ohledně platnosti podpisu je nezbytné upřesnit prvky kvalifikovaného elektronického podpisu, které by měla posoudit spoléhající se strana, jež provádí ověření platnosti. Upřesnění požadavků na kvalifikované poskytovatele služeb vytvářejících důvěru, kteří mohou poskytovat kvalifikovanou službu ověřování platnosti spoléhajícím se stranám, jež nejsou ochotny nebo schopny provádět ověřování platnosti kvalifikovaných elektronických podpisů samy, by navíc mělo soukromý a veřejný sektor podnítit k investicím do těchto služeb. Oba prvky by měly usnadnit ověřování platnosti kvalifikovaných elektronických podpisů a být vhodné pro všechny strany na úrovni Unie.
(58)
Vyžaduje-li transakce kvalifikovanou elektronickou pečeť právnické osoby, měl by být stejně tak přijatelný kvalifikovaný elektronický podpis oprávněného zástupce této právnické osoby.
(59)
Elektronické pečetě by měly sloužit jako důkaz toho, že elektronický dokument vydala určitá právnická osoba, a poskytovat jistotu o původu a integritě dokumentu.
(60)
Poskytovatelé služeb vytvářejících důvěru vydávající kvalifikované certifikáty pro elektronické pečetě by měli zavést nezbytná opatření, aby byli schopni určit totožnost fyzické osoby zastupující právnickou osobu, které je kvalifikovaný certifikát pro elektronickou pečeť poskytován, je-li tato identifikace nezbytná na vnitrostátní úrovni v soudním nebo správním řízení.
(61)
Toto nařízení by mělo zajistit dlouhodobé uchovávání informací, aby zajistilo dlouhodobou platnost elektronických podpisů a elektronických pečetí a zaručilo, že mohou být ověřeny bez ohledu na budoucí technologické změny.
(62)
Aby byla zajištěna bezpečnost kvalifikovaných elektronických časových razítek, mělo by toto nařízení vyžadovat použití zaručené elektronické pečeti nebo zaručeného elektronického podpisu nebo jiných rovnocenných metod. Lze předpokládat, že inovace mohou vést ke vzniku nových technologií, jež mohou zajistit rovnocennou úroveň bezpečnosti pro časová razítka. Kdykoli je použita jiná metoda než zaručená elektronická pečeť nebo zaručený elektronický podpis, mělo by být na kvalifikovaném poskytovateli služeb vytvářejících důvěru, aby ve zprávě o posouzení shody prokázal, že daná metoda zajišťuje rovnocennou úroveň bezpečnosti a splňuje povinnosti stanovené v tomto nařízení.
(63)
Elektronické dokumenty jsou důležité pro další rozvoj přeshraničních elektronických transakcí na vnitřním trhu. Toto nařízení by mělo stanovit zásadu, že elektronickému dokumentu nesmějí být upírány právní účinky na základě skutečnosti, že má elektronickou podobu; cílem této zásady je zajistit, aby elektronická transakce nebyla odmítnuta jen z toho důvodu, že dokument má elektronickou podobu.
(64)
Při úpravě formátů zaručených elektronických podpisů a pečetí by Komise měla vycházet ze stávajících postupů, norem a právních předpisů, zejména z rozhodnutí Komise 2011/130/EU (11).
(65)
Vedle ověření pravosti dokumentu vydaného právnickou osobou lze elektronické pečetě použít k autentizaci jakéhokoli digitálního předmětu dotyčné právnické osoby, například softwarového kódu nebo serverů.
(66)
Je nezbytné stanovit právní rámec, který usnadní přeshraniční uznávání služeb elektronického doporučeného doručování mezi stávajícími vnitrostátními právními systémy. Tento rámec by mohl rovněž přinést nové tržní příležitosti pro poskytovatele služeb vytvářejících důvěru z Unie, kteří budou moci nabízet nové panevropské služby elektronického doporučeného doručování.
(67)
Služby autentizace internetových stránek poskytují prostředek, s jehož pomocí se návštěvník určitých internetových stránek může ujistit, že tyto stránky reprezentují skutečný a legitimní subjekt. Tyto služby přispívají k budování důvěryhodnosti a důvěry v on-line obchodování, neboť uživatelé budou mít důvěru v internetové stránky, které byly autentizovány. Poskytování a využívání služeb autentizace internetových stránek je zcela dobrovolné. Aby se však autentizace internetových stránek stala prostředkem pro posílení důvěryhodnosti, zlepšení zkušeností uživatelů a podporu růstu na vnitřním trhu, mělo by toto nařízení stanovit pro poskytovatele a jejich služby minimální povinnosti v oblasti bezpečnosti a odpovědnosti. Za tímto účelem byly zohledněny výsledky dosavadních iniciativ vedených odvětvím, jako například fóra pro certifikační orgány a vyhledávače - fórum CA/B. Kromě toho by toto nařízení nemělo bránit používání jiných prostředků nebo metod pro autentizaci internetových stránek, na které se toto nařízení nevztahuje, ani by nemělo poskytovatelům služeb autentizace internetových stránek pocházejícím ze třetích zemí bránit v tom, aby své služby poskytovali zákazníkům v Unii. Služby autentizace internetových stránek nabízené poskytovatelem ze třetí země by však měly být uznány jako kvalifikované služby podle tohoto nařízení pouze v případě, že byla uzavřena mezinárodní dohoda mezi Unií a zemí, v níž je poskytovatel usazen.
(68)
Pojetí „právnických osob“ podle ustanovení Smlouvy o fungování Evropské unie (dále jen „Smlouva o fungování EU“) týkajících se usazování ponechává hospodářským subjektům možnost volby právní formy, kterou považují za vhodnou pro výkon své činnosti. „Právnickými osobami“ ve smyslu Smlouvy o fungování EU se tedy rozumějí všechny subjekty, které byly založeny podle práva některého členského státu nebo se tímto právem řídí, bez ohledu na jejich právní formu.
(69)
Orgány, instituce a jiné subjekty Unie se vybízejí, aby pro účely správní spolupráce uznávaly elektronickou identifikaci a služby vytvářející důvěru upravené tímto nařízením a využívaly přitom zejména stávajících osvědčených postupů a výsledků probíhajících projektů v oblastech, jichž se toto nařízení týká.
(70)
Za účelem pružného a rychlého doplnění určitých podrobných technických aspektů tohoto nařízení by měla být Komisi svěřena pravomoc přijímat akty v souladu s článkem 290 Smlouvy o fungování EU, pokud jde o kritéria, která musí splňovat subjekty odpovědné za certifikaci kvalifikovaných prostředků pro vytváření elektronických podpisů. Je obzvláště důležité, aby Komise v rámci přípravné činnosti vedla odpovídající konzultace, a to i na odborné úrovni. Při přípravě a vypracování aktů v přenesené pravomoci by Komise měla zajistit, aby byly příslušné dokumenty předány současně, včas a vhodným způsobem Evropskému parlamentu a Radě.
(71)
Za účelem zajištění jednotných podmínek k provedení tohoto nařízení by měly být Komisi svěřeny prováděcí pravomoci, zejména k určení referenčních čísel norem, jejichž použití zakládá předpoklad shody s určitými požadavky stanovenými v tomto nařízení. Tyto pravomoci by měly být vykonávány v souladu s nařízením Evropského parlamentu a Rady (EU) č. 182/2011 (12).
(72)
Při přijímání aktů v přenesené pravomoci nebo prováděcích aktů by Komise měla řádně zohlednit normy a technické specifikace vypracované evropskými a mezinárodními normalizačními organizacemi a subjekty, zejména pak Evropským výborem pro normalizaci (CEN), Evropským ústavem pro telekomunikační normy (ETSI), Mezinárodní organizací pro normalizaci (ISO) a Mezinárodní telekomunikační unií (ITU), s cílem zajistit vysokou úroveň bezpečnosti a interoperability elektronické identifikace a služeb vytvářejících důvěru.
(73)
Z důvodu právní jistoty a jasnosti by měla být směrnice 1999/93/ES zrušena.
(74)
V zájmu zajištění právní jistoty pro tržní subjekty, které již používají kvalifikovaná osvědčení vydaná fyzickým osobám podle směrnice 1999/93/ES, je nutné stanovit dostatečně dlouhou lhůtu pro přechod. Obdobně by měla být stanovena přechodná opatření pro bezpečné prostředky pro vytváření podpisů, jejichž shoda byla zjištěna v souladu se směrnicí 1999/93/ES, a pro ověřovatele, kteří vydávají kvalifikované certifikáty před 1. červencem 2016. V neposlední řadě je rovněž nezbytné umožnit Komisi přijímání prováděcích aktů a aktů v přenesené pravomoci před tímto dnem.
(75)
Dny použitelnosti stanovenými v tomto nařízení nejsou dotčeny stávající povinnosti, které členské státy již mají podle právních předpisů Unie, zejména pak podle směrnice 2006/123/ES.
(76)
Jelikož cílů tohoto nařízení nemůže být dosaženo uspokojivě členskými státy, ale spíše jich, z důvodu rozsahu opatření, může být lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity stanovenou v článku 5 Smlouvy o Evropské unii. V souladu se zásadou proporcionality stanovenou v uvedeném článku nepřekračuje toto nařízení rámec toho, co je nezbytné pro dosažení těchto cílů.
(77)
Evropský inspektor ochrany údajů byl konzultován v souladu s čl. 28 odst. 2 nařízení Evropského parlamentu a Rady (ES) č. 45/2001 (13) a vydal stanovisko dne 27. září 2012 (14),
PŘIJALY TOTO NAŘÍZENÍ:
KAPITOLA I
OBECNÁ USTANOVENÍ
Článek 1
Předmět
S cílem zajistit řádné fungování vnitřního trhu a současně usilovat o odpovídající úroveň bezpečnosti prostředků pro elektronickou identifikaci a služeb vytvářejících důvěru toto nařízení:
a)
stanoví podmínky, za nichž členské státy uznávají prostředky pro elektronickou identifikaci fyzických a právnických osob, které spadají do oznámeného systému elektronické identifikace jiného členského státu;
b)
stanoví pravidla pro služby vytvářející důvěru, zejména u elektronických transakcí; a
c)
stanoví právní rámec pro elektronické podpisy, elektronické pečetě, elektronická časová razítka, elektronické dokumenty, služby elektronického doporučeného doručování a certifikační služby pro autentizaci internetových stránek.
Článek 2
Oblast působnosti
1. Toto nařízení se vztahuje na systémy elektronické identifikace oznámené členskými státy a na poskytovatele služeb vytvářejících důvěru usazené v Unii.
2. Toto nařízení se nevztahuje na poskytování služeb vytvářejících důvěru, které jsou používány výhradně v rámci uzavřených systémů vyplývajících z vnitrostátního práva nebo z dohod mezi určeným okruhem účastníků.
3. Tímto nařízením není dotčeno vnitrostátní právo ani právo Unie týkající se uzavírání a platnosti smluv či jiných právních nebo procesních povinností týkajících se formy.
Článek 3
Definice
Pro účely tohoto nařízení se rozumí:
1)
„elektronickou identifikací“ postup používání osobních identifikačních údajů v elektronické podobě, které jedinečně identifikují určitou fyzickou či právnickou osobu nebo fyzickou osobu zastupující právnickou osobu;
2)
„prostředkem pro elektronickou identifikaci“ hmotná či nehmotná jednotka obsahující osobní identifikační údaje, která se používá k autentizaci pro účely on-line služby;
3)
„osobními identifikačními údaji“ soubor údajů umožňujících určit totožnost fyzické či právnické osoby nebo fyzické osoby zastupující právnickou osobu;
4)
„systémem elektronické identifikace“ systém pro elektronickou identifikaci, na jehož základě jsou fyzickým či právnickým osobám nebo fyzickým osobám zastupujícím právnické osoby vydávány prostředky pro elektronickou identifikaci;
5)
„autentizací“ elektronický postup, který umožňuje potvrdit elektronickou identifikaci fyzické či právnické osoby nebo původ a integritu dat v elektronické podobě;
6)
„spoléhající se stranou“ fyzická nebo právnická osoba, která se spoléhá na elektronickou identifikaci nebo službu vytvářející důvěru;
7)
„subjektem veřejného sektoru“ státní, regionální nebo místní orgán, veřejnoprávní subjekt, sdružení vytvořené jedním nebo několika takovými orgány nebo jedním nebo několika takovými veřejnoprávními subjekty nebo soukromý subjekt, který byl alespoň jedním z těchto orgánů, subjektů nebo sdružení pověřen poskytovat veřejné služby, jedná-li na základě tohoto pověření;
8)
„veřejnoprávním subjektem“ subjekt vymezený v čl. 2 odst. 1 bodě 4 směrnice Evropského parlamentu a Rady 2014/24/EU (15);
9)
„podepisující osobou“ fyzická osoba, která vytváří elektronický podpis;
10)
„elektronickým podpisem“ data v elektronické podobě, která jsou připojena k jiným datům v elektronické podobě nebo jsou s nimi logicky spojena a která podepisující osoba používá k podepsání;
11)
„zaručeným elektronickým podpisem“ elektronický podpis, který splňuje požadavky stanovené v článku 26;
12)
„kvalifikovaným elektronickým podpisem“ zaručený elektronický podpis, který je vytvořen kvalifikovaným prostředkem pro vytváření elektronických podpisů a který je založen na kvalifikovaném certifikátu pro elektronické podpisy;
13)
„daty pro vytváření elektronických podpisů“ jedinečná data, která podepisující osoba používá k vytváření elektronických podpisů;
14)
„certifikátem pro elektronický podpis“ elektronické potvrzení, které spojuje data pro ověřování platnosti elektronických podpisů s určitou fyzickou osobou a potvrzuje alespoň jméno nebo pseudonym této osoby;
15)
„kvalifikovaným certifikátem pro elektronický podpis“ certifikát pro elektronický podpis, který je vydán kvalifikovaným poskytovatelem služeb vytvářejících důvěru a splňuje požadavky stanovené v příloze I;
16)
„službou vytvářející důvěru“ elektronická služba, která je zpravidla poskytována za úplatu a spočívá:
a)
ve vytváření, ověřování shody a ověřování platnosti elektronických podpisů, elektronických pečetí nebo elektronických časových razítek, služeb elektronického doporučeného doručování a certifikátů souvisejících s těmito službami nebo
b)
ve vytváření, ověřování shody a ověřování platnosti certifikátů pro autentizaci internetových stránek nebo
c)
v uchovávání elektronických podpisů, pečetí nebo certifikátů souvisejících s těmito službami;
17)
„kvalifikovanou službou vytvářející důvěru“ služba vytvářející důvěru, která splňuje použitelné požadavky stanovené v tomto nařízení;
18)
„subjektem posuzování shody“ subjekt vymezený v čl. 2 bodě 13 nařízení (ES) č. 765/2008, který je v souladu s uvedeným nařízením akreditován jako způsobilý provádět posuzování shody kvalifikovaného poskytovatele služeb vytvářejících důvěru a jím poskytovaných kvalifikovaných služeb vytvářejících důvěru;
19)
„poskytovatelem služeb vytvářejících důvěru“ fyzická nebo právnická osoba, která poskytuje jednu či více služeb vytvářejících důvěru buď jako kvalifikovaný, nebo jako nekvalifikovaný poskytovatel služeb vytvářejících důvěru;
20)
„kvalifikovaným poskytovatelem služeb vytvářejících důvěru“ poskytovatel služeb vytvářejících důvěru, který poskytuje jednu či více kvalifikovaných služeb vytvářejících důvěru a kterému orgán dohledu udělil status kvalifikovaného poskytovatele;
21)
„produktem“ technické zařízení nebo programové vybavení či jejich příslušné součásti, které jsou určeny k používání pro poskytování služeb vytvářejících důvěru;
22)
„prostředkem pro vytváření elektronických podpisů“ konfigurované programové vybavení nebo technické zařízení, které se používá k vytváření elektronických podpisů;
23)
„kvalifikovaným prostředkem pro vytváření elektronických podpisů“ prostředek pro vytváření elektronických podpisů, který splňuje požadavky stanovené v příloze II;
24)
„pečetící osobou“ právnická osoba, která vytváří elektronickou pečeť;
25)
„elektronickou pečetí“ data v elektronické podobě, která jsou připojena k jiným datům v elektronické podobě nebo jsou s nimi logicky spojena s cílem zaručit jejich původ a integritu;
26)
„zaručenou elektronickou pečetí“ elektronická pečeť, která splňuje požadavky stanovené v článku 36;
27)
„kvalifikovanou elektronickou pečetí“ zaručená elektronická pečeť, která je vytvořena pomocí kvalifikovaného prostředku pro vytváření elektronických pečetí a která je založena na kvalifikovaném certifikátu pro elektronickou pečeť;
28)
„daty pro vytváření elektronických pečetí“ jedinečná data, která pečetící osoba používá k vytváření elektronických pečetí;
29)
„certifikátem pro elektronickou pečeť“ elektronické potvrzení, které spojuje data pro ověřování platnosti elektronických pečetí s určitou právnickou osobou a potvrzuje název této osoby;
30)
„kvalifikovaným certifikátem pro elektronickou pečeť“ certifikát pro elektronickou pečeť, který je vydán kvalifikovaným poskytovatelem služeb vytvářejících důvěru a splňuje požadavky stanovené v příloze III;
31)
„prostředkem pro vytváření elektronických pečetí“ konfigurované programové vybavení nebo technické zařízení, které se používá k vytváření elektronických pečetí;
32)
„kvalifikovaným prostředkem pro vytváření elektronických pečetí“ prostředek pro vytváření elektronických pečetí, který přiměřeně splňuje požadavky stanovené v příloze II;
33)
„elektronickým časovým razítkem“ data v elektronické podobě, která spojují jiná data v elektronické podobě s určitým okamžikem a prokazují, že tato jiná data existovala v daném okamžiku;
34)
„kvalifikovaným elektronickým časovým razítkem“ elektronické časové razítko, které splňuje požadavky stanovené v článku 42;
35)
„elektronickým dokumentem“ jakýkoli obsah uchovávaný v elektronické podobě, zejména jako text nebo zvuková, vizuální nebo audiovizuální nahrávka;
36)
„službou elektronického doporučeného doručování“ služba, která umožňuje přenášet data mezi třetími osobami elektronickými prostředky a poskytuje důkazy týkající se nakládání s přenášenými daty, včetně dokladu o odeslání a přijetí dat, a která chrání přenášená data před rizikem ztráty, odcizení, poškození nebo neoprávněných změn;
37)
„kvalifikovanou službou elektronického doporučeného doručování“ služba elektronického doporučeného doručování, která splňuje požadavky stanovené v článku 44;
38)
„certifikátem pro autentizaci internetových stránek“ potvrzení, které umožňuje autentizovat internetové stránky a spojuje je s fyzickou nebo právnickou osobou, jíž je certifikát vydán;
39)
„kvalifikovaným certifikátem pro autentizaci internetových stránek“ certifikát pro autentizaci internetových stránek, který je vydán kvalifikovaným poskytovatelem služeb vytvářejících důvěru a splňuje požadavky stanovené v příloze IV;
40)
„daty pro ověřování platnosti“ data, která se používají k ověření platnosti elektronického podpisu nebo elektronické pečeti;
41)
„ověřováním platnosti“ postup ověřující shodu a potvrzující platnost elektronického podpisu nebo elektronické pečeti.
Článek 4
Zásada vnitřního trhu
1. Nesmějí existovat žádná omezení týkající se poskytování služeb vytvářejících důvěru na území určitého členského státu poskytovatelem služeb vytvářejících důvěru, který je usazen v jiném členském státě, z důvodů spadajících do oblastí, na něž se vztahuje toto nařízení.
2. Produkty a služby vytvářející důvěru, které vyhovují tomuto nařízení, se mohou volně pohybovat na vnitřním trhu.
Článek 5
Zpracování a ochrana údajů
1. Zpracování osobních údajů se provádí v souladu se směrnicí 95/46/ES.
2. Aniž jsou dotčeny právní účinky, které vnitrostátní právo přiznává pseudonymům, není používání pseudonymů v elektronických transakcích zakázáno.
KAPITOLA II
ELEKTRONICKÁ IDENTIFIKACE
Článek 6
Vzájemné uznávání
1. Pokud se podle vnitrostátního práva nebo správní praxe pro přístup ke službě poskytované on-line subjektem veřejného sektoru v určitém členském státě vyžaduje elektronická identifikace s použitím prostředku pro elektronickou identifikaci a autentizace, je pro účely přeshraniční autentizace pro danou on-line službu uznán v tomto členském státě prostředek pro elektronickou identifikaci vydaný v jiném členském státě, pokud jsou splněny tyto podmínky:
a)
daný prostředek pro elektronickou identifikaci je vydán v rámci systému elektronické identifikace, který je uveden na seznamu zveřejněném Komisí podle článku 9;
b)
úroveň záruky daného prostředku pro elektronickou identifikaci odpovídá stejné úrovni záruky, jako je úroveň záruky požadovaná příslušným subjektem veřejného sektoru v prvním členském státě pro přístup k dané on-line službě, nebo vyšší úrovni, pokud úroveň záruky daného prostředku pro elektronickou identifikaci odpovídá značné nebo vysoké úrovni záruky;
c)
příslušný subjekt veřejného sektoru používá v souvislosti s přístupem k dané on-line službě značnou nebo vysokou úroveň záruky.
K tomuto uznání dojde do dvanácti měsíců od zveřejnění seznamu uvedeného v prvním pododstavci písm. a) Komisí.
2. Pro účely přeshraniční autentizace pro on-line službu poskytovanou subjekty veřejného sektoru mohou tyto subjekty uznat prostředek pro elektronickou identifikaci, který byl vydán v rámci systému elektronické identifikace uvedeného na seznamu zveřejněném Komisí podle článku 9 a který odpovídá nízké úrovni záruky.
Článek 7
Způsobilost systémů elektronické identifikace pro oznámení
Systém elektronické identifikace je způsobilý pro oznámení podle čl. 9 odst. 1, jsou-li splněny všechny tyto podmínky:
a)
prostředky pro elektronickou identifikaci v rámci daného systému elektronické identifikace:
i)
vydává oznamující členský stát;
ii)
jsou vydávány z pověření oznamujícího členského státu; nebo
iii)
jsou vydávány nezávisle na oznamujícím členském státu a tento členský stát je uznává;
b)
prostředky pro elektronickou identifikaci v rámci daného systému elektronické identifikace lze použít pro přístup k alespoň jedné službě poskytované subjektem veřejného sektoru, u níž se v oznamujícím členském státě vyžaduje elektronická identifikace;
c)
daný systém elektronické identifikace a prostředky pro elektronickou identifikaci v rámci tohoto systému vydávané splňují požadavky alespoň na jednu z úrovní záruky stanovených v prováděcím aktu uvedeném v čl. 8 odst. 3;
d)
oznamující členský stát zajišťuje, aby osobní identifikační údaje jedinečně identifikující danou osobu byly v okamžiku vydání prostředku pro elektronickou identifikaci v rámci daného systému v souladu s technickými specifikacemi, normami a postupy pro příslušnou úroveň záruky stanovenými v prováděcím aktu uvedeném v čl. 8 odst. 3 spojeny s fyzickou nebo právnickou osobou uvedenou v čl. 3 bodě 1;
e)
strana vydávající prostředky pro elektronickou identifikaci v rámci daného systému zajišťuje, aby byl prostředek pro elektronickou identifikaci spojen s osobou uvedenou v písmeni d) tohoto článku v souladu s technickými specifikacemi, normami a postupy pro příslušnou úroveň záruky stanovenými v prováděcím aktu uvedeném v čl. 8 odst. 3;
f)
oznamující členský stát zajišťuje dostupnost on-line autentizace tak, aby kterákoli spoléhající se strana usazená na území jiného členského státu byla schopna potvrdit osobní identifikační údaje, které obdržela v elektronické podobě.
V případě jiných spoléhajících se stran než subjektů veřejného sektoru může oznamující členský stát stanovit podmínky přístupu k této autentizaci. Tato přeshraniční autentizace se poskytuje bezplatně, pokud je prováděna v souvislosti s on-line službou poskytovanou subjektem veřejného sektoru.
Členské státy nesmějí spoléhajícím se stranám, které chtějí tuto autentizaci provést, ukládat zvláštní nepřiměřené technické požadavky, které by bránily interoperabilitě oznámených systémů elektronické identifikace nebo by ji významně ztěžovaly;
g)
nejméně šest měsíců před oznámením podle čl. 9 odst. 1 poskytne oznamující členský stát ostatním členským státům pro účely povinnosti stanovené v čl. 12 odst. 5 popis daného systému v souladu s procesními opatřeními stanovenými v prováděcích aktech uvedených v čl. 12 odst. 7;
h)
daný systém elektronické identifikace splňuje požadavky stanovené v prováděcím aktu uvedeném v čl. 12 odst. 8.
Článek 8
Úrovně záruky systémů elektronické identifikace
1. Systém elektronické identifikace oznámený podle čl. 9 odst. 1 uvádí nízkou, značnou nebo vysokou úroveň záruky pro prostředky pro elektronickou identifikaci vydávané v rámci tohoto systému.
2. Nízká, značná a vysoká úroveň záruky musí splňovat tato příslušná kritéria:
a)
nízká úroveň záruky označuje v souvislosti se systémem elektronické identifikace prostředek pro elektronickou identifikaci, který nabízí omezenou míru spolehlivosti u deklarované nebo uváděné totožnosti určité osoby a je charakterizován pomocí souvisejících technických specifikací, norem a postupů, včetně technických kontrol, jejichž účelem je snížit riziko zneužití nebo změny totožnosti;
b)
značná úroveň záruky označuje v souvislosti se systémem elektronické identifikace prostředek pro elektronickou identifikaci, který nabízí značnou míru spolehlivosti u deklarované nebo uváděné totožnosti určité osoby a je charakterizován pomocí souvisejících technických specifikací, norem a postupů, včetně technických kontrol, jejichž účelem je značně snížit riziko zneužití nebo změny totožnosti;
c)
vysoká úroveň záruky označuje v souvislosti se systémem elektronické identifikace prostředek pro elektronickou identifikaci, který nabízí vyšší míru spolehlivosti u deklarované nebo uváděné totožnosti určité osoby než prostředek pro elektronickou identifikaci se značnou úrovní záruky a je charakterizován pomocí souvisejících technických specifikací, norem a postupů, včetně technických kontrol, jejichž účelem je předejít zneužití nebo změně totožnosti.
3. Do 18. září 2015 Komise prostřednictvím prováděcích aktů s přihlédnutím k příslušným mezinárodním normám a s výhradou odstavce 2 stanoví minimální technické specifikace, normy a postupy, jejichž pomocí jsou pro účely odstavce 1 vymezeny nízká, značná a vysoká úroveň záruky prostředků pro elektronickou identifikaci.
Tyto minimální technické specifikace, normy a postupy se stanoví na základě spolehlivosti a kvality:
a)
postupu prokazování a ověřování totožnosti fyzických nebo právnických osob žádajících o vydání prostředku pro elektronickou identifikaci;
b)
postupu vydávání požadovaných prostředků pro elektronickou identifikaci;
c)
mechanismu autentizace, při níž fyzická nebo právnická osoba používá prostředek pro elektronickou identifikaci k tomu, aby spoléhající se straně potvrdila svou totožnost;
d)
subjektu vydávajícího prostředky pro elektronickou identifikaci;
e)
jakéhokoli jiného subjektu zapojeného do žádosti o vydání prostředku pro elektronickou identifikaci a
f)
technických a bezpečnostních specifikací vydaného prostředku pro elektronickou identifikaci.
Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 9
Oznámení
1. Oznamující členský stát oznámí Komisi tyto informace a bez zbytečného odkladu i jejich případné následné změny:
a)
popis systému elektronické identifikace, včetně jeho úrovní záruky a vydavatele či vydavatelů prostředků pro elektronickou identifikaci v rámci tohoto systému;
b)
použitelný režim dohledu a informace o režimu odpovědnosti, pokud jde o:
i)
stranu vydávající prostředky pro elektronickou identifikaci a
ii)
stranu provozující postup autentizace;
c)
orgán nebo orgány odpovědné za systém elektronické identifikace;
d)
informace o subjektu či subjektech, které spravují evidenci jedinečných osobních identifikačních údajů;
e)
popis způsobu, jakým jsou plněny požadavky stanovené v prováděcích aktech uvedených v čl. 12 odst. 8;
f)
popis autentizace podle čl. 7 písm. f);
g)
opatření k pozastavení platnosti nebo zrušení oznámeného systému elektronické identifikace nebo autentizace či dotčených ohrožených součástí.
2. Jeden rok ode dne použitelnosti prováděcích aktů uvedených v čl. 8 odst. 3 a čl. 12 odst. 8 zveřejní Komise v Úředním věstníku Evropské unie seznam systémů elektronické identifikace, které byly oznámeny podle odstavce 1 tohoto článku, a základní informace o těchto systémech.
3. Obdrží-li Komise oznámení po uplynutí lhůty uvedené v odstavci 2, zveřejní změny v seznamu podle uvedeného odstavce v Úředním věstníku Evropské unie do dvou měsíců od obdržení daného oznámení.
4. Členský stát může Komisi požádat o vyškrtnutí systému elektronické identifikace, který oznámil, ze seznamu uvedeného v odstavci 2. Do jednoho měsíce od obdržení žádosti členského státu zveřejní Komise odpovídající změny v seznamu v Úředním věstníku Evropské unie.
5. Komise může prostřednictvím prováděcích aktů stanovit okolnosti, formáty a postupy pro oznamování podle odstavce 1. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 10
Narušení bezpečnosti
1. Je-li bezpečnost systému elektronické identifikace oznámeného v souladu s čl. 9 odst. 1 či autentizace uvedené v čl. 7 písm. f) narušena nebo částečně ohrožena způsobem, který ovlivňuje spolehlivost přeshraniční autentizace tohoto systému, oznamující členský stát bezodkladně pozastaví nebo zruší tuto přeshraniční autentizaci nebo dotčené ohrožené součásti a uvědomí o tom ostatní členské státy a Komisi.
2. Pokud bylo narušení nebo ohrožení bezpečnosti uvedené v odstavci 1 napraveno, oznamující členský stát přeshraniční autentizaci obnoví a bez zbytečného odkladu o tom uvědomí ostatní členské státy a Komisi.
3. Pokud k nápravě narušení nebo ohrožení bezpečnosti uvedeného v odstavci 1 nedojde do tří měsíců od pozastavení či zrušení, oznámí oznamující stát ostatním členským státům a Komisi stažení systému elektronické identifikace.
Komise bez zbytečného odkladu zveřejní v Úředním věstníku Evropské unie odpovídající změny v seznamu uvedeném v čl. 9 odst. 2.
Článek 11
Odpovědnost za škodu
1. Oznamující členský stát odpovídá za škodu, kterou úmyslně nebo z nedbalosti způsobí kterékoli fyzické nebo právnické osobě nesplněním svých povinností uvedených v čl. 7 písm. d) a f) v přeshraniční transakci.
2. Strana vydávající prostředky pro elektronickou identifikaci odpovídá za škodu, kterou úmyslně nebo z nedbalosti způsobí kterékoli fyzické nebo právnické osobě nesplněním povinnosti uvedené v čl. 7 písm. e) v přeshraniční transakci.
3. Strana provozující postup autentizace odpovídá za škodu, kterou úmyslně nebo z nedbalosti způsobí kterékoli fyzické nebo právnické osobě nezajištěním správného fungování autentizace podle čl. 7 písm. f) v přeshraniční transakci.
4. Odstavce 1, 2 a 3 se použijí v souladu s vnitrostátními pravidly upravujícími odpovědnost za škodu.
5. Odstavci 1, 2 a 3 není dotčena odpovědnost za škodu, kterou podle vnitrostátního práva nesou účastníci transakce, při níž jsou použity prostředky pro elektronickou identifikaci spadající do systému elektronické identifikace oznámeného podle čl. 9 odst. 1.
Článek 12
Spolupráce a interoperabilita
1. Vnitrostátní systémy elektronické identifikace oznámené podle čl. 9 odst. 1 musí být interoperabilní.
2. Pro účely odstavce 1 se zavede rámec interoperability.
3. Rámec interoperability musí splňovat tato kritéria:
a)
usiluje o to, aby byl z technologického hlediska neutrální, a v rámci členského státu nerozlišuje mezi žádnými zvláštními vnitrostátními technickými řešeními elektronické identifikace;
b)
je-li to možné, řídí se evropskými a mezinárodními normami;
c)
usnadňuje uplatňování zásady ochrany soukromí již od návrhu; a
d)
zajišťuje, aby osobní údaje byly zpracovávány v souladu se směrnicí 95/46/ES.
4. Rámec interoperability sestává z:
a)
odkazu na minimální technické požadavky týkající se úrovní záruky stanovených v článku 8;
b)
mapování vnitrostátních úrovní záruky oznámených systémů elektronické identifikace podle úrovní záruky stanovených v článku 8;
c)
odkazu na minimální technické požadavky pro interoperabilitu;
d)
odkazu na minimální soubor osobních identifikačních údajů jedinečně identifikujících fyzickou nebo právnickou osobu, který je v systémech elektronické identifikace k dispozici;
e)
procesních pravidel;
f)
opatření pro řešení sporů; a
g)
společných norem provozní bezpečnosti.
5. Členské státy spolupracují ohledně:
a)
interoperability systémů elektronické identifikace oznámených podle čl. 9 odst. 1 a systémů elektronické identifikace, jež členské státy hodlají oznámit; a
b)
bezpečnosti systémů elektronické identifikace.
6. Spolupráce mezi členskými státy zahrnuje:
a)
výměnu informací, zkušeností a osvědčených postupů v oblasti systémů elektronické identifikace, a zejména v oblasti technických požadavků týkajících se interoperability a úrovní záruky;
b)
výměnu informací, zkušeností a osvědčených postupů v oblasti práce s úrovněmi záruky systémů elektronické identifikace podle článku 8;
c)
vzájemné hodnocení systémů elektronické identifikace, které spadají do oblasti působnosti tohoto nařízení; a
d)
posouzení relevantního vývoje v odvětví elektronické identifikace.
7. Komise do 18. března 2015 prostřednictvím prováděcích aktů stanoví nezbytná procesní opatření pro usnadnění spolupráce mezi členskými státy podle odstavců 5 a 6 v zájmu podpory vysoké úrovně důvěryhodnosti a bezpečnosti odpovídající míře rizika.
8. Do 18. března 2015 Komise pro účely stanovení jednotných podmínek pro provádění požadavku podle odstavce 1, s výhradou kritérií stanovených v odstavci 3 a s přihlédnutím k výsledkům spolupráce mezi členskými státy, přijme prováděcí akty týkající se rámce interoperability stanoveného v odstavci 4.
9. Prováděcí akty uvedené v odstavcích 7 a 8 tohoto článku se přijímají přezkumným postupem podle čl. 48 odst. 2.
KAPITOLA III
SLUŽBY VYTVÁŘEJÍCÍ DŮVĚRU
ODDÍL 1
Obecná ustanovení
Článek 13
Odpovědnost za škodu a důkazní břemeno
1. Aniž je dotčen odstavec 2, poskytovatelé služeb vytvářejících důvěru odpovídají za škodu, kterou úmyslně nebo z nedbalosti způsobí fyzické nebo právnické osobě nesplněním povinností podle tohoto nařízení.
Důkazní břemeno, pokud jde o úmysl nebo nedbalost nekvalifikovaného poskytovatele služeb vytvářejících důvěru, nese fyzická nebo právnická osoba uplatňující nárok na náhradu škody podle prvního pododstavce.
V případě kvalifikovaného poskytovatele služeb vytvářejících důvěru se úmysl nebo nedbalost předpokládá, pokud daný kvalifikovaný poskytovatel služeb vytvářejících důvěru neprokáže, že škoda podle prvního pododstavce nastala bez jeho úmyslu nebo nedbalosti.
2. Pokud poskytovatelé služeb vytvářejících důvěru své zákazníky předem řádně informují o omezeních týkajících se využívání jimi poskytovaných služeb a tato omezení jsou rozpoznatelná pro třetí osoby, neodpovídají poskytovatelé služeb vytvářejících důvěru za škody způsobené využíváním služeb nad rámec uvedených omezení.
3. Odstavce 1 a 2 se použijí v souladu s vnitrostátními pravidly upravujícími odpovědnost za škodu.
Článek 14
Mezinárodní aspekty
1. Služby vytvářející důvěru poskytované poskytovateli služeb vytvářejících důvěru usazenými ve třetí zemi se uznávají jako právně rovnocenné kvalifikovaným službám vytvářejícím důvěru poskytovaným kvalifikovanými poskytovateli služeb vytvářejících důvěru usazenými v Unii, pokud jsou služby vytvářející důvěru pocházející ze třetí země uznány na základě dohody uzavřené mezi Unií a dotyčnou třetí zemí nebo mezinárodní organizací v souladu s článkem 218 Smlouvy o fungování EU.
2. Dohody uvedené v odstavci 1 zejména zajistí, aby:
a)
poskytovatelé služeb vytvářejících důvěru v třetí zemi nebo mezinárodní organizaci, s níž je dohoda uzavřena, a jimi poskytované služby vytvářející důvěru splňovali požadavky vztahující se na kvalifikované poskytovatele služeb vytvářejících důvěru usazené v Unii a jimi poskytované kvalifikované služby vytvářející důvěru;
b)
kvalifikované služby vytvářející důvěru poskytované kvalifikovanými poskytovateli služeb vytvářejících důvěru usazenými v Unii byly uznány jako právně rovnocenné službám vytvářejícím důvěru poskytovaným poskytovateli služeb vytvářejících důvěru v třetí zemi nebo mezinárodní organizaci, s níž je dohoda uzavřena.
Článek 15
Přístupnost pro osoby se zdravotním postižením
Je-li to proveditelné, měly by být poskytované služby vytvářející důvěru a konečné uživatelské produkty používané při poskytování těchto služeb dostupné osobám se zdravotním postižením.
Článek 16
Sankce
Členské státy stanoví pravidla pro ukládání sankcí za porušení tohoto nařízení. Stanovené sankce musí být účinné, přiměřené a odrazující.
ODDÍL 2
Dohled
Článek 17
Orgán dohledu
1. Členské státy určí orgán dohledu usazený na jejich území nebo po vzájemné dohodě s jiným členským státem orgán dohledu usazený v tomto jiném členském státě. Tento orgán odpovídá za plnění úkolů v oblasti dohledu v členském státě, který provedl určení.
Orgánům dohledu musí být uděleny nezbytné pravomoci a odpovídající zdroje pro plnění jejich úkolů.
2. Členské státy sdělí Komisi názvy a adresy jimi určených orgánů dohledu.
3. Orgán dohledu má tyto úlohy:
a)
vykonávat dohled nad kvalifikovanými poskytovateli služeb vytvářejících důvěru usazenými na území členského státu, který provedl určení, s cílem zajistit prostřednictvím činností předběžného a následného dohledu, aby tito kvalifikovaní poskytovatelé služeb vytvářejících důvěru a jimi poskytované kvalifikované služby vytvářející důvěru splňovali požadavky stanovené v tomto nařízení;
b)
v případě potřeby přijmout prostřednictvím činností následného dohledu opatření ve vztahu k nekvalifikovaným poskytovatelům služeb vytvářejících důvěru usazeným na území členského státu, který provedl určení, pokud je informován, že tito nekvalifikovaní poskytovatelé služeb vytvářejících důvěru nebo jimi poskytované služby vytvářející důvěru údajně nesplňují požadavky stanovené v tomto nařízení.
4. Pro účely odstavce 3 a s výhradou omezení stanovených v uvedeném odstavci patří mezi úkoly orgánu dohledu zejména tyto činnosti:
a)
spolupracovat s ostatními orgány dohledu a poskytovat jim pomoc v souladu s článkem 18;
b)
provádět analýzu zpráv o posouzení shody uvedených v čl. 20 odst. 1 a čl. 21 odst. 1;
c)
informovat ostatní orgány dohledu a veřejnost o případech narušení bezpečnosti nebo ztráty integrity v souladu s čl. 19 odst. 2;
d)
podávat Komisi zprávy o svých hlavních činnostech v souladu s odstavcem 6 tohoto článku;
e)
provádět audity kvalifikovaných poskytovatelů služeb vytvářejících důvěru nebo požadovat, aby subjekt posuzování shody provedl posouzení shody těchto poskytovatelů v souladu s čl. 20 odst. 2;
f)
spolupracovat s orgány pro ochranu údajů, zejména je bez zbytečného odkladu informovat o výsledcích auditů kvalifikovaných poskytovatelů služeb vytvářejících důvěru, jestliže podle všeho došlo k porušení pravidel týkajících se ochrany osobních údajů;
g)
udělovat poskytovatelům služeb vytvářejících důvěru a jimi poskytovaným službám status kvalifikovaného poskytovatele nebo kvalifikované služby a odnímat tento status v souladu s články 20 a 21;
h)
informovat subjekt odpovědný za vnitrostátní důvěryhodný seznam podle čl. 22 odst. 3 o svých rozhodnutích udělit nebo odejmout status kvalifikovaného poskytovatele nebo kvalifikované služby, pokud tento subjekt není rovněž orgánem dohledu;
i)
ověřovat existenci a správné uplatňování předpisů o plánech ukončení činnosti v případech, kdy kvalifikovaný poskytovatel služeb vytvářejících důvěru ukončí svou činnost, včetně způsobu zpřístupňování informací v souladu s čl. 24 odst. 2 písm. h);
j)
požadovat, aby poskytovatelé služeb vytvářejících důvěru napravili případné neplnění požadavků stanovených v tomto nařízení.
5. Členské státy mohou vyžadovat, aby orgán dohledu zavedl, udržoval a aktualizoval důvěryhodnou infrastrukturu v souladu s podmínkami stanovenými vnitrostátním právem.
6. Do 31. března každého roku předloží každý orgán dohledu Komisi zprávu o svých hlavních činnostech v předchozím kalendářním roce, spolu se shrnutím oznámení o narušení bezpečnosti, která obdržel od poskytovatelů služeb vytvářejících důvěru v souladu s čl. 19 odst. 2.
7. Výroční zprávu uvedenou v odstavci 6 Komise zpřístupní členským státům.
8. Komise může prostřednictvím prováděcích aktů stanovit formáty a postupy pro podávání zpráv podle odstavce 6. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 18
Vzájemná pomoc
1. Orgány dohledu vzájemně spolupracují za účelem výměny osvědčených postupů.
Po obdržení odůvodněné žádosti jiného orgánu dohledu poskytne orgán dohledu danému orgánu pomoc, aby bylo možné zajistit jednotný výkon činností orgánů dohledu. Vzájemná pomoc může zahrnovat zejména žádosti o informace a opatření v oblasti dohledu, například žádosti o provedení prověrek v souvislosti se zprávami o posouzení shody podle článků 20 a 21.
2. Orgán dohledu, jemuž byla podána žádost o pomoc, může tuto žádost zamítnout z kteréhokoliv z těchto důvodů:
a)
orgán dohledu není k poskytnutí požadované pomoci příslušný;
b)
požadovaná pomoc je nepřiměřená činnostem v oblasti dohledu, které daný orgán dohledu vykonává v souladu s článkem 17;
c)
poskytnutí požadované pomoci by nebylo slučitelné s tímto nařízením.
3. Členské státy mohou svým příslušným orgánům dohledu případně povolit provádět společná šetření, na nichž se podílejí pracovníci orgánů dohledu z ostatních členských států. Ujednání a postupy pro tyto společné akce dohodnou a zavedou dotčené členské státy v souladu se svými vnitrostátními právními předpisy.
Článek 19
Bezpečnostní požadavky vztahující se na poskytovatele služeb vytvářejících důvěru
1. Kvalifikovaní a nekvalifikovaní poskytovatelé služeb vytvářejících důvěru přijmou vhodná technická a organizační opatření k řízení rizik ohrožujících bezpečnost jimi poskytovaných služeb vytvářejících důvěru. S ohledem na nejnovější technologický vývoj musí tato opatření zajišťovat úroveň bezpečnosti, která je přiměřená míře rizika. Zejména musí být přijata opatření k zabránění bezpečnostním incidentům, k minimalizaci jejich dopadů a k informování zúčastněných stran o nepříznivých dopadech těchto incidentů.
2. Kvalifikovaní a nekvalifikovaní poskytovatelé služeb vytvářejících důvěru vyrozumí orgán dohledu a případné další příslušné subjekty, jako jsou příslušný vnitrostátní orgán pro bezpečnost informací nebo orgán pro ochranu údajů, o každém narušení bezpečnosti nebo ztrátě integrity, jež mají významný dopad na poskytovanou službu vytvářející důvěru nebo na uchovávané osobní údaje, a to bez zbytečného odkladu a v každém případě do 24 hodin od okamžiku, kdy toto narušení zjistili.
Může-li mít narušení bezpečnosti nebo ztráta integrity nepříznivý dopad na fyzickou nebo právnickou osobu, jíž byla služba vytvářející důvěru poskytnuta, vyrozumí poskytovatel služeb vytvářejících důvěru o daném narušení bezpečnosti nebo dané ztrátě integrity bez zbytečného odkladu také tuto fyzickou nebo právnickou osobu.
Je-li to vhodné, zejména týká-li se narušení bezpečnosti nebo ztráta integrity dvou nebo více členských států, uvědomí vyrozuměný orgán dohledu orgány dohledu v ostatních dotčených členských státech a ENISA.
Vyrozuměný orgán dohledu informuje veřejnost nebo požádá, aby tak učinil poskytovatel služeb vytvářejících důvěru, pokud rozhodne, že zveřejnění informací o narušení bezpečnosti nebo ztrátě integrity je ve veřejném zájmu.
3. Orgán dohledu poskytne ENISA jednou ročně shrnutí oznámení o narušení bezpečnosti a ztrátě integrity, která od poskytovatelů služeb vytvářejících důvěru obdržel.
4. Komise může prostřednictvím prováděcích aktů:
a)
dále upřesnit opatření uvedená v odstavci 1 a
b)
stanovit formáty a postupy, včetně lhůt, použitelné pro účely odstavce 2.
Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
ODDÍL 3
Kvalifikované služby vytvářející důvěru
Článek 20
Dohled nad kvalifikovanými poskytovateli služeb vytvářejících důvěru
1. Kvalifikovaní poskytovatelé služeb vytvářejících důvěru se na vlastní náklady alespoň jednou za 24 měsíců podrobí auditu ze strany subjektu posuzování shody. Účelem auditu je potvrzení toho, že kvalifikovaní poskytovatelé služeb vytvářejících důvěru i jimi poskytované kvalifikované služby vytvářející důvěru splňují požadavky stanovené v tomto nařízení. Kvalifikovaní poskytovatelé služeb vytvářejících důvěru předloží výslednou zprávu o posouzení shody do tří pracovních dnů od jejího obdržení orgánu dohledu.
2. Aniž je dotčen odstavec 1, může orgán dohledu u kvalifikovaných poskytovatelů služeb vytvářejících důvěru na jejich náklady kdykoli provést audit nebo požádat subjekt posuzování shody o provedení posouzení shody za účelem potvrzení, že oni sami i jimi poskytované kvalifikované služby vytvářející důvěru splňují požadavky stanovené v tomto nařízení. Jestliže podle všeho došlo k porušení pravidel týkajících se ochrany osobních údajů, sdělí orgán dohledu výsledky svých auditů orgánům pro ochranu údajů.
3. Pokud orgán dohledu požaduje, aby kvalifikovaný poskytovatel služeb vytvářejících důvěru napravil neplnění požadavků podle tohoto nařízení, a tento poskytovatel ve lhůtě případně stanovené orgánem dohledu neučiní příslušné kroky, může orgán dohledu zejména s přihlédnutím k rozsahu, délce trvání a důsledkům daného neplnění odejmout danému poskytovateli a jím poskytované dotčené službě status kvalifikovaného poskytovatele nebo kvalifikované služby a informovat o této skutečnosti subjekt uvedený v čl. 22 odst. 3 za účelem aktualizace důvěryhodných seznamů podle čl. 22 odst. 1. Orgán dohledu vyrozumí daného kvalifikovaného poskytovatele služeb vytvářejících důvěru o odnětí statusu kvalifikovaného poskytovatele nebo kvalifikované služby.
4. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro:
a)
akreditaci subjektů posuzování shody a pro zprávy o posouzení shody podle odstavce 1;
b)
pravidla auditu, podle nichž budou subjekty posuzování shody provádět posuzování shody kvalifikovaných poskytovatelů služeb vytvářejících důvěru podle odstavce 1.
Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 21
Zahájení poskytování kvalifikované služby vytvářející důvěru
1. Pokud mají poskytovatelé služeb vytvářejících důvěru bez statusu kvalifikovaného poskytovatele v úmyslu začít poskytovat kvalifikované služby vytvářející důvěru, předloží orgánu dohledu oznámení o svém úmyslu společně se zprávou o posouzení shody vydanou subjektem posuzování shody.
2. Orgán dohledu ověří, zda poskytovatel služeb vytvářejících důvěru a jím poskytované služby vytvářející důvěru splňují požadavky stanovené v tomto nařízení, zejména požadavky na kvalifikované poskytovatele služeb vytvářejících důvěru a na jimi poskytované kvalifikované služby vytvářející důvěru.
Dojde-li orgán dohledu k závěru, že poskytovatel služeb vytvářejících důvěru a jím poskytované služby vytvářející důvěru splňují požadavky uvedené v prvním pododstavci, udělí orgán dohledu tomuto poskytovateli služeb vytvářejících důvěru a jím poskytovaným službám vytvářejícím důvěru status kvalifikovaného poskytovatele nebo kvalifikované služby a uvědomí o tom subjekt uvedený v čl. 22 odst. 3 za účelem aktualizace důvěryhodných seznamů podle čl. 22 odst. 1, a to do tří měsíců od obdržení oznámení podle odstavce 1 tohoto článku.
Není-li ověření dokončeno do tří měsíců od oznámení, vyrozumí orgán dohledu poskytovatele služeb vytvářejících důvěru a uvede důvody prodlení a dobu, v níž bude ověřování dokončeno.
3. Kvalifikovaní poskytovatelé služeb vytvářejících důvěru mohou začít danou kvalifikovanou službu vytvářející důvěru poskytovat poté, co byl status kvalifikovaného poskytovatele nebo kvalifikované služby vyznačen v důvěryhodných seznamech uvedených v čl. 22 odst. 1.
4. Komise může prostřednictvím prováděcích aktů stanovit formáty a postupy pro účely odstavců 1 a 2. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 22
Důvěryhodné seznamy
1. Každý členský stát zřizuje, udržuje a zveřejňuje důvěryhodné seznamy obsahující informace týkající se kvalifikovaných poskytovatelů služeb vytvářejících důvěru v jeho působnosti spolu s informacemi o jimi poskytovaných kvalifikovaných službách vytvářejících důvěru.
2. Členské státy zřizují ve formě vhodné pro automatické zpracování, udržují a zabezpečeným způsobem zveřejňují důvěryhodné seznamy uvedené v odstavci 1, které jsou opatřeny elektronickým podpisem nebo elektronickou pečetí.
3. Členské státy bez zbytečného odkladu sdělí Komisi informace o subjektu odpovědném za zřízení, udržování a zveřejnění vnitrostátních důvěryhodných seznamů a poskytnou informace o místě zveřejnění těchto seznamů, o certifikátech použitých k opatření důvěryhodných seznamů elektronickým podpisem nebo pečetí a o jejich případných změnách.
4. Informace uvedené v odstavci 3 Komise bezpečnou cestou zpřístupní veřejnosti ve formě opatřené elektronickým podpisem nebo pečetí a vhodné pro automatické zpracování.
5. Do 18. září 2015 Komise prostřednictvím prováděcích aktů upřesní informace uvedené v odstavci 1 a stanoví technické specifikace a formáty pro důvěryhodné seznamy, které se použijí pro účely odstavců 1 až 4. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 23
Značka důvěry EU pro kvalifikované služby vytvářející důvěru
1. Po vyznačení statusu kvalifikovaného poskytovatele nebo kvalifikované služby podle čl. 21 odst. 2 druhého pododstavce v důvěryhodném seznamu uvedeném v čl. 22 odst. 1 mohou kvalifikovaní poskytovatelé služeb vytvářejících důvěru pomocí značky důvěry EU jednoduchým, rozpoznatelným a jasným způsobem označovat jimi poskytované kvalifikované služby vytvářející důvěru.
2. Pokud kvalifikovaní poskytovatelé služeb vytvářejících důvěru používají pro kvalifikované služby vytvářející důvěru uvedené v odstavci 1 značku důvěry EU, zajistí, aby byl na jejich internetových stránkách k dispozici odkaz na příslušný důvěryhodný seznam.
3. Do 1. července 2015 Komise prostřednictvím prováděcích aktů stanoví specifikace týkající se podoby, a zejména formátu, uspořádání, velikosti a vzhledu značky důvěry EU pro kvalifikované služby vytvářející důvěru. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 24
Požadavky na kvalifikované poskytovatele služeb vytvářejících důvěru
1. Při vydávání kvalifikovaného certifikátu pro službu vytvářející důvěru ověří kvalifikovaný poskytovatel služeb vytvářejících důvěru pomocí vhodných prostředků a v souladu s vnitrostátním právem totožnost a případně zvláštní znaky fyzické nebo právnické osoby, jíž je kvalifikovaný certifikát vydáván.
Kvalifikovaný poskytovatel služeb vytvářejících důvěru ověří informace uvedené v prvním pododstavci přímo nebo tím, že se v souladu s vnitrostátním právem spolehne na třetí osobu:
a)
na základě fyzické přítomnosti fyzické osoby nebo oprávněného zástupce právnické osoby; nebo
b)
na dálku s využitím prostředku pro elektronickou identifikaci, u něhož byla před vydáním kvalifikovaného certifikátu zajištěna fyzická přítomnost fyzické osoby nebo oprávněného zástupce právnické osoby a jenž splňuje požadavky stanovené v článku 8, pokud jde o značnou nebo vysokou úroveň záruky; nebo
c)
pomocí certifikátu kvalifikovaného elektronického podpisu nebo kvalifikované elektronické pečeti, vydaného v souladu s písmenem a) nebo b); nebo
d)
pomocí jiných identifikačních metod uznávaných na vnitrostátní úrovni, které poskytují záruku spolehlivosti rovnocennou fyzické přítomnosti. Tuto rovnocennou záruku musí potvrdit subjekt posuzování shody.
2. Kvalifikovaný poskytovatel služeb vytvářejících důvěru poskytující kvalifikované služby vytvářející důvěru:
a)
oznámí orgánu dohledu případné změny v poskytování svých kvalifikovaných služeb vytvářejících důvěru a záměr ukončit své činnosti;
b)
zaměstnává pracovníky a případně subdodavatele, kteří mají potřebné odborné znalosti, zkušenosti a kvalifikace, jsou spolehliví a absolvovali odpovídající odbornou přípravu týkající se bezpečnosti a pravidel ochrany osobních údajů, a používá správní a řídicí postupy, které odpovídají evropským nebo mezinárodním normám;
c)
vzhledem k riziku odpovědnosti za škody v souladu s článkem 13 udržuje dostatečné finanční prostředky nebo uzavřel vhodné pojištění odpovědnosti v souladu s vnitrostátním právem;
d)
před uzavřením smluvního vztahu informuje jasným a srozumitelným způsobem osobu, která chce využít kvalifikovanou službu vytvářející důvěru, o přesných podmínkách používání této služby, včetně případných omezení jejího využívání;
e)
používá důvěryhodné systémy a produkty, které jsou chráněny proti pozměnění, a zajišťuje technickou bezpečnost a spolehlivost procesů, které podporují;
f)
používá důvěryhodné systémy k uchovávání dat, která jsou mu poskytnuta, v ověřitelné podobě, aby:
i)
byla veřejně přístupná pro účely vyhledávání pouze se souhlasem osoby, jíž se data týkají,
ii)
záznamy a změny v uložených datech mohly provádět pouze oprávněné osoby,
iii)
bylo možno ověřit pravost dat;
g)
přijímá vhodná opatření proti padělání a odcizení dat;
h)
po přiměřenou dobu, i poté, co ukončil svou činnost kvalifikovaného poskytovatele služeb vytvářejících důvěru, eviduje a zpřístupňuje veškeré příslušné informace týkající se dat, která vydal a obdržel, zejména pro účely poskytnutí důkazů v soudním a správním řízení a pro účely zajištění kontinuity služby. Tato evidence může mít elektronickou podobu;
i)
má k dispozici aktualizovaný plán ukončení činnosti k zajištění kontinuity služby v souladu s předpisy ověřenými orgánem dohledu podle čl. 17 odst. 4 písm. i);
j)
zajišťuje zákonné zpracovávání osobních údajů v souladu se směrnicí 95/46/ES;
k)
pokud se jedná o kvalifikovaného poskytovatele služeb vytvářejících důvěru vydávajícího kvalifikované certifikáty, vede a aktualizuje databázi certifikátů.
3. Jestliže se kvalifikovaný poskytovatel služeb vytvářejících důvěru vydávající kvalifikované certifikáty rozhodne určitý certifikát zneplatnit, zaeviduje toto zneplatnění ve své databázi certifikátů a zneplatnění certifikátu včas a v každém případě do 24 hodin od obdržení žádosti zveřejní. Zneplatnění nabývá účinku okamžitě po zveřejnění.
4. Pokud jde o odstavec 3, kvalifikovaní poskytovatelé služeb vytvářejících důvěru vydávající kvalifikované certifikáty poskytnou kterékoli spoléhající se straně informace o platnosti nebo o zneplatnění kvalifikovaných certifikátů, které vydali. Tyto informace se poskytnou alespoň na základě certifikátu, a to kdykoli i po skončení doby platnosti certifikátu, automatizovaným způsobem, který je spolehlivý, bezplatný a účinný.
5. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro důvěryhodné systémy a produkty, které splňují požadavky podle odst. 2 písm. e) a f) tohoto článku. Pokud důvěryhodné systémy a produkty vyhovují těmto normám, předpokládá se shoda s požadavky stanovenými v tomto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
ODDÍL 4
Elektronický podpis
Článek 25
Právní účinky elektronických podpisů
1. Elektronickému podpisu nesmějí být upírány právní účinky a nesmí být odmítán jako důkaz v soudním a správním řízení pouze z toho důvodu, že má elektronickou podobu nebo že nesplňuje požadavky na kvalifikované elektronické podpisy.
2. Kvalifikovaný elektronický podpis má právní účinek rovnocenný vlastnoručnímu podpisu.
3. Kvalifikovaný elektronický podpis založený na kvalifikovaném certifikátu vydaném v jednom členském státě se uznává jako kvalifikovaný elektronický podpis ve všech ostatních členských státech.
Článek 26
Požadavky na zaručené elektronické podpisy
Zaručený elektronický podpis musí splňovat tyto požadavky:
a)
je jednoznačně spojen s podepisující osobou;
b)
umožňuje identifikaci podepisující osoby;
c)
je vytvořen pomocí dat pro vytváření elektronických podpisů, která podepisující osoba může s vysokou úrovní důvěry použít pod svou výhradní kontrolou; a
d)
je k datům, která jsou tímto podpisem podepsána, připojen takovým způsobem, že je možné zjistit jakoukoliv následnou změnu dat.
Článek 27
Elektronické podpisy ve veřejných službách
1. Pokud členský stát pro využití určité on-line služby, která je poskytována subjektem veřejného sektoru nebo jeho jménem, požaduje zaručený elektronický podpis, uznává zaručené elektronické podpisy, zaručené elektronické podpisy založené na kvalifikovaném certifikátu pro elektronické podpisy a kvalifikované elektronické podpisy alespoň ve formátech nebo s použitím metod stanovených v prováděcích aktech uvedených v odstavci 5.
2. Pokud členský stát pro využití určité on-line služby, která je poskytována subjektem veřejného sektoru nebo jeho jménem, požaduje zaručený elektronický podpis založený na kvalifikovaném certifikátu, uznává zaručené elektronické podpisy založené na kvalifikovaném certifikátu a kvalifikované elektronické podpisy alespoň ve formátech nebo s použitím metod stanovených v prováděcích aktech uvedených v odstavci 5.
3. Členské státy nesmějí v případě přeshraničního využívání on-line služby poskytované subjektem veřejného sektoru vyžadovat elektronický podpis s vyšší zárukou bezpečnosti než kvalifikovaný elektronický podpis.
4. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro zaručené elektronické podpisy. Pokud zaručený elektronický podpis vyhovuje těmto normám, předpokládá se shoda s požadavky na zaručené elektronické podpisy uvedenými v odstavcích 1 a 2 tohoto článku a v článku 26. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
5. Do 18. září 2015 Komise s přihlédnutím ke stávajícím postupům, normám a právním aktům Unie stanoví prostřednictvím prováděcích aktů referenční formáty zaručených elektronických podpisů nebo referenční metody, jsou-li používány alternativní formáty. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 28
Kvalifikované certifikáty pro elektronické podpisy
1. Kvalifikované certifikáty pro elektronické podpisy musí splňovat požadavky stanovené v příloze I.
2. Kvalifikované certifikáty pro elektronické podpisy nepodléhají žádným závazným požadavkům, které přesahují požadavky stanovené v příloze I.
3. Kvalifikované certifikáty pro elektronické podpisy mohou obsahovat další zvláštní atributy, které nejsou povinné. Těmito atributy nesmějí být dotčeny interoperabilita a uznávání kvalifikovaných elektronických podpisů.
4. Pokud byl kvalifikovaný certifikát pro elektronické podpisy po počáteční aktivaci zneplatněn, ztrácí okamžikem zneplatnění platnost a jeho status se nemůže v žádném případě změnit zpět.
5. Členské státy mohou stanovit vnitrostátní pravidla dočasného pozastavení platnosti kvalifikovaných certifikátů pro elektronický podpis s výhradou těchto podmínek:
a)
je-li platnost kvalifikovaného certifikátu pro elektronický podpis dočasně pozastavena, pozbývá tento certifikát na dobu pozastavení platnosti;
b)
doba pozastavení platnosti je jasně vyznačena v databázi certifikátů a pozastavení platnosti je po svou dobu viditelné ve službě poskytující informace o statusu certifikátu.
6. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro kvalifikované certifikáty pro elektronický podpis. Pokud kvalifikovaný certifikát pro elektronický podpis vyhovuje těmto normám, předpokládá se shoda s požadavky stanovenými v příloze I. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 29
Požadavky na kvalifikované prostředky pro vytváření elektronických podpisů
1. Kvalifikované prostředky pro vytváření elektronických podpisů musí splňovat požadavky stanovené v příloze II.
2. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro kvalifikované prostředky pro vytváření elektronických podpisů. Pokud kvalifikovaný prostředek pro vytváření elektronických podpisů vyhovuje těmto normám, předpokládá se shoda s požadavky stanovenými v příloze II. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 30
Certifikace kvalifikovaných prostředků pro vytváření elektronických podpisů
1. Shodu kvalifikovaných prostředků pro vytváření elektronických podpisů s požadavky stanovenými v příloze II certifikují příslušné veřejné nebo soukromé subjekty, které určily členské státy.
2. Členské státy sdělí Komisi názvy a adresy veřejných nebo soukromých subjektů uvedených v odstavci 1. Komise tyto informace zpřístupní členským státům.
3. Certifikace podle odstavce 1 je založena na jednom z těchto postupů:
a)
postupu posouzení bezpečnosti, který byl proveden v souladu s některou z norem pro posuzování bezpečnosti produktů informačních technologií uvedených na seznamu sestaveném v souladu s druhým pododstavcem tohoto odstavce; nebo
b)
jiném postupu, než je postup uvedený v písmenu a), za podmínky, že používá srovnatelné úrovně bezpečnosti a že veřejný nebo soukromý subjekt uvedený v odstavci 1 daný postup oznámí Komisi. Tento postup může být použit pouze v případě, že normy uvedené v písmenu a) neexistují nebo že postup posouzení bezpečnosti podle písmene a) dosud probíhá.
Komise prostřednictvím prováděcích aktů sestaví seznam norem pro posuzování bezpečnosti produktů informačních technologií uvedený v prvním pododstavci písm. a). Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
4. Komise je zmocněna k přijímání aktů v přenesené pravomoci v souladu s článkem 47, pokud jde o stanovení zvláštních kritérií, která mají splňovat určené subjekty uvedené v odstavci 1 tohoto článku.
Článek 31
Zveřejnění seznamu certifikovaných kvalifikovaných prostředků pro vytváření elektronických podpisů
1. Členské státy bez zbytečného odkladu a nejpozději jeden měsíc po ukončení certifikace oznámí Komisi informace o kvalifikovaných prostředcích pro vytváření elektronických podpisů, které byly certifikovány subjekty uvedenými v čl. 30 odst. 1. Bez zbytečného odkladu a nejpozději jeden měsíc po zrušení certifikace Komisi rovněž oznámí informace o prostředcích pro vytváření elektronických podpisů, které již nebudou certifikovány.
2. Na základě obdržených informací Komise zřizuje, zveřejňuje a udržuje seznam certifikovaných kvalifikovaných prostředků pro vytváření elektronických podpisů.
3. Komise může prostřednictvím prováděcích aktů stanovit formáty a postupy použitelné pro účely odstavce 1. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 32
Požadavky na ověřování platnosti kvalifikovaných elektronických podpisů
1. Postup ověření platnosti kvalifikovaného elektronického podpisu potvrdí platnost kvalifikovaného elektronického podpisu, pokud:
a)
certifikát, na němž je podpis založen, byl v okamžiku podpisu kvalifikovaným certifikátem pro elektronický podpis, jenž je v souladu s přílohou I;
b)
kvalifikovaný certifikát byl vydán kvalifikovaným poskytovatelem služeb vytvářejících důvěru a v okamžiku podpisu byl platný;
c)
data pro ověřování platnosti podpisu odpovídají datům poskytnutým spoléhající se straně;
d)
spoléhající se straně je řádně poskytnut jedinečný soubor dat identifikujících podepisující osobu v certifikátu;
e)
pokud byl v okamžiku podpisu použit pseudonym, je jeho použití jednoznačně sděleno spoléhající se straně;
f)
elektronický podpis byl vytvořen kvalifikovaným prostředkem pro vytváření elektronických podpisů;
g)
nebyla ohrožena integrita podepsaných dat;
h)
v okamžiku podpisu byly splněny požadavky stanovené v článku 26.
2. Systém použitý k ověření platnosti kvalifikovaného elektronického podpisu musí poskytovat spoléhající se straně řádný výsledek postupu ověření platnosti a umožňovat jí zjistit jakékoli problémy týkající se bezpečnosti.
3. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro ověřování platnosti kvalifikovaných elektronických podpisů. Pokud ověřování platnosti kvalifikovaných elektronických podpisů vyhovuje těmto normám, předpokládá se shoda s požadavky stanovenými v odstavci 1. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 33
Kvalifikovaná služba ověřování platnosti kvalifikovaných elektronických podpisů
1. Kvalifikovanou službu ověřování platnosti kvalifikovaných elektronických podpisů může poskytovat pouze kvalifikovaný poskytovatel služeb vytvářejících důvěru, který:
a)
zajišťuje ověřování platnosti v souladu s čl. 32 odst. 1 a
b)
umožňuje, aby spoléhající se strany obdržely výsledek postupu ověření platnosti automatizovaným způsobem, který je spolehlivý, účinný a je opatřen zaručeným elektronickým podpisem nebo zaručenou elektronickou pečetí poskytovatele kvalifikované služby ověřování platnosti.
2. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro kvalifikovanou službu ověřování platnosti uvedenou v odstavci 1. Pokud služba ověřování platnosti kvalifikovaných elektronických podpisů vyhovuje těmto normám, předpokládá se shoda s požadavky stanovenými v odstavci 1. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 34
Kvalifikovaná služba uchovávání kvalifikovaných elektronických podpisů
1. Kvalifikovanou službu uchovávání kvalifikovaných elektronických podpisů může poskytovat pouze kvalifikovaný poskytovatel služeb vytvářejících důvěru, který používá postupy a technologie, jež jsou s to zajistit důvěryhodnost kvalifikovaného elektronického podpisu i po uplynutí doby technické platnosti.
2. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro kvalifikovanou službu uchovávání kvalifikovaných elektronických podpisů. Pokud postupy pro kvalifikovanou službu uchovávání kvalifikovaných elektronických podpisů vyhovují těmto normám, předpokládá se shoda s požadavky stanovenými v odstavci 1. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
ODDÍL 5
Elektronické pečetě
Článek 35
Právní účinky elektronických pečetí
1. Elektronické pečeti nesmějí být upírány právní účinky a nesmí být odmítána jako důkaz v soudním a správním řízení pouze z toho důvodu, že má elektronickou podobu nebo že nesplňuje požadavky na kvalifikované elektronické pečetě.
2. U kvalifikované elektronické pečeti platí domněnka integrity dat a správnosti původu těch dat, s nimiž je kvalifikovaná elektronická pečeť spojena.
3. Kvalifikovaná elektronická pečeť založená na kvalifikovaném certifikátu vydaném v jednom členském státě se uznává jako kvalifikovaná elektronická pečeť ve všech ostatních členských státech.
Článek 36
Požadavky na zaručené elektronické pečetě
Zaručená elektronická pečeť musí splňovat tyto požadavky:
a)
je jednoznačně spojena s pečetící osobou;
b)
umožňuje identifikaci pečetící osoby;
c)
je vytvořena pomocí dat pro vytváření elektronických pečetí, která může pečetící osoba s vysokou úrovní důvěry použít k vytváření elektronické pečeti pod svou kontrolou; a
d)
je k datům, ke kterým se vztahuje, připojena takovým způsobem, že je možné zjistit jakoukoliv následnou změnu dat.
Článek 37
Elektronické pečetě ve veřejných službách
1. Pokud členský stát pro využití určité on-line služby, která je poskytována subjektem veřejného sektoru nebo jeho jménem, požaduje zaručenou elektronickou pečeť, uznává zaručené elektronické pečetě, zaručené elektronické pečetě založené na kvalifikovaném certifikátu pro elektronické pečetě a kvalifikované elektronické pečetě alespoň ve formátech nebo s použitím metod stanovených v prováděcích aktech uvedených v odstavci 5.
2. Pokud členský stát pro využití určité on-line služby, která je poskytována subjektem veřejného sektoru nebo jeho jménem, požaduje zaručenou elektronickou pečeť založenou na kvalifikovaném certifikátu, uznává zaručené elektronické pečetě založené na kvalifikovaném certifikátu a kvalifikované elektronické pečetě alespoň ve formátech nebo s použitím metod stanovených v prováděcích aktech uvedených v odstavci 5.
3. Členské státy nesmějí v případě přeshraničního využívání on-line služby poskytované subjektem veřejného sektoru vyžadovat elektronickou pečeť s vyšší zárukou bezpečnosti než kvalifikovanou elektronickou pečeť.
4. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro zaručené elektronické pečetě. Pokud zaručená elektronická pečeť vyhovuje těmto normám, předpokládá se shoda s požadavky na zaručené elektronické pečetě uvedenými v odstavcích 1 a 2 tohoto článku a v článku 36. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
5. Do 18. září 2015 Komise s přihlédnutím ke stávajícím postupům, normám a právním aktům Unie stanoví prostřednictvím prováděcích aktů referenční formáty zaručených elektronických pečetí nebo referenční metody, jsou-li používány alternativní formáty. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 38
Kvalifikované certifikáty pro elektronické pečetě
1. Kvalifikované certifikáty pro elektronické pečetě musí splňovat požadavky stanovené v příloze III.
2. Kvalifikované certifikáty pro elektronické pečetě nepodléhají žádným závazným požadavkům, které přesahují požadavky stanovené v příloze III.
3. Kvalifikované certifikáty pro elektronické pečetě mohou obsahovat další zvláštní atributy, které nejsou povinné. Těmito atributy nesmějí být dotčeny interoperabilita a uznávání kvalifikovaných elektronických pečetí.
4. Pokud byl kvalifikovaný certifikát pro elektronickou pečeť po počáteční aktivaci zneplatněn, ztrácí okamžikem zneplatnění platnost a jeho status se nemůže v žádném případě změnit zpět.
5. Členské státy mohou stanovit vnitrostátní pravidla dočasného pozastavení platnosti kvalifikovaných certifikátů pro elektronické pečetě s výhradou těchto podmínek:
a)
je-li platnost kvalifikovaného certifikátu pro elektronickou pečeť dočasně pozastavena, pozbývá tento certifikát na dobu pozastavení platnosti;
b)
doba pozastavení platnosti je jasně vyznačena v databázi certifikátů a pozastavení platnosti je po svou dobu viditelné ve službě poskytující informace o statusu certifikátu.
6. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro kvalifikované certifikáty pro elektronické pečetě. Pokud kvalifikovaný certifikát pro elektronickou pečeť vyhovuje těmto normám, předpokládá se shoda s požadavky stanovenými v příloze III. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 39
Kvalifikované prostředky pro vytváření elektronických pečetí
1. Na kvalifikované prostředky pro vytváření elektronických pečetí se použije přiměřeně článek 29.
2. Na certifikaci kvalifikovaných prostředků pro vytváření elektronických pečetí se použije přiměřeně článek 30.
3. Na zveřejnění seznamu certifikovaných kvalifikovaných prostředků pro vytváření elektronických pečetí se použije přiměřeně článek 31.
Článek 40
Ověřování platnosti a uchovávání kvalifikovaných elektronických pečetí
Na ověřování platnosti a uchovávání kvalifikovaných elektronických pečetí se použijí přiměřeně články 32, 33 a 34.
ODDÍL 6
Elektronická časová razítka
Článek 41
Právní účinek elektronických časových razítek
1. Elektronickému časovému razítku nesmějí být upírány právní účinky a nesmí být odmítáno jako důkaz v soudním a správním řízení pouze z toho důvodu, že má elektronickou podobu nebo že nesplňuje požadavky na kvalifikované elektronické časové razítko.
2. U kvalifikovaného elektronického časového razítka platí domněnka správnosti data a času, které udává, a integrity dat, s nimiž jsou toto datum a tento čas spojeny.
3. Kvalifikované elektronické časové razítko vydané v jednom členském státě se uznává jako kvalifikované elektronické časové razítko ve všech členských státech.
Článek 42
Požadavky na kvalifikovaná elektronická časová razítka
1. Kvalifikované elektronické časové razítko musí splňovat tyto požadavky:
a)
spojuje datum a čas s daty takovým způsobem, aby byla přiměřeně zamezena možnost nezjistitelné změny dat;
b)
je založeno na zdroji přesného času, který je spojen s koordinovaným světovým časem; a
c)
je podepsáno s použitím zaručeného elektronického podpisu, opatřeno zaručenou elektronickou pečetí kvalifikovaného poskytovatele služeb vytvářejících důvěru nebo označeno jinou rovnocennou metodou.
2. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro spojování data a času s daty a pro zdroje přesného času. Pokud spojení data a času s daty a zdroj přesného času vyhovují těmto normám, předpokládá se shoda s požadavky stanovenými v odstavci 1. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
ODDÍL 7
Služba elektronického doporučeného doručování
Článek 43
Právní účinek služby elektronického doporučeného doručování
1. Datům odeslaným a přijatým prostřednictvím služby elektronického doporučeného doručování nesmějí být upírány právní účinky a nesmějí být odmítána jako důkaz v soudním a správním řízení pouze z toho důvodu, že mají elektronickou podobu nebo že nesplňují požadavky na kvalifikovanou službu elektronického doporučeného doručování.
2. U dat odeslaných a přijatých prostřednictvím kvalifikované služby elektronického doporučeného doručování platí domněnka integrity dat, odeslání těchto dat identifikovaným odesílatelem, jejich přijetí identifikovaným příjemcem a správnosti data a času odeslání a přijetí, jež jsou u kvalifikované služby elektronického doporučeného doručování uvedeny.
Článek 44
Požadavky na kvalifikované služby elektronického doporučeného doručování
1. Kvalifikované služby elektronického doporučeného doručování musí splňovat tyto požadavky:
a)
jsou poskytovány jedním či více kvalifikovanými poskytovateli služeb vytvářejících důvěru;
b)
s vysokou úrovní spolehlivosti zajišťují identifikaci odesílatele;
c)
zajišťují identifikaci příjemce před doručením dat;
d)
odesílání a přijímání dat je zabezpečeno prostřednictvím zaručeného elektronického podpisu nebo zaručené elektronické pečeti kvalifikovaného poskytovatele služeb vytvářejících důvěru tak, aby byla vyloučena možnost nezjistitelné změny dat;
e)
odesílatel a příjemce dat jsou jednoznačně vyrozuměni o případných změnách dat potřebných za účelem odeslání nebo přijetí dat;
f)
datum a čas odeslání, přijetí a případná změna dat jsou označeny prostřednictvím kvalifikovaného elektronického časového razítka.
V případě přenosu dat mezi dvěma či více kvalifikovanými poskytovateli služeb vytvářejících důvěru se požadavky uvedené v písm. a) až f) vztahují na všechny tyto kvalifikované poskytovatele služeb vytvářejících důvěru.
2. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro postupy odesílání a přijímání dat. Pokud postup odesílání a přijímání dat vyhovuje těmto normám, předpokládá se shoda s požadavky stanovenými v odstavci 1. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
ODDÍL 8
Autentizace internetových stránek
Článek 45
Požadavky na kvalifikované certifikáty pro autentizaci internetových stránek
1. Kvalifikované certifikáty pro autentizaci internetových stránek musí splňovat požadavky stanovené v příloze IV.
2. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro kvalifikované certifikáty pro autentizaci internetových stránek. Pokud kvalifikovaný certifikát pro autentizaci internetových stránek vyhovuje těmto normám, předpokládá se shoda s požadavky stanovenými v příloze IV. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
KAPITOLA IV
ELEKTRONICKÉ DOKUMENTY
Článek 46
Právní účinky elektronických dokumentů
Elektronickému dokumentu nesmějí být upírány právní účinky a nesmí být odmítán jako důkaz v soudním a správním řízení pouze z toho důvodu, že má elektronickou podobu.
KAPITOLA V
PŘENESENÍ PRAVOMOCI A PROVÁDĚCÍ USTANOVENÍ
Článek 47
Výkon přenesené pravomoci
1. Pravomoc přijímat akty v přenesené pravomoci je svěřena Komisi za podmínek stanovených v tomto článku.
2. Pravomoc přijímat akty v přenesené pravomoci uvedené v čl. 30 odst. 4 je svěřena Komisi na dobu neurčitou ode dne 17. září 2014.
3. Evropský parlament nebo Rada mohou přenesení pravomoci uvedené v čl. 30 odst. 4 kdykoli zrušit. Rozhodnutím o zrušení se ukončuje přenesení pravomoci v něm blíže určené. Rozhodnutí nabývá účinku dnem následujícím po zveřejnění rozhodnutí v Úředním věstníku Evropské unie nebo k pozdějšímu dni, který je v něm upřesněn. Nedotýká se platnosti již platných aktů v přenesené pravomoci.
4. Přijetí aktu v přenesené pravomoci Komise neprodleně oznámí současně Evropskému parlamentu a Radě.
5. Akt v přenesené pravomoci přijatý podle čl. 30 odst. 4 vstoupí v platnost, pouze pokud proti němu Evropský parlament nebo Rada nevysloví námitky ve lhůtě dvou měsíců ode dne, kdy jim byl tento akt oznámen, nebo pokud Evropský parlament i Rada před uplynutím této lhůty informují Komisi o tom, že námitky nevysloví. Z podnětu Evropského parlamentu nebo Rady se tato lhůta prodlouží o dva měsíce.
Článek 48
Postup projednávání ve výboru
1. Komisi je nápomocen výbor. Tento výbor je výborem ve smyslu nařízení (EU) č. 182/2011.
2. Odkazuje-li se na tento odstavec, použije se článek 5 nařízení (EU) č. 182/2011.
KAPITOLA VI
ZÁVĚREČNÁ USTANOVENÍ
Článek 49
Přezkum
Do 1. července 2020 přezkoumá Komise uplatňování tohoto nařízení a podá zprávu Evropskému parlamentu a Radě. Komise zejména vyhodnotí, zda je s přihlédnutím ke zkušenostem s uplatňováním tohoto nařízení a k technologickému, tržnímu a právnímu vývoji vhodné upravit oblast působnosti tohoto nařízení nebo jeho konkrétní ustanovení, včetně článku 6, čl. 7 písm. f) a článků 34, 43, 44 a 45.
Ke zprávě uvedené v prvním pododstavci se případně připojí legislativní návrhy.
Vedle toho Komise každé čtyři roky od předložení zprávy uvedené v prvním pododstavci předloží Evropskému parlamentu a Radě zprávu o pokroku v dosahování cílů tohoto nařízení.
Článek 50
Zrušení
1. Směrnice 1999/93/ES se zrušuje s účinkem ode dne 1. července 2016.
2. Odkazy na zrušenou směrnici se považují za odkazy na toto nařízení.
Článek 51
Přechodná opatření
1. Prostředky pro bezpečné vytváření podpisu, jejichž shoda byla stanovena podle čl. 3 odst. 4 směrnice 1999/93/ES, se považují za kvalifikované prostředky pro vytváření elektronických podpisů podle tohoto nařízení.
2. Kvalifikovaná osvědčení vydaná fyzickým osobám podle směrnice 1999/93/ES se považují za kvalifikované certifikáty pro elektronické podpisy podle tohoto nařízení až do doby skončení jejich platnosti.
3. Ověřovatel vydávající kvalifikovaná osvědčení podle směrnice 1999/93/ES předloží orgánu dohledu co nejdříve, nejpozději však 1. července 2017, zprávu o posouzení shody. Do předložení této zprávy o posouzení shody a dokončení jejího hodnocení orgánem dohledu se ověřovatel považuje za kvalifikovaného poskytovatele služeb vytvářejících důvěru podle tohoto nařízení.
4. Nepředloží-li ověřovatel vydávající kvalifikovaná osvědčení podle směrnice 1999/93/ES orgánu dohledu zprávu o posouzení shody ve lhůtě uvedené v odstavci 3, nepovažuje se tento ověřovatel od 2. července 2017 za kvalifikovaného poskytovatele služeb vytvářejících důvěru podle tohoto nařízení.
Článek 52
Vstup v platnost
1. Toto nařízení vstupuje v platnost dvacátým dnem po vyhlášení v Úředním věstníku Evropské unie.
2. Toto nařízení se použije ode dne 1. července 2016, s těmito výjimkami:
a)
čl. 8 odst. 3, čl. 9 odst. 5, čl. 12 odst. 2 až 9, čl. 17 odst. 8, čl. 19 odst. 4, čl. 20 odst. 4, čl. 21 odst. 4, čl. 22 odst. 5, čl. 23 odst. 3, čl. 24 odst. 5, čl. 27 odst. 4 a 5, čl. 28 odst. 6, čl. 29 odst. 2, čl. 30 odst. 3 a 4, čl. 31 odst. 3, čl. 32 odst. 3, čl. 33 odst. 2, čl. 34 odst. 2, čl. 37 odst. 4 a 5, čl. 38 odst. 6, čl. 42 odst. 2, čl. 44 odst. 2, čl. 45 odst. 2 a články 47 a 48 se použijí ode dne 17. září 2014;
b)
článek 7, čl. 8 odst. 1 a 2, články 9, 10 a 11 a čl. 12 odst. 1 se použijí ode dne použitelnosti prováděcích aktů uvedených v čl. 8 odst. 3 a čl. 12 odst. 8;
c)
článek 6 se použije od uplynutí tří let ode dne použitelnosti prováděcích aktů uvedených v čl. 8 odst. 3 a čl. 12 odst. 8.
3. Pokud je oznámený systém elektronické identifikace na seznamu, který Komise zveřejní podle článku 9, uveden přede dnem uvedeným v odst. 2 písm. c) tohoto článku, dojde k uznání prostředků pro elektronickou identifikaci v rámci tohoto systému podle článku 6 nejpozději dvanáct měsíců po zveřejnění tohoto systému, avšak nejdříve ke dni uvedenému v odst. 2 písm. c) tohoto článku.
4. Bez ohledu na odst. 2 písm. c) tohoto článku může členský stát rozhodnout, že prostředky pro elektronickou identifikaci v rámci systému elektronické identifikace, který jiný členský stát oznámil podle čl. 9 odst. 1, se v prvním členském státě uznávají ode dne použitelnosti prováděcích aktů uvedených v čl. 8 odst. 3 a čl. 12 odst. 8. Dotyčné členské státy informují Komisi. Komise tyto informace zveřejní.
Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.
V Bruselu dne 23. července 2014.
REGULAMENTUL (UE) NR. 910/2014 AL PARLAMENTULUI EUROPEAN ȘI AL CONSILIULUI
din 23 iulie 2014
privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă și de abrogare a Directivei 1999/93/CE
PARLAMENTUL EUROPEAN ȘI CONSILIUL UNIUNII EUROPENE,
având în vedere Tratatul privind funcționarea Uniunii Europene, în special articolul 114,
având în vedere propunerea Comisiei Europene,
după transmiterea proiectului de act legislativ către parlamentele naționale,
având în vedere avizul Comitetului Economic și Social European (1),
hotărând în conformitate cu procedura legislativă ordinară (2),
întrucât:
(1)
Instaurarea încrederii în mediul online este esențială pentru dezvoltarea economică și socială. Lipsa încrederii, datorată în special unei lipse a securității juridice percepute de public, determină consumatorii, întreprinderile și autoritățile publice să ezite în efectuarea de tranzacții pe cale electronică și în adoptarea de noi servicii.
(2)
Obiectivul prezentului regulament este de a crește încrederea în tranzacțiile electronice de pe piața internă prin furnizarea unei baze comune pentru realizarea de interacțiuni electronice sigure între cetățeni, întreprinderi și autoritățile publice, contribuind astfel la creșterea eficienței serviciilor online din sectorul public și privat, a activităților economice electronice și a comerțului electronic în Uniune.
(3)
Directiva 1999/93/CE a Parlamentului European și a Consiliului (3) reglementa semnăturile electronice fără să ofere un cadru transfrontalier și intersectorial cuprinzător pentru tranzacții electronice sigure, demne de încredere și ușor de folosit. Prezentul regulament consolidează și extinde acquis-ul din respectiva directivă.
(4)
Comunicarea Comisiei din 26 august 2010 intitulată „Agenda digitală pentru Europa” a identificat fragmentarea pieței digitale, lipsa interoperabilității și creșterea criminalității informatice ca obstacole majore în calea cercului virtuos al economiei digitale. În raportul său privind cetățenia UE în 2010, intitulat „Eliminarea obstacolelor din calea drepturilor cetățenilor Uniunii”, Comisia a scos în evidență, de asemenea, necesitatea de a soluționa principalele probleme care îi împiedică pe cetățenii europeni să beneficieze de avantajele unei piețe unice digitale și de serviciile digitale transfrontaliere.
(5)
În concluziile sale din 4 februarie 2011 și 23 octombrie 2011, Consiliul European a invitat Comisia să creeze o piață unică digitală până în 2015 pentru a realiza progrese rapide în domenii esențiale ale economiei digitale și pentru a promova o piață unică digitală integrată în totalitate, prin facilitarea utilizării transfrontaliere a serviciilor online, acordând atenție în special facilitării identificării și autentificării electronice sigure.
(6)
În concluziile sale din 27 mai 2011, Consiliul a invitat Comisia să contribuie la piața unică digitală prin crearea condițiilor adecvate pentru recunoașterea reciprocă a elementelor-cheie dincolo de frontiere, cum ar fi identificarea electronică, documentele electronice, semnăturile electronice și serviciile de distribuție electronică, precum și pentru serviciile de e-guvernare interoperabile pe întreg teritoriul Uniunii Europene.
(7)
Parlamentul European în rezoluția sa din 21 septembrie 2010 privind realizarea pieței interne în ceea ce privește comerțul electronic (4) a subliniat importanța securității serviciilor electronice, în special a semnăturilor electronice, și importanța necesității de a crea o infrastructură publică cheie la nivel paneuropean și a solicitat Comisiei să creeze un portal european al autorităților de validare pentru a asigura interoperabilitatea transfrontalieră a semnăturilor electronice și pentru a crește gradul de securitate a tranzacțiilor efectuate prin intermediul internetului.
(8)
Directiva 2006/123/CE a Parlamentului European și a Consiliului (5) solicită statelor membre să instituie „ghișee unice” pentru a se asigura că toate procedurile și formalitățile cu privire la accesul la o activitate de servicii și la exercitarea acesteia pot fi îndeplinite cu ușurință, de la distanță și prin mijloace electronice, prin intermediul ghișeului unic adecvat și al autorităților adecvate. Multe servicii online accesibile prin intermediul ghișeelor unice necesită identificare, autentificare și semnătură electronică.
(9)
În majoritatea cazurilor, cetățenii nu pot utiliza identificarea electronică pentru a-și autentifica identitatea într-un alt stat membru din cauză că sistemele naționale de identificare electronică din țara lor nu sunt recunoscute în alte state membre. Respectiva barieră electronică împiedică prestatorii de servicii să se bucure pe deplin de avantajele oferite de piața internă. Mijloacele de identificare electronică recunoscute reciproc vor facilita prestarea transfrontalieră de numeroase servicii pe piața internă și vor permite întreprinderilor să își extindă activitatea peste granițe fără să se confrunte cu multe obstacole în interacțiunile cu autoritățile publice.
(10)
Directiva 2011/24/UE a Parlamentului European și a Consiliului (6) a instituit o rețea de autorități naționale responsabile pentru e-sănătate. Pentru a spori siguranța și continuitatea asistenței medicale transfrontaliere, rețeaua trebuie să elaboreze orientări privind accesul transfrontalier la datele și serviciile legate de e-sănătate, inclusiv prin sprijinirea de „măsuri comune de identificare și de autentificare pentru a facilita transferabilitatea datelor în cadrul asistenței medicale transfrontaliere”. Recunoașterea reciprocă a identificării și autentificării electronice sunt esențiale pentru ca asistența medicală transfrontalieră pentru cetățenii europeni să devină o realitate. Când oamenii călătoresc în scopul realizării unui tratament, datele lor medicale trebuie să fie accesibile în țara în care se realizează tratamentul. Acest lucru necesită un cadru de identificare electronică solid, sigur și fiabil.
(11)
Prezentul regulament ar trebui aplicat în deplină concordanță cu principiile referitoare la protecția datelor cu caracter personal prevăzute de Directiva 95/46/CE a Parlamentului European și a Consiliului (7). În această privință, având în vedere principiul recunoașterii reciproce instituit de prezentul regulament, autentificarea pentru un serviciu online ar trebui să vizeze numai prelucrarea acelor date de identificare care sunt adecvate și relevante și care nu sunt excesive în vederea acordării accesului la respectivul serviciu online. Mai mult, cerințele prevăzute în Directiva 95/46/CE privind confidențialitatea și securitatea prelucrării ar trebui să fie respectate de către prestatorii de servicii de încredere și de către organismele de supraveghere.
(12)
Unul din obiectivele prezentului regulament este de a elimina barierele existente în calea utilizării transfrontaliere a mijloacelor de identificare electronică utilizate în statele membre pentru autentificare cel puțin pentru serviciile publice. Prezentul regulament nu urmărește să intervină în sistemele de gestionare a identității electronice și infrastructurile conexe stabilite în statele membre. Obiectivul prezentului regulament este de a garanta că, pentru accesul la serviciile transfrontaliere online oferite de către statele membre, este posibilă identificarea și autentificarea electronică sigură.
(13)
Statele membre ar trebui să dispună în continuare de libertatea de a utiliza sau de a introduce, în scopuri de identificare electronică, mijloace pentru accesarea serviciilor online. Acestea ar trebui, de asemenea, să fie în măsură să decidă dacă să implice sectorul privat în furnizarea acestor mijloace. Statele membre nu ar trebui să fie obligate să notifice Comisiei sistemele lor de identificare electronică. Alegerea de a notifica Comisiei toate, unele sau niciunul dintre sistemele de identificare electronică utilizate la nivel național pentru a accesa cel puțin serviciile publice online sau serviciile specifice este la latitudinea statelor membre.
(14)
Ar trebui stabilite în prezentul regulament unele condiții cu privire la care mijloace de identificare electronică trebuie să fie recunoscute și la modul în care sistemele de identificare electronică ar trebui să fie notificate. Aceste condiții ar trebui să ajute statele membre să dobândească încrederea reciprocă necesară în sistemele lor de identificare electronică și să recunoască reciproc mijloacele de identificare electronică care intră sub incidența sistemelor lor notificate. Ar trebui să se aplice principiul recunoașterii reciproce în cazul în care sistemul de identificare electronică al statului membru care notifică îndeplinește condițiile de notificare, iar notificarea a fost publicată în Jurnalul Oficial al Uniunii Europene. Cu toate acestea, principiul recunoașterii reciproce ar trebui să vizeze numai autentificarea pentru un serviciu online. Accesul la aceste servicii online și furnizarea lor finală către solicitant ar trebui să fie strâns legate de dreptul de a primi astfel de servicii în condițiile stabilite de legislația națională.
(15)
Obligația de recunoaștere a mijloacelor de identificare electronică ar trebui să se refere numai la mijloacele al căror nivel de asigurare a încrederii corespunde unui nivel egal sau mai ridicat decât nivelul necesar pentru serviciul online în cauză. În plus, această obligație ar trebui să se aplice numai în cazul în care organismul din sectorul public în cauză utilizează nivelul de asigurare „substanțial” sau „ridicat” în ceea ce privește accesul la serviciul online respectiv. Statele membre ar trebui să dispună în continuare, în conformitate cu dreptul Uniunii, de libertatea de a recunoaște mijloacele de identificare electronică cu niveluri de asigurare a încrederii mai scăzute.
(16)
Nivelurile de asigurare ar trebui să caracterizeze gradul de încredere în mijloacele de identificare electronică în stabilirea identității unei persoane, oferind astfel garanția că persoana care pretinde o anumită identitate este într-adevăr persoana căreia i s-a atribuit respectiva identitate. Nivelul de asigurare depinde de gradul de încredere pe care îl oferă mijloacele de identificare electronică în legătură cu identitatea pretinsă sau declarată a unei persoane, ținând seama de procese (de exemplu, dovedirea și verificarea identității și autentificarea), de activitățile de gestionare (de exemplu, entitatea care emite mijloacele de identificare electronică și procedura de emitere a respectivelor mijloace) și de controalele tehnice puse în aplicare. Există diferite definiții tehnice și descrieri ale nivelurilor de asigurare, ca urmare a proiectelor-pilot la scară largă finanțate de Uniune, a activităților de standardizare și internaționale. În special, proiectul-pilot la scară largă STORK și ISO 29115 se referă, printre altele, la nivelurile 2, 3 și 4, care ar trebui să fie luate cu prioritate în considerare în stabilirea cerințelor tehnice minime, a standardelor și procedurilor pentru nivelurile de asigurare scăzut, substanțial și ridicat, în sensul prezentului regulament, asigurând, în același timp, aplicarea uniformă a prezentului regulament în special în ceea ce privește nivelul de asigurare ridicat în legătură cu dovedirea identității în vederea eliberării de certificate calificate. Cerințele stabilite ar trebui să fie neutre din punct de vedere tehnologic. Ar trebui să fie posibilă realizarea cerințelor de siguranță necesare prin intermediul diferitelor tehnologii.
(17)
Statele membre ar trebui să încurajeze sectorul privat să utilizeze în mod voluntar mijloace de identificare electronică în cadrul unui sistem notificat, în scopuri de identificare, atunci când este nevoie pentru servicii online sau pentru tranzacții electronice. Posibilitatea de a utiliza aceste mijloace de identificare electronică ar permite sectorului privat să se bazeze pe identificarea și autentificarea electronică deja utilizată pe scară largă în multe state membre cel puțin pentru serviciile publice și să faciliteze accesul întreprinderilor și cetățenilor la serviciile lor online dincolo de frontiere. Pentru a facilita utilizarea acestor mijloace de identificare electronică dincolo de frontiere de către sectorul privat, posibilitatea de autentificare furnizată de orice stat membru ar trebui să fie disponibilă beneficiarilor din sectorul privat stabiliți în afara teritoriului statului membru respectiv în aceleași condiții ca cele aplicate beneficiarilor din sectorul privat stabiliți în statul membru respectiv. Prin urmare, în ceea ce privește beneficiarii din sectorul privat, statul membru care notifică poate defini condițiile de acces la mijloacele de autentificare. Aceste condiții de acces pot stabili dacă mijloacele de autentificare aferente sistemului notificat sunt sau nu disponibile imediat pentru beneficiarii din sectorul privat.
(18)
Prezentul regulament ar trebui să prevadă răspunderea statului membru care notifică, a părții care emite mijloacele de identificare electronică și a părții care aplică procedura de autentificare în cazul neîndeplinirii obligațiilor relevante în temeiul prezentului regulament. Cu toate acestea, prezentul regulament ar trebui să fie aplicat în conformitate cu normele de drept intern privind răspunderea. Prin urmare, aceasta nu aduce atingere respectivelor norme naționale privind, de exemplu, definiția prejudiciului sau normele de procedură aplicabile relevante, inclusiv sarcina probei.
(19)
Securitatea sistemelor de identificare electronică este esențială pentru recunoașterea transfrontalieră reciprocă fiabilă a mijloacelor de identificare electronică. În acest context, statele membre ar trebui să coopereze în ceea ce privește securitatea și interoperabilitatea sistemelor de identificare electronică la nivelul Uniunii. Ori de câte ori sistemele de identificare electronică necesită utilizarea unor elemente hardware sau software specifice de către beneficiari la nivel național, interoperabilitatea transfrontalieră necesită ca statele membre respective să nu impună astfel de cerințe și costuri aferente beneficiarilor stabiliți în afara teritoriului lor. În acest caz, ar trebui examinate și elaborate soluții adecvate care să țină seama de cadrul de interoperabilitate. Cu toate acestea, cerințele tehnice care decurg din specificațiile intrinsece ale mijloacelor naționale de identificare electronică și care sunt susceptibile de a afecta deținătorii unor astfel de mijloace electronice (de exemplu, carduri cu memorie) sunt inevitabile.
(20)
Cooperarea dintre statele membre ar trebui să faciliteze interoperabilitatea tehnică a sistemelor de identificare electronică notificate pentru a favoriza un nivel ridicat de încredere și securitate corespunzător gradului de risc. Schimbul de informații și de bune practici între statele membre, în vederea recunoașterii lor reciproce, ar trebui să contribuie la această cooperare.
(21)
Prezentul regulament ar trebui, de asemenea, să stabilească un cadru juridic general pentru utilizarea serviciilor de încredere. Totuși, acesta nu ar trebui să creeze o obligație generală de a le utiliza sau de a instala un punct de acces pentru toate serviciile de încredere existente. În special, acesta nu ar trebui să reglementeze prestarea de servicii utilizate exclusiv în cadrul sistemelor închise între un set definit de participanți, care nu au niciun efect asupra părților terțe. De exemplu, sistemele instituite în întreprinderi sau în administrațiile publice pentru a gestiona procedurile interne care utilizează serviciile de încredere nu ar trebui să intre sub incidența cerințelor din prezentul regulament. Doar serviciile de încredere prestate publicului având efecte asupra părților terțe ar trebui să îndeplinească cerințele stabilite în regulament. Prezentul regulament nu ar trebui să reglementeze nici aspectele privind încheierea și valabilitatea contractelor sau a altor obligații juridice, în cazul în care există cerințe cu privire la formă prevăzute de dreptul intern sau al Uniunii. Mai mult, prezentul regulament nu ar trebui să afecteze cerințele naționale cu privire la formă aferente registrelor publice, în special registrelor comerțului și cadastrelor.
(22)
Pentru a contribui la utilizarea transfrontalieră generală a serviciilor de încredere, ar trebui să fie posibilă utilizarea acestora ca probe în procedurile judiciare în toate statele membre. Efectul juridic al serviciilor de încredere trebuie definit de dreptul intern, cu excepția cazului în care se prevede altfel în prezentul regulament.
(23)
În măsura în care prezentul regulament creează o obligație de a recunoaște un serviciu de încredere, respectivul serviciu de încredere poate fi respins numai dacă destinatarul obligației nu este în măsură să îl citească sau să îl verifice din motive tehnice, care nu pot face obiectul controlului imediat al destinatarului. Cu toate acestea, această obligație în sine nu ar trebui să impună unui organism public să obțină elementele de hardware și software necesare pentru lizibilitatea tehnică a tuturor serviciilor de încredere existente.
(24)
Statele membre pot să mențină sau să introducă dispoziții naționale, în conformitate cu dreptul Uniunii, referitoare la serviciile de încredere în măsura în care aceste servicii nu sunt armonizate integral în prezentul regulament. Cu toate acestea, serviciile de încredere care sunt conforme cu prezentul regulament ar trebui să circule liber pe piața internă.
(25)
Statele membre ar trebui să dispună în continuare de libertatea de a defini alte tipuri de servicii de încredere, în plus față de cele care fac parte din lista închisă de servicii de încredere prevăzută în prezentul regulament, în scopul recunoașterii acestora la nivel național ca servicii de încredere calificate.
(26)
Datorită ritmului schimbărilor tehnologice, prezentul regulament ar trebui să adopte o abordare deschisă inovării.
(27)
Prezentul regulament ar trebui să fie neutru din punctul de vedere al tehnologiei. Efectele juridice pe care le acordă ar trebui să fie realizabile prin orice mijloc tehnic, cu condiția ca cerințele prezentului regulament să fie îndeplinite.
(28)
Pentru a spori în special încrederea întreprinderilor mici și mijlocii (IMM) și a consumatorilor în piața internă și pentru a promova utilizarea serviciilor și produselor de încredere, noțiunile de servicii de încredere calificate și prestator de servicii de încredere calificat ar trebui să fie introduse pentru a indica cerințele și obligațiile care asigură securitatea la nivel înalt a oricăror servicii și produse de încredere calificate utilizate sau furnizate.
(29)
În conformitate cu obligațiile în temeiul Convenției Națiunilor Unite privind drepturile persoanelor cu handicap, aprobată prin Decizia 2010/48/CE a Consiliului (8), în special articolul 9 din convenție, persoanele cu handicap ar trebui să aibă posibilitatea de a utiliza serviciile de încredere și produsele destinate utilizatorului final utilizate la prestarea serviciilor respective, în aceleași condiții ca și ceilalți consumatori. Prin urmare, dacă este posibil, serviciile de încredere prestate și produsele destinate utilizatorului final utilizate pentru prestarea serviciilor respective ar trebui să fie accesibile persoanelor cu handicap. Studiul de fezabilitate ar trebui să includă, printre altele, considerații tehnice și economice.
(30)
Statele membre ar trebui să desemneze un organism de supraveghere sau organisme de supraveghere pentru realizarea activităților de supraveghere în conformitate cu prezentul regulament. Statele membre ar trebui să aibă, de asemenea, posibilitatea de a decide, pe baza unui acord reciproc cu alt stat membru, să desemneze un organism de supraveghere pe teritoriul acestui alt stat membru.
(31)
Organismele de supraveghere ar trebui să coopereze cu autoritățile de protecție a datelor, de exemplu prin informarea acestora cu privire la rezultatele auditurilor prestatorilor de servicii de încredere calificați, în cazul în care se presupune că normele de protecție a datelor cu caracter personal au fost încălcate. Informațiile furnizate ar trebui să vizeze în special incidentele privind securitatea și încălcarea securității datelor cu caracter personal.
(32)
Ar trebui să fie obligatoriu pentru toți prestatorii de servicii de încredere să aplice bune practici de securitate corespunzătoare riscurilor legate de activitățile lor, pentru a spori încrederea utilizatorilor în piața unică.
(33)
Dispozițiile privind utilizarea pseudonimelor în certificate nu ar trebui să împiedice statele membre să solicite identificarea persoanelor în conformitate cu dreptul Uniunii sau dreptul intern.
(34)
Toate statele membre ar trebui să respecte cerințele esențiale comune de supraveghere pentru a se asigura un nivel de securitate comparabil al serviciilor de încredere calificate. Pentru a facilita aplicarea consecventă a acestor cerințe pe întreg teritoriul Uniunii, statele membre ar trebui să adopte proceduri comparabile și ar trebui să efectueze schimburi de informații cu privire la activitățile lor de supraveghere și la bunele practici în domeniu.
(35)
Toți prestatorii de servicii de încredere ar trebui să facă obiectul cerințelor prevăzute de prezentul regulament, în special al celor privind securitatea și responsabilitatea de a asigura diligența necesară, transparența și asumarea răspunderii pentru operațiunile și serviciile lor. Totuși, ținând seama de tipul de servicii prestate de prestatorii de servicii de încredere, este oportun să se facă o distincție, în ceea ce privește cerințele respective, între prestatorii de servicii de încredere calificați și necalificați.
(36)
Stabilirea unui regim de supraveghere pentru toți prestatorii de servicii de încredere ar trebui să asigure condiții de concurență echitabile în privința securității și a asumării responsabilității pentru operațiunile și serviciile lor, contribuind astfel la protecția utilizatorilor și la funcționarea pieței interne. Prestatorii de servicii de încredere necalificați ar trebui să facă obiectul unor activități de supraveghere ex post lejere și bazate pe reacție, justificate de natura serviciilor și a operațiunilor lor. Prin urmare, organismul de supraveghere nu ar trebui să aibă nicio obligație generală de a supraveghea prestatorii de servicii necalificați. Organismul de supraveghere ar trebui să acționeze doar în cazul în care este informat (de exemplu, de către prestatorul de servicii de încredere necalificat în persoană, de către un alt organism de supraveghere, printr-o notificare de la un utilizator sau un partener de afaceri sau pe baza propriilor investigații) că un prestator de servicii de încredere necalificat nu respectă cerințele prezentului regulament.
(37)
Prezentul regulament ar trebui să prevadă răspunderea tuturor prestatorilor de servicii de încredere. În special, regulamentul stabilește un regim de răspundere în cadrul căruia toți prestatorii de servicii de încredere ar trebui să fie răspunzători pentru prejudiciile aduse oricărei persoane fizice sau juridice din cauza nerespectării obligațiilor care le revin în temeiul prezentului regulament. Pentru a facilita evaluarea riscului financiar pe care prestatorii de servicii de încredere l-ar putea avea de suportat sau pe care aceștia ar trebui să îl acopere prin intermediul polițelor de asigurare, prezentul regulament permite prestatorilor de servicii de încredere să stabilească restricții, în anumite condiții, privind utilizarea serviciilor pe care le oferă și îi scutește de răspunderea pentru prejudiciile rezultate din utilizarea serviciilor peste aceste restricții. Clienții ar trebui să fie informați în prealabil, în mod corespunzător, cu privire la restricții. Aceste restricții ar trebui să poată fi recunoscute de către o parte terță, de exemplu prin includerea de informații cu privire la acestea în clauzele și condițiile aferente serviciului furnizat sau prin alte mijloace ușor de recunoscut. Pentru punerea în aplicare a acestor principii, prezentul regulament ar trebui aplicat în conformitate cu normele naționale în materie de răspundere. Prin urmare, prezentul regulament nu aduce atingere normelor naționale privind, de exemplu, definiția prejudiciului, a intenției, a neglijenței sau privind normele procedurale aplicabile relevante.
(38)
Notificarea cazurilor de încălcare a securității și evaluarea riscurilor privind securitatea sunt esențiale în vederea furnizării de informații corespunzătoare către părțile în cauză, în caz de încălcare a securității sau de pierdere a integrității.
(39)
Pentru a permite Comisiei și statelor membre să evalueze eficiența mecanismului de notificare a încălcărilor introdus prin prezentul regulament, ar trebui să li se solicite organismelor de supraveghere să furnizeze informații sintetizate Comisiei și Agenției Uniunii Europene pentru Securitatea Rețelelor și a Informațiilor (ENISA).
(40)
Pentru a permite Comisiei și statelor membre să evalueze eficiența mecanismului de supraveghere consolidată introdus prin prezentul regulament, ar trebui să li se solicite organismelor de supraveghere să prezinte un raport cu privire la activitățile lor. Acest lucru ar contribui la facilitarea schimbului de bune practici între organismele de supraveghere și ar asigura verificarea punerii în aplicare în mod consecvent și eficient în toate statele membre a cerințelor esențiale privind supravegherea.
(41)
Pentru a garanta sustenabilitatea și durabilitatea serviciilor de încredere calificate și pentru a spori încrederea utilizatorilor în continuitatea serviciilor de încredere calificate, organismele de supraveghere ar trebui să verifice existența și aplicarea corectă a dispozițiilor privind planurile de încetare a serviciului în cazurile în care prestatorii de servicii de încredere calificați își încetează activitățile.
(42)
Pentru a facilita supravegherea prestatorilor de servicii de încredere calificați, de exemplu, atunci când un furnizor își prestează serviciile pe teritoriul unui alt stat membru și nu face acolo obiectul supravegherii sau în cazul în care calculatoarele unui prestator sunt situate pe teritoriul unui alt stat membru decât cel în care este stabilit, ar trebui să fie instituit un sistem de asistență reciprocă între organismele de supraveghere din statele membre.
(43)
Pentru a asigura respectarea de către prestatorii de servicii de încredere calificați a cerințelor stabilite în prezentul regulament și conformitatea serviciilor prestate de aceștia cu respectivele cerințe, un organism de evaluare a conformității ar trebui să efectueze o evaluare a conformității, iar rapoartele de evaluare a conformității rezultate ar trebui transmise de prestatorii de servicii de încredere calificați către organismul de supraveghere. Atunci când organismul de supraveghere impune unui prestator de servicii de încredere calificat să prezinte un raport de evaluare a conformității ad hoc, organismul de supraveghere ar trebui să respecte, în special, principiile bunei administrări, inclusiv obligația de a-și motiva deciziile, precum și principiul proporționalității. Prin urmare, organismul de supraveghere ar trebui să-și motiveze în mod corespunzător decizia de a solicita o evaluare a conformității ad hoc.
(44)
Prezentul regulament urmărește să asigure un cadru coerent cu scopul de a oferi un nivel înalt de siguranță și de securitate juridică a serviciilor de încredere. În acest sens, atunci când abordează evaluarea conformității produselor și serviciilor, Comisia ar trebui, după caz, să identifice sinergii cu sistemele europene și internaționale relevante existente, cum ar fi Regulamentul (CE) nr. 765/2008 al Parlamentului European și al Consiliului (9) care stabilește cerințele de acreditare ale organismelor de evaluare a conformității și de supraveghere a pieței de produse.
(45)
Pentru a permite un proces de inițiere eficient, care ar trebui să ducă la includerea prestatorilor de servicii de încredere calificați și a serviciilor de încredere calificate pe care le prestează în listele sigure, interacțiunile preliminare dintre potențialii prestatori de servicii de încredere calificați și organismul de supraveghere competent ar trebui să fie încurajate, în scopul facilitării diligenței necesare care conduce la prestarea de servicii de încredere calificate.
(46)
Listele sigure sunt elemente esențiale pentru construirea încrederii între operatorii de piață, deoarece ele indică statutul de calificat al prestatorului de servicii în momentul supravegherii.
(47)
Încrederea în serviciile online și facilitarea acestora sunt esențiale pentru ca utilizatorii să beneficieze pe deplin de serviciile electronice și să se bazeze în mod conștient pe acestea. În acest scop, ar trebui creată o marcă de încredere a UE cu scopul de a identifica serviciile de încredere calificate prestate de prestatori de servicii de încredere calificați. O astfel de marcă de încredere a UE pentru serviciile de încredere calificate ar diferenția în mod clar serviciile de încredere calificate de alte servicii de încredere, contribuind astfel la transparența pe pieței. Utilizarea unei mărci de încredere a UE de către prestatorii de servicii de încredere calificați ar trebui să fie voluntară și nu ar trebui să conducă la nicio altă cerință decât cele prevăzute în prezentul regulament.
(48)
Deși un nivel ridicat de securitate este necesar pentru a asigura recunoașterea reciprocă a semnăturilor electronice, în cazuri speciale, cum ar fi în contextul Deciziei 2009/767/CE a Comisiei (10), semnăturile electronice cu un nivel mai scăzut de asigurare a securității ar trebui să fie, de asemenea, acceptate.
(49)
Prezentul regulament ar trebui să stabilească principiul conform căruia unei semnături electronice nu ar trebui să i se refuze efectul juridic din motiv că aceasta este în format electronic sau că nu îndeplinește cerințele pentru semnătura electronică calificată. Cu toate acestea, efectul juridic al semnăturilor electronice se definește în dreptul intern, cu excepția cerinței prevăzute în prezentul regulament, conform căreia o semnătură electronică calificată ar trebui să aibă efecte juridice echivalente cu cele ale semnăturii olografe.
(50)
Deoarece autoritățile competente din statele membre utilizează, în prezent, formate diferite de semnături electronice avansate pentru a-și semna documentele în mod electronic, este necesar să se asigure că cel puțin un număr de formate de semnături electronice avansate pot fi procesate tehnic de statele membre atunci când primesc documente semnate în mod electronic. În mod similar, în cazul în care autoritățile competente din statele membre utilizează sigilii electronice avansate, ar fi necesar să se asigure că acestea pot procesa cel puțin un număr de formate de sigilii electronice avansate.
(51)
Ar trebui să fie posibil pentru semnatar să încredințeze dispozitivele de creare a semnăturilor electronice calificate unei părți terțe, cu condiția ca mecanismele și procedurile adecvate să fie puse în aplicare pentru a se asigura că semnatarul are control unic asupra utilizării datelor sale de creare a semnăturilor electronice și cu condiția ca utilizarea dispozitivului să îndeplinească cerințele privind semnătura electronică calificată.
(52)
Crearea semnăturilor electronice la distanță, al căror mediu este gestionat în numele semnatarului de un prestator de servicii de încredere, nu poate decât să se dezvolte având în vedere multiplele sale avantaje economice. Cu toate acestea, pentru a garanta că aceste semnături electronice se bucură de același nivel de recunoaștere juridică de care se bucură semnăturile electronice create cu ajutorul unui mediu care este în totalitate gestionat de utilizator, prestatorii care oferă servicii de semnătură electronică la distanță ar trebui să aplice proceduri de securitate a gestionării și administrării specifice și să utilizeze sisteme și produse fiabile, care să includă canale de comunicare electronică sigure, pentru a garanta fiabilitatea mediului de creare a semnăturii electronice și faptul că acest mediu este utilizat sub controlul exclusiv al semnatarului. În cazul unei semnături electronice calificate create cu ajutorul unui dispozitiv de creare a semnăturilor electronice la distanță, ar trebui să se aplice cerințele aplicabile prestatorilor de servicii de încredere calificați menționate în prezentul regulament.
(53)
Suspendarea certificatelor calificate este o practică operațională consacrată a prestatorilor de servicii de încredere într-o serie de state membre, care este diferită de revocare și atrage după sine pierderea temporară a valabilității unui certificat. Pentru asigurarea securității juridice este necesar ca statutul de suspendat al unui certificat să fie întotdeauna indicat în mod clar. În acest scop, prestatorii de servicii de încredere ar trebui să aibă responsabilitatea de a indica în mod clar statutul certificatului și, în cazul în care acesta este suspendat, perioada, indicată cu precizie, pentru care certificatul a fost suspendat. Prezentul regulament nu ar trebui să impună prestatorilor de servicii de încredere sau statelor membre utilizarea suspendării, ci ar trebui să prevadă norme de transparență în cazul în care o astfel de practică este disponibilă.
(54)
Interoperabilitatea transfrontalieră și recunoașterea certificatelor calificate reprezintă o condiție prealabilă pentru recunoașterea transfrontalieră a semnăturilor electronice calificate. Prin urmare, certificatele calificate nu ar trebui să facă obiectul niciunei cerințe obligatorii în plus față de cerințele prevăzute în prezentul regulament. Cu toate acestea, ar trebui să se permită, la nivel național, includerea unor atribute specifice, precum identificatorii unici, în cadrul certificatelor calificate, cu condiția ca aceste atribute specifice să nu afecteze interoperabilitatea transfrontalieră și recunoașterea certificatelor calificate și a semnăturilor electronice.
(55)
Certificarea de securitate informatică bazată pe standarde internaționale, de exemplu ISO 15408 și metodele de evaluare conexe și acordurile de recunoaștere reciprocă, este un instrument important pentru a verifica siguranța dispozitivelor de creare a semnăturii electronice calificate și ar trebui promovat. Cu toate acestea, soluțiile și serviciile inovatoare, cum ar fi semnarea pe telefonul mobil și semnarea în cloud, se bazează pe soluții tehnice și organizaționale pentru dispozitive de creare a semnăturii electronice calificate pentru care este posibil să nu fie încă disponibile standarde de securitate sau a căror primă certificare de securitate informatică este în curs. Nivelul de securitate al respectivelor dispozitive de creare a semnăturii electronice calificate ar putea fi evaluat prin utilizarea unor procese alternative numai în cazul în care astfel de standarde de securitate nu sunt disponibile sau în cazul în care prima certificare de securitate informatică este în desfășurare. Aceste procese ar trebui să fie comparabile cu standardele pentru certificarea în materie de securitate informatică, în măsura în care nivelurile lor de securitate sunt echivalente. Aceste procese ar putea fi facilitate de o evaluare inter pares.
(56)
Prezentul regulament ar trebui să prevadă cerințe pentru dispozitivele de creare a semnăturii electronice calificate în vederea asigurării funcționalității semnăturilor electronice avansate. Prezentul regulament nu ar trebui să reglementeze întregul mediu al sistemului în care funcționează astfel de dispozitive. Prin urmare, domeniul de aplicare al certificării dispozitivelor de creare a semnăturii calificate ar trebui să se limiteze la componentele hardware și la elementele de software de sistem utilizate pentru gestionarea și protejarea datelor aferente creării semnăturii care sunt create, stocate sau prelucrate în dispozitivul de creare a semnăturii. După cum se detaliază în standardele relevante, domeniul de aplicare al obligației de certificare ar trebui să excludă cererile de creare a semnăturii.
(57)
Pentru a asigura securitatea juridică cu privire la valabilitatea semnăturii, este esențial să se specifice în detaliu componentele unei semnături electronice calificate care ar trebui să fie evaluate de către beneficiarul care efectuează validarea. Mai mult, specificarea cerințelor pentru prestatorii de servicii de încredere calificați care pot presta un serviciu de validare calificat beneficiarilor care nu vor sau care nu pot îndeplini ei înșiși validarea semnăturilor electronice calificate ar trebui să stimuleze sectorul public și privat să investească în astfel de servicii. Ambele elemente ar trebui să facă validarea semnăturilor electronice calificate ușoară și convenabilă pentru toate părțile la nivelul Uniunii.
(58)
Atunci când o tranzacție necesită un sigiliu electronic calificat de la o persoană juridică, o semnătură electronică calificată de la reprezentantul autorizat al persoanei juridice ar trebui să fie, de asemenea, acceptabilă.
(59)
Sigiliile electronice ar trebui să servească drept dovadă că un document electronic a fost emis de către o persoană juridică, asigurând certitudinea originii și integrității documentului.
(60)
Prestatorii de servicii de încredere care eliberează certificate calificate pentru sigiliul electronic ar trebui să pună în aplicare măsurile necesare pentru a putea stabili identitatea persoanei fizice care reprezintă persoana juridică pentru care se eliberează certificatul calificat pentru sigiliul electronic, în cazul în care o astfel de identificare este necesară la nivel național în cadrul procedurilor judiciare sau administrative.
(61)
Prezentul regulament ar trebui să asigure păstrarea pe termen lung a informațiilor, pentru a asigura valabilitatea juridică a semnăturilor și sigiliilor electronice pe perioade lungi de timp și a garanta că acestea pot fi validate indiferent de schimbările tehnologice viitoare.
(62)
Pentru a asigura securitatea mărcilor temporale electronice calificate, prezentul regulament ar trebui să impună utilizarea unui sigiliu electronic avansat sau a unei semnături electronice avansate sau a altor metode echivalente. Se preconizează că inovarea poate conduce la noi tehnologii care ar putea asigura mărcilor temporale un nivel de securitate echivalent. Ori de câte ori este utilizată o altă metodă decât sigiliul electronic avansat sau semnătura electronică avansată, prestatorului de servicii de încredere calificat ar trebui să-i revină obligația să demonstreze, în cadrul raportului de evaluare a conformității, că o astfel de metodă asigură un nivel echivalent de securitate și respectă obligațiile stabilite în prezentul regulament.
(63)
Documentele electronice sunt importante pentru dezvoltarea în continuare a tranzacțiilor electronice transfrontaliere în cadrul pieței interne. Prezentul regulament ar trebui să stabilească principiul conform căruia unui document electronic nu ar trebui să i se refuze efectul juridic din motiv că acesta este în format electronic, pentru a garanta faptul că o tranzacție electronică nu va fi respinsă doar din motivul că un document este în format electronic.
(64)
Atunci când abordează formatele semnăturilor și sigiliilor electronice avansate, Comisia ar trebui să se bazeze pe practicile, standardele și legislația existente, în special pe Decizia 2011/130/UE a Comisiei (11).
(65)
În plus față de autentificarea documentului emis de persoana juridică, sigiliile electronice pot fi utilizate pentru autentificarea oricărui bun digital al persoanei juridice, precum coduri de software sau servere.
(66)
Este esențial să se prevadă un cadru juridic pentru a facilita recunoașterea transfrontalieră între sistemele juridice naționale existente în ceea ce privește serviciile de distribuție electronică înregistrată. Acest cadru ar putea genera, de asemenea, noi oportunități de piață pentru ca prestatorii de servicii de încredere ai Uniunii să ofere noi servicii paneuropene de distribuție electronică înregistrată.
(67)
Serviciile de autentificare a site-urilor internet oferă o modalitate prin care un vizitator al unui site internet poate fi sigur că în spatele site-ului internet se află o entitate autentică și legitimă. Aceste servicii contribuie la construirea încrederii în desfășurarea de activități comerciale online, întrucât utilizatorii vor avea încredere într-un site internet care a fost autentificat. Furnizarea și utilizarea serviciilor de autentificare a unui site internet sunt complet voluntare. Cu toate acestea, pentru ca autentificarea unui site internet să devină un mijloc de a spori încrederea, de a oferi utilizatorului o experiență mai bună și de a stimula creșterea economică pe piața internă, prezentul regulament ar trebui să prevadă obligații minime în materie de securitate și răspundere pentru prestatori și serviciile oferite de aceștia. În acest scop, rezultatele inițiativelor existente coordonate de entitățile din domeniu, de exemplu, Forumul autorităților de certificare/browser-elor - Forumul CA/B, au fost luate în considerare. În plus, prezentul regulament nu ar trebui să împiedice utilizarea altor mijloace sau metode pentru autentificarea unui site internet care nu intră sub incidența prezentului regulament și nici nu ar trebui să împiedice prestatorii de servicii de autentificare a site-urilor internet din țări terțe să își ofere serviciile clienților din Uniune. Cu toate acestea, prestatorii din țări terțe ar trebui să obțină recunoașterea serviciilor lor de autentificare a site-urilor internet drept servicii calificate, în conformitate cu prezentul regulament, numai în cazul în care a fost încheiat un acord internațional între Uniune și țara de stabilire a prestatorului.
(68)
Conceptul de „persoană juridică”, în conformitate cu dispozițiile din Tratatul privind funcționarea Uniunii Europene (TFUE) referitoare la stabilire, le dă operatorilor libertatea de a alege forma juridică pe care ei o consideră potrivită pentru a-și desfășura activitatea. În consecință, „persoană juridică”, în sensul din TFUE, înseamnă toate entitățile constituite în temeiul dreptului unui stat membru sau reglementate de acesta, indiferent de forma lor juridică.
(69)
Instituțiile, organele, oficiile și agențiile Uniunii sunt încurajate să recunoască identificarea electronică și serviciile de încredere reglementate de prezentul regulament în scopul cooperării administrative, bazându-se în special pe bunele practici existente și pe rezultatele proiectelor în curs de desfășurare în domeniile care fac obiectul prezentului regulament.
(70)
Pentru a completa anumite aspecte tehnice detaliate ale prezentului regulament într-o manieră flexibilă și rapidă, competența de a adopta acte în conformitate cu articolul 290 din TFUE ar trebui să fie delegată Comisiei în ceea ce privește criteriile care trebuie respectate de către organismele responsabile de certificarea dispozitivelor de creare a semnăturilor electronice calificate. Este deosebit de important ca, pe parcursul activităților pregătitoare, Comisia să desfășoare consultări adecvate, inclusiv la nivel de experți. Comisia, atunci când pregătește și elaborează acte delegate, ar trebui să asigure o transmitere simultană, în timp util și adecvată a documentelor relevante către Parlamentul European și Consiliu.
(71)
Pentru a se asigura condiții uniforme pentru punerea în aplicare a prezentului regulament, ar trebui conferite competențe de executare Comisiei, în special pentru a specifica numerele de referință ale standardelor a căror utilizare ar oferi o prezumție de conformitate cu anumite cerințe prevăzute în prezentul regulament. Respectivele competențe ar trebui exercitate în conformitate cu Regulamentul (UE) nr. 182/2011 al Parlamentului European și al Consiliului (12).
(72)
Atunci când adoptă acte delegate sau de punere în aplicare, Comisia ar trebui să țină seama în mod corespunzător de standardele și specificațiile tehnice elaborate de organizațiile și organismele de standardizare europene și internaționale, în special de Comitetul European pentru Standardizare (CEN), Institutul European de Standardizare în Telecomunicații (ETSI), Organizația Internațională de Standardizare (ISO) și Uniunea Internațională a Telecomunicațiilor (UIT), cu scopul de a asigura un nivel ridicat de securitate și interoperabilitate a serviciilor electronice de identificare și de încredere.
(73)
Din motive de securitate juridică și claritate, Directiva 1999/93/CE ar trebui abrogată.
(74)
Pentru a se asigura securitatea juridică pentru operatorii de piață care utilizează deja certificate calificate emise persoanelor fizice în conformitate cu Directiva 1999/93/CE, este necesar să se prevadă o perioadă de timp suficientă în scopuri de tranziție. În mod similar, ar trebui să se prevadă măsuri de tranziție pentru dispozitivele sigure de creare a semnăturilor a căror conformitate a fost determinată în conformitate cu Directiva 1999/93/CE, precum și pentru prestatorii de servicii de certificare care emit certificate calificate înainte de 1 iulie 2016. În cele din urmă, este necesar, de asemenea, să se furnizeze Comisiei mijloacele de a adopta actele de punere în aplicare și actele delegate înainte de data respectivă.
(75)
Datele de aplicare prevăzute în prezentul regulament nu aduc atingere obligațiilor existente pe care statele membre le au deja în temeiul dreptului Uniunii, în special în temeiul Directivei 2006/123/CE.
(76)
Deoarece obiectivele prezentului regulament nu pot fi realizate în mod satisfăcător de către statele membre, dar, având în vedere amploarea acțiunii, pot fi realizate mai bine la nivelul Uniunii, aceasta poate adopta măsuri, în conformitate cu principiul subsidiarității, astfel cum este definit la articolul 5 din Tratatul privind Uniunea Europeană. În conformitate cu principiul proporționalității, astfel cum este definit la articolul menționat, prezentul regulament nu depășește ceea ce este necesar pentru realizarea obiectivelor menționate.
(77)
Autoritatea Europeană pentru Protecția Datelor a fost consultată în conformitate cu articolul 28 alineatul (2) din Regulamentul (CE) nr. 45/2001 al Parlamentului European și al Consiliului (13) și a emis un aviz la 27 septembrie 2012 (14),
ADOPTĂ PREZENTUL REGULAMENT:
CAPITOLUL I
DISPOZIȚII GENERALE
Articolul 1
Obiect
În vederea asigurării bunei funcționări a pieței interne, vizând în același timp un nivel adecvat de securitate a mijloacelor de identificare electronică și a serviciilor de încredere, prezentul regulament:
(a)
stabilește condițiile în care statele membre recunosc mijloacele de identificare electronică a persoanelor fizice și juridice care intră sub incidența unui sistem notificat de identificare electronică al unui alt stat membru;
(b)
stabilește norme pentru serviciile de încredere, în special pentru tranzacțiile electronice; și
(c)
stabilește un cadru juridic pentru semnăturile electronice, sigiliile electronice, mărcile temporale electronice, documentele electronice, serviciile de distribuție electronică înregistrate și serviciile de certificare pentru autentificarea unui site internet.
Articolul 2
Domeniul de aplicare
(1) Prezentul regulament se aplică sistemelor de identificare electronică care au fost notificate de către un stat membru și prestatorilor de servicii de încredere cu sediul în Uniune.
(2) Prezentul regulament nu se aplică prestării de servicii de încredere care sunt utilizate exclusiv în sisteme închise care decurg din dreptul intern sau din acordurile încheiate între un set definit de participanți.
(3) Prezentul regulament nu aduce atingere dreptului intern sau al Uniunii privind încheierea și valabilitatea contractelor sau a altor obligații juridice sau procedurale privind forma.
Articolul 3
Definiții
În sensul prezentului regulament, se aplică următoarele definiții:
1.
„identificare electronică” înseamnă procesul de utilizare a datelor de identificare a persoanelor în format electronic, reprezentând în mod unic fie o persoană fizică sau juridică, fie o persoană fizică care reprezintă o persoană juridică;
2.
„mijloace de identificare electronică” înseamnă o unitate materială și/sau imaterială care conține date de identificare personală și care este folosită în scopul autentificării unui serviciu online;
3.
„date de identificare personală” înseamnă un set de date care permit stabilirea identității unei persoane fizice sau juridice sau a unei persoane fizice care reprezintă o persoană juridică;
4.
„sistem de identificare electronică” înseamnă un sistem pentru identificarea electronică în care sunt emise mijloace de identificare electronică pentru persoane fizice sau juridice sau persoane fizice reprezentând persoane juridice;
5.
„autentificare” înseamnă un proces electronic care permite confirmarea identificării electronice a unei persoane fizice sau juridice sau a originii și integrității unor date în format electronic;
6.
„beneficiar” înseamnă o persoană fizică sau juridică care beneficiază de un serviciu de identificare electronică sau de un serviciu de încredere;
7.
„organism din sectorul public” înseamnă un stat, o autoritate regională sau locală, un organism de drept public sau o asociație formată din una sau mai multe astfel de autorități sau din unul sau mai multe astfel de organisme de drept public; sau o entitate privată mandatată de cel puțin una dintre aceste autorități, organisme sau asociații să presteze servicii publice atunci când acționează în temeiul unui astfel de mandat;
8.
„organism de drept public” înseamnă un organism astfel cum este definit la articolul 2 alineatul (1) punctul 4 din Directiva 2014/24/UE a Parlamentului European și a Consiliului (15);
9.
„semnatar” înseamnă o persoană fizică care creează o semnătură electronică;
10.
„semnătură electronică” înseamnă date în format electronic, atașate la sau asociate logic cu alte date în format electronic și care sunt utilizate de semnatar pentru a semna;
11.
„semnătură electronică avansată” înseamnă o semnătură electronică ce îndeplinește cerințele prevăzute la articolul 26;
12.
„semnătură electronică calificată” înseamnă o semnătură electronică avansată care este creată de un dispozitiv de creare a semnăturilor electronice calificat și care se bazează pe un certificat calificat pentru semnăturile electronice;
13.
„date de creare a semnăturilor electronice” înseamnă date unice care sunt utilizate de semnatar pentru a crea o semnătură electronică;
14.
„certificat pentru semnătura electronică” înseamnă o atestare electronică care face legătura între datele de validare a semnăturii electronice și o persoană fizică și care confirmă cel puțin numele sau pseudonimul persoanei respective;
15.
„certificat calificat pentru semnătură electronică” înseamnă un certificat pentru semnăturile electronice care este emis de un prestator de servicii de încredere calificat și care îndeplinește cerințele prevăzute în anexa I;
16.
„serviciu de încredere” înseamnă un serviciu electronic prestat în mod obișnuit în schimbul unei remunerații, care constă în:
(a)
crearea, verificarea și validarea semnăturilor electronice, a sigiliilor electronice sau a mărcilor temporale electronice, a serviciilor de distribuție electronică înregistrată și a certificatelor aferente serviciilor respective; sau
(b)
crearea, verificarea și validarea certificatelor pentru autentificarea unui site internet; sau
(c)
păstrarea semnăturilor electronice, a sigiliilor sau a certificatelor aferente serviciilor respective;
17.
„serviciu de încredere calificat” înseamnă un serviciu de încredere care îndeplinește cerințele aplicabile prevăzute de prezentul regulament;
18.
„organism de evaluare a conformității” înseamnă un organism definit la articolul 2 punctul 13 din Regulamentul (CE) nr. 765/2008, care este acreditat în conformitate cu regulamentul în cauză ca fiind competent să efectueze evaluarea conformității unui prestator de servicii de încredere calificat și a serviciilor de încredere calificate pe care acesta le prestează;
19.
„prestator de servicii de încredere” înseamnă o persoană fizică sau juridică care prestează unul sau mai multe servicii de încredere ca prestator de servicii de încredere calificat sau necalificat;
20.
„prestator de servicii de încredere calificat” înseamnă un prestator de servicii de încredere care prestează unul sau mai multe servicii de încredere calificate și căruia i se acordă statutul de calificat de către organismul de supraveghere;
21.
„produs” înseamnă hardware sau software sau componente relevante de hardware sau software, destinate să fie utilizate pentru prestarea de servicii de încredere;
22.
„dispozitiv de creare a semnăturilor electronice” înseamnă software sau hardware configurat, utilizat pentru a crea o semnătură electronică;
23.
„dispozitiv de creare a semnăturilor electronice calificat” înseamnă un dispozitiv de creare a semnăturilor electronice care îndeplinește cerințele prevăzute în anexa II;
24.
„creatorul unui sigiliu” înseamnă o persoană juridică care creează un sigiliu electronic;
25.
„sigiliu electronic” înseamnă date în format electronic atașate la sau asociate logic cu alte date în format electronic pentru asigurarea originii și integrității acestora din urmă;
26.
„sigiliu electronic avansat” înseamnă un sigiliu electronic care îndeplinește cerințele prevăzute la articolul 36;
27.
„sigiliu electronic calificat” înseamnă un sigiliu electronic avansat care este creat de un dispozitiv de creare a sigiliilor electronice calificat și care se bazează pe un certificat calificat pentru sigiliile electronice;
28.
„date de creare a sigiliilor electronice” înseamnă date unice care sunt utilizate de creatorul sigiliului electronic pentru a crea un sigiliu electronic;
29.
„certificat pentru sigiliul electronic” înseamnă o atestare electronică care face legătura între datele de validare a sigiliului electronic și o persoană juridică și care confirmă numele persoanei respective;
30.
„certificat calificat pentru sigiliul electronic” înseamnă un certificat pentru un sigiliu electronic care este emis de un prestator de servicii de încredere calificat și care îndeplinește cerințele prevăzute în anexa III;
31.
„dispozitiv de creare a sigiliului electronic” înseamnă software sau hardware configurat, utilizat pentru a crea un sigiliu electronic;
32.
„dispozitiv de creare a sigiliului electronic calificat” înseamnă un dispozitiv de creare a sigiliului electronic care îndeplinește mutatis mutandis cerințele prevăzute în anexa II;
33.
„marcă temporală electronică” înseamnă date în format electronic care leagă alte date în format electronic de un anumit moment, stabilind dovezi că acestea din urmă au existat la acel moment;
34.
„marcă temporală electronică calificată” înseamnă o marcă temporală electronică care îndeplinește cerințele prevăzute la articolul 42;
35.
„document electronic” înseamnă orice conținut stocat în format electronic, în special sub formă de text sau de înregistrare sonoră, vizuală sau audiovizuală;
36.
„serviciu de distribuție electronică înregistrată” înseamnă un serviciu care permite transmiterea de date între părți terțe prin mijloace electronice și furnizează dovezi referitoare la manipularea datelor transmise, inclusiv dovezi privind trimiterea și primirea datelor și care protejează datele transmise împotriva riscului de pierdere, furt, deteriorare sau orice modificare neautorizată;
37.
„serviciu de distribuție electronică înregistrată calificat” înseamnă un serviciu de distribuție electronică înregistrată care îndeplinește cerințele prevăzute la articolul 44;
38.
„certificat pentru autentificarea unui site internet” înseamnă o atestare care face posibilă autentificarea unui site internet și face legătura între site-ul internet și persoana fizică sau juridică căreia i s-a emis certificatul;
39.
„certificat calificat pentru autentificarea unui site internet” înseamnă un certificat pentru autentificarea unui site internet care este emis de un prestator de servicii de încredere calificat și care îndeplinește cerințele prevăzute în anexa IV;
40.
„date de validare” înseamnă date care sunt utilizate pentru a valida o semnătură electronică sau un sigiliu electronic;
41.
„validare” înseamnă procesul prin care se verifică și se confirmă dacă o semnătură electronică sau un sigiliu electronic este validă/valid.
Articolul 4
Principiul pieței interne
(1) Nu există nicio restricție privind prestarea de servicii de încredere pe teritoriul unui stat membru de către un prestator de servicii de încredere stabilit în alt stat membru, din motive care se încadrează în domeniile reglementate de prezentul regulament.
(2) Produsele și serviciile de încredere care sunt conforme cu prezentul regulament sunt autorizate pentru a circula liber pe piața internă.
Articolul 5
Prelucrarea și protecția datelor
(1) Prelucrarea datelor cu caracter personal se efectuează în conformitate cu Directiva 95/46/CE.
(2) Fără a aduce atingere efectului juridic aferent pseudonimelor în temeiul dreptului intern, utilizarea pseudonimelor în cadrul tranzacțiilor electronice nu este interzisă.
CAPITOLUL II
IDENTIFICARE ELECTRONICĂ
Articolul 6
Recunoașterea reciprocă
(1) Atunci când este necesară o identificare electronică care utilizează un mijloc de identificare electronică și o autentificare în temeiul dreptului intern sau al practicii administrative naționale pentru a accesa un serviciu prestat online de un organism din sectorul public într-un stat membru, mijloacele de identificare electronică emise într-un alt stat membru sunt recunoscute în primul stat membru în scopul autentificării transfrontaliere a respectivului serviciu online, cu condiția să fie îndeplinite următoarele condiții:
(a)
mijloacele de identificare electronică să fie emise în cadrul unui sistem de identificare electronică inclus în lista publicată de Comisie în temeiul articolului 9;
(b)
nivelul de asigurare al respectivelor mijloace de identificare electronică să corespundă unui nivel de asigurare egal sau mai ridicat decât nivelul de asigurare impus de organismul din sectorul public relevant pentru a accesa respectivul serviciu online în primul stat membru, cu condiția ca nivelul de asigurare al mijloacelor de identificare electronică respective să corespundă nivelului de asigurare substanțial sau ridicat;
(c)
organismul din sectorul public relevant utilizează nivelul de asigurare „substanțial” sau „ridicat” în legătură cu accesarea online a serviciului respectiv.
Această recunoaștere trebuie să aibă loc în termen de cel mult 12 luni de la publicarea de către Comisie a listei menționate la primul paragraf litera (a).
(2) Mijloacele de identificare electronică eliberate în temeiul unui sistem de identificare electronică inclus în lista publicată de Comisie în conformitate cu articolul 9 și care corespund nivelului de asigurare scăzut pot fi recunoscute de către organismele din sectorul public în scopul autentificării transfrontaliere pentru serviciul furnizat online de către organismele respective.
Articolul 7
Eligibilitatea pentru notificarea sistemelor de identificare electronică
Un sistem de identificare electronică este eligibil pentru notificare în temeiul articolului 9 alineatul (1) în cazul în care sunt îndeplinite toate condițiile de mai jos:
(a)
mijloacele de identificare electronică din cadrul sistemului de identificare electronică sunt emise:
(i)
de statul membru care notifică;
(ii)
pe baza unui mandat din partea statului membru care notifică; sau
(iii)
independent de statul membru care notifică și sunt recunoscute de respectivul stat membru;
(b)
mijloacele de identificare electronică din cadrul sistemului de identificare electronică pot fi utilizate pentru a accesa cel puțin un serviciu care este prestat de un organism din sectorul public și care necesită identificarea electronică în statul membru care notifică;
(c)
sistemul de identificare electronică și mijloacele de identificare electronică emise în temeiul acestuia îndeplinesc cerințele aferente cel puțin unuia dintre nivelurile de asigurare prevăzute în actul de punere în aplicare menționat la articolul 8 alineatul (3);
(d)
statul membru care notifică se asigură că datele de identificare personală, reprezentând în mod unic persoana în cauză, sunt atribuite, în conformitate cu specificațiile, standardele și procedurile tehnice aferente nivelului de asigurare relevant prevăzut în actul de punere în aplicare menționat la articolul 8 alineatul (3), persoanei fizice sau juridice menționate la articolul 3 punctul 1 la momentul emiterii mijloacelor de identificare electronică din cadrul sistemului respectiv;
(e)
partea care emite mijloacele de identificare electronică din cadrul respectivului sistem se asigură că mijloacele de identificare electronică sunt atribuite persoanelor menționate la litera (d) de la prezentul articol, în conformitate cu specificațiile tehnice, standardele și procedurile aferente nivelului de asigurare corespunzător prevăzut în actul de punere în aplicare menționat la articolul 8 alineatul (3);
(f)
statul membru care notifică asigură disponibilitatea autentificării online, astfel încât orice beneficiar stabilit pe teritoriul altui stat membru să poată confirma datele de identificare personală primite în format electronic.
În cazul altor beneficiari decât organismele din sectorul public, statul membru care notifică poate defini condițiile de acces la mijlocul respectiv de autentificare. Autentificarea transfrontalieră este furnizată gratuit atunci când este efectuată în legătură cu un serviciu online prestat de un organism din sectorul public.
Statele membre nu impun nicio cerință tehnică specifică disproporționată beneficiarilor care intenționează să efectueze o astfel de autentificare, atunci când astfel de cerințe împiedică sau afectează semnificativ interoperabilitatea sistemelor de identificare electronică notificate;
(g)
cu cel puțin șase luni înaintea notificării în conformitate cu articolul 9 alineatul (1), statul membru care notifică furnizează celorlalte state membre, în scopul îndeplinirii obligației prevăzute la articolul 12 alineatul (5), o descriere a sistemului respectiv în conformitate cu modalitățile prevăzute în actele de punere în aplicare menționate la articolul 12 alineatul (7);
(h)
sistemul de identificare electronică îndeplinește cerințele prevăzute în actul de punere în aplicare menționat la articolul 12 alineatul (8).
Articolul 8
Niveluri de asigurare ale mijloacelor de identificare electronică
(1) Un sistem de identificare electronică notificat în temeiul articolului 9 alineatul (1) specifică nivelurile de asigurare scăzut, substanțial și/sau ridicat pentru mijloacele de identificare electronică emise în cadrul sistemului respectiv.
(2) Nivelurile de asigurare scăzut, substanțial și ridicat îndeplinesc următoarele criterii, respectiv:
(a)
nivelul de asigurare scăzut se referă la un mijloc de identificare electronică în contextul unui sistem de identificare electronică, care asigură un grad substanțial de încredere în legătură cu identitatea pretinsă sau declarată a unei persoane și care este caracterizat prin trimitere la specificațiile tehnice, la standardele și la procedurile corespunzătoare respectivului mijloc de identificare, inclusiv controalele tehnice, al căror scop este de a reduce substanțial riscul unei utilizări frauduloase sau al modificării frauduloase a identității;
(b)
nivelul de asigurare substanțial se referă la un mijloc de identificare electronică în contextul unui sistem de identificare electronică, care asigură un grad substanțial de încredere în legătură cu identitatea pretinsă sau declarată a unei persoane și care este caracterizat prin trimitere la specificațiile tehnice, la standardele și la procedurile corespunzătoare respectivului mijloc de identificare, inclusiv controalele tehnice, al căror scop este de a reduce substanțial riscul unei utilizări frauduloase sau al modificării frauduloase a identității;
(c)
nivelul de asigurare ridicat se referă la un mijloc de identificare electronică în contextul unui sistem de identificare electronică, care asigură un grad mai ridicat de încredere în legătură cu identitatea pretinsă sau declarată a unei persoane decât mijloacele de identificare electronică cu nivel de asigurare substanțial și care este caracterizat prin trimitere la specificațiile tehnice, la standardele și la procedurile corespunzătoare respectivului mijloc de identificare, inclusiv controalele tehnice, al căror scop este de a împiedica utilizarea frauduloasă sau modificarea frauduloasă a identității.
(3) Până la 18 septembrie 2015, ținând cont de standardele internaționale relevante și sub rezerva alineatului (2), Comisia, prin intermediul unor acte de punere în aplicare, stabilește specificații tehnice, standarde și proceduri minime, în raport cu care sunt specificate nivelurile de asigurare scăzut, substanțial și ridicat pentru mijloacele de identificare electronică în sensul alineatului (1).
Aceste specificații tehnice, standarde și proceduri minime se stabilesc prin trimitere la fiabilitatea și calitatea următoarelor elemente:
(a)
procedura de dovedire și de verificare a identității persoanelor fizice sau juridice care solicită emiterea mijloacelor de identificare electronică;
(b)
procedura pentru emiterea mijloacelor de identificare electronică solicitate;
(c)
mecanismul de autentificare, prin care persoana fizică sau juridică utilizează mijloacele de identificare electronică pentru a confirma identitatea sa unui beneficiar;
(d)
entitatea care emite mijloacele de identificare electronică;
(e)
oricare alt organism implicat în solicitarea emiterii mijloacelor de identificare electronică; și
(f)
specificațiile tehnice și de securitate ale mijloacelor de identificare electronică emise.
Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 9
Notificarea
(1) Statul membru care notifică înaintează Comisiei următoarele informații și, fără întârzieri nejustificate, orice modificări ulterioare ale acestora:
(a)
o descriere a sistemului de identificare electronică notificat, incluzând nivelurile sale de asigurare și emitentul sau emitenții mijloacelor de identificare electronică din cadrul sistemului;
(b)
regimul de supraveghere aplicabil și informații privind regimul de răspundere referitor la următoarele aspecte:
(i)
partea care emite mijloacele de identificare electronică; și
(ii)
partea care desfășoară procedura de autentificare;
(c)
autoritatea sau autoritățile responsabile pentru sistemul de identificare electronică;
(d)
informații privind entitatea sau entitățile care gestionează înregistrarea datelor unice de identificare personală;
(e)
o descriere a modului în care sunt îndeplinite cerințele prevăzute în actele de punere în aplicare menționate la articolul 12 alineatul (8);
(f)
o descriere a autentificării menționate la articolul 7 litera (f);
(g)
dispoziții pentru suspendarea sau revocarea sistemului de identificare electronică notificat, a autentificării sau a părților compromise în cauză.
(2) La un an de la data aplicării actelor de punere în aplicare menționate la articolul 8 alineatul (3) și la articolul 12 alineatul (8), Comisia publică în Jurnalul Oficial al Uniunii Europene o listă a sistemelor de identificare electronică care au fost notificate în temeiul alineatului (1) de la prezentul articol și informațiile de bază cu privire la acestea.
(3) În cazul în care Comisia primește o notificare după expirarea perioadei menționate la alineatul (2), aceasta publică în Jurnalul Oficial al Uniunii Europene modificările la lista menționată la alineatul (2) în termen de două luni de la data primirii respectivei notificări.
(4) Un stat membru poate înainta Comisiei o cerere de eliminare a unui sistem de identificare electronică notificat de respectivul stat membru din lista menționată la alineatul (2). Comisia publică în Jurnalul Oficial al Uniunii Europene modificările corespunzătoare aduse listei, în termen de o lună de la primirea cererii statului membru.
(5) Comisia poate, prin intermediul unor acte de punere în aplicare, să definească circumstanțele, formatele și procedurile pentru notificările în temeiul alineatului (1). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 10
Încălcarea securității
(1) În cazul în care fie sistemul de identificare electronică notificat în conformitate cu articolul 9 alineatul (1), fie autentificarea menționată la articolul 7 litera (f) este încălcată sau parțial compromisă într-un mod care afectează fiabilitatea autentificării transfrontaliere a sistemului respectiv, statul membru care notifică suspendă sau revocă, fără întârziere, respectiva autentificare transfrontalieră sau părțile compromise în cauză și informează celelalte state membre și Comisia.
(2) În cazul în care încălcarea sau compromiterea menționată la alineatul (1) este remediată, statul membru care notifică reinstituie autentificarea transfrontalieră și informează celelalte state membre și Comisia fără întârzieri nejustificate.
(3) În cazul în care încălcarea sau compromiterea menționată la alineatul (1) nu este remediată în termen de trei luni de la suspendare sau revocare, statul membru care notifică comunică celorlalte state membre și Comisiei retragerea sistemului de identificare electronică.
Comisia publică în Jurnalul Oficial al Uniunii Europene, fără întârzieri nejustificate, modificările corespunzătoare aduse listei menționate la articolul 9 alineatul (2).
Articolul 11
Răspunderea
(1) Statul membru care notifică este răspunzător pentru prejudiciul cauzat în mod intenționat sau din neglijență oricărei persoane fizice sau juridice în cadrul unei tranzacții transfrontaliere ca urmare a nerespectării obligațiilor care îi revin în temeiul articolului 7 literele (d) și (f).
(2) Partea care emite mijloacele de identificare electronică este răspunzătoare pentru prejudiciul cauzat în mod intenționat sau din neglijență oricărei persoane fizice sau juridice în cadrul unei tranzacții transfrontaliere ca urmare a nerespectării obligației menționate la articolul 7 litera (e).
(3) Partea care execută procedura de autentificare este răspunzătoare pentru prejudiciul cauzat în mod intenționat sau din neglijență oricărei persoane fizice sau juridice în cadrul unei tranzacții transfrontaliere pentru neasigurarea executării corecte a autentificării menționate la articolul 7 litera (f).
(4) Alineatele (1), (2) și (3) se aplică în conformitate cu normele de drept intern privind răspunderea.
(5) Alineatele (1), (2) și (3) nu aduc atingere răspunderii care revine, în conformitate cu dreptul intern, părților la o tranzacție în care sunt utilizate mijloace de identificare electronică care intră sub incidența sistemului de identificare electronică notificat în temeiul articolului 9 alineatul (1).
Articolul 12
Cooperarea și interoperabilitatea
(1) Sistemele naționale de identificare electronică notificate în temeiul articolului 9 alineatul (1) sunt interoperabile.
(2) În sensul alineatului (1), se stabilește un cadru de interoperabilitate.
(3) Cadrul de interoperabilitate îndeplinește următoarele criterii:
(a)
urmărește să fie neutru din punctul de vedere al tehnologiei și nu acordă prioritate niciuneia dintre soluțiile tehnice naționale specifice pentru identificarea electronică pe teritoriul statului membru;
(b)
respectă standardele europene și internaționale, atunci când este posibil;
(c)
facilitează punerea în aplicare a principiului luării în considerare a vieții private începând cu momentul conceperii (privacy by design); și
(d)
garantează că datele cu caracter personal sunt prelucrate în conformitate cu Directiva 95/46/CE.
(4) Cadru de interoperabilitate este alcătuit din următoarele elemente:
(a)
o trimitere la cerințele tehnice minime aferente nivelurilor de asigurare menționate la articolul 8;
(b)
o clasificare a nivelurilor naționale de asigurare aferente sistemelor de identificare electronică notificate în funcție de nivelurile de asigurare menționate la articolul 8;
(c)
o trimitere la cerințele tehnice minime referitoare la interoperabilitate;
(d)
o trimitere la un set minim de date de identificare personală, reprezentând în mod unic o persoană fizică sau juridică, care sunt disponibile din sistemele de identificare electronică;
(e)
regulamentul de procedură;
(f)
dispoziții referitoare la soluționarea litigiilor; și
(g)
standarde de securitate operaționale comune.
(5) Statele membre cooperează cu privire la următoarele aspecte:
(a)
interoperabilitatea sistemelor de identificare electronică notificate în conformitate cu articolul 9 alineatul (1) și a sistemelor de identificare electronică pe care statele membre intenționează să le notifice; și
(b)
securitatea sistemelor de identificare electronică.
(6) Cooperarea dintre statele membre constă în:
(a)
schimbul de informații, de experiență și de bune practici privind sistemele de identificare electronică și, în special, cerințele tehnice referitoare la interoperabilitate și la nivelurile de asigurare;
(b)
schimbul de informații, de experiență și de bune practici cu privire la modul de lucru cu nivelurile de asigurare ale sistemelor de identificare electronică menționate la articolul 8;
(c)
evaluarea inter pares privind sistemele de identificare electronică care fac obiectul prezentului regulament; și
(d)
analiza evoluțiilor relevante din domeniul identificării electronice.
(7) Până la 18 martie 2015, Comisia stabilește, prin intermediul actelor de punere în aplicare, modalitățile procedurale necesare pentru a facilita cooperarea între statele membre menționate la alineatele (5) și (6), în vederea stimulării unui nivel ridicat de încredere și securitate corespunzător gradului de risc.
(8) Până la 18 septembrie 2015, în vederea stabilirii de condiții uniforme pentru punerea în aplicare a cerinței menționate la alineatul (1), sub rezerva criteriilor stabilite la alineatul (3) și luând în considerare rezultatele cooperării dintre statele membre, Comisia adoptă acte de punere în aplicare privind cadrul de interoperabilitate, astfel cum este prevăzut la alineatul (4).
(9) Actele de punere în aplicare menționate la alineatele (7) și (8) de la prezentul articol se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
CAPITOLUL III
SERVICII DE ÎNCREDERE
SECȚIUNEA 1
Dispoziții generale
Articolul 13
Răspunderea și sarcina probei
(1) Fără a aduce atingere alineatului (2), prestatorii de servicii de încredere sunt răspunzători pentru prejudiciile cauzate în mod intenționat sau din neglijență oricărei persoane fizice sau juridice ca urmare a nerespectării obligațiilor prevăzute în prezentul regulament.
Sarcina de a proba intenția sau neglijența unui prestator de servicii de încredere necalificat revine persoanei fizice sau juridice care introduce o acțiune în despăgubiri pentru prejudiciul menționat la primul paragraf.
Prezumția de intenție sau de neglijență se aplică unui prestator de servicii de încredere calificat, cu excepția cazului în care acesta dovedește că prejudiciul menționat la primul paragraf nu a intervenit din intenția sau din neglijența prestatorului de servicii de încredere calificat.
(2) În cazul în care prestatorii de servicii de încredere își informează clienții în prealabil în mod corespunzător cu privire la restricțiile privind utilizarea serviciilor pe care aceștia le prestează și în cazul în care aceste restricții pot fi recunoscute de părțile terțe, prestatorii de servicii de încredere nu sunt răspunzători pentru prejudiciile rezultate din utilizarea serviciilor care depășesc restricțiile indicate.
(3) Alineatele (1) și (2) se aplică în conformitate cu normele de drept intern privind răspunderea.
Articolul 14
Aspecte internaționale
(1) Serviciile de încredere prestate de prestatori de servicii de încredere stabiliți într-o țară terță sunt recunoscute ca fiind echivalente din punct de vedere juridic cu serviciile electronice de încredere calificate prestate de prestatori de servicii de încredere calificați stabiliți în Uniune dacă serviciile de încredere care provin din țara terță sunt recunoscute în temeiul unui acord încheiat între Uniune și țara terță în cauză sau o organizație internațională în conformitate cu articolul 218 din TFUE.
(2) Acordurile menționate la alineatul (1) garantează, în special, că:
(a)
cerințele aplicabile prestatorilor de servicii de încredere calificați stabiliți în Uniune și serviciilor de încredere calificate pe care aceștia le prestează sunt îndeplinite de prestatorii de servicii de încredere din țara terță sau de organizațiile internaționale cu care a fost încheiat acordul, precum și de serviciile de încredere pe care aceștia le prestează;
(b)
serviciile de încredere calificate prestate de prestatori de servicii de încredere calificați stabiliți în Uniune sunt recunoscute ca echivalente din punct de vedere juridic cu serviciile de încredere prestate de prestatorii de servicii de încredere din țara terță sau de organizația internațională cu care a fost încheiat acordul.
Articolul 15
Accesibilitatea pentru persoanele cu handicap
Dacă este posibil, serviciile de încredere prestate și produsele destinate utilizatorului final utilizate pentru prestarea serviciilor respective sunt accesibile persoanelor cu handicap.
Articolul 16
Sancțiuni
Statele membre stabilesc normele referitoare la sancțiunile aplicabile în cazul încălcării prezentului regulament. Sancțiunile prevăzute sunt eficace, proporționale și disuasive.
SECȚIUNEA 2
Supravegherea
Articolul 17
Organismul de supraveghere
(1) Statele membre desemnează un organism de supraveghere stabilit pe teritoriul lor sau, de comun acord cu un alt stat membru, un organism de supraveghere stabilit în acel stat membru. Organismul respectiv este responsabil de sarcinile de supraveghere în statul membru care l-a desemnat.
Organismelor de supraveghere li se conferă competențele necesare și resursele adecvate pentru exercitarea sarcinilor lor.
(2) Statele membre notifică Comisiei denumirile și adresele organismelor lor de supraveghere desemnate.
(3) Rolul organismului de supraveghere constă în:
(a)
supravegherea prestatorilor de servicii de încredere calificați stabiliți pe teritoriul statului membru care l-a desemnat pentru a se asigura, prin intermediul activităților de supraveghere ex ante și ex post, că respectivii prestatori de servicii de încredere calificați, precum și serviciile de încredere calificate pe care le prestează, îndeplinesc cerințele stabilite în prezentul regulament;
(b)
luarea de măsuri, după caz, în legătură cu prestatorii de servicii de încredere necalificați stabiliți pe teritoriul statului membru care l-a desemnat, prin intermediul activităților de supraveghere ex post, atunci când este informat că există presupunerea că respectivii prestatori de servicii de încredere calificați sau serviciile de încredere pe care le prestează nu îndeplinesc cerințele stabilite în prezentul regulament.
(4) În sensul alineatului (3) și sub rezerva restricțiilor prevăzute de acesta, sarcinile organismului de supraveghere includ, în special:
(a)
să coopereze cu alte organisme de supraveghere și să acorde asistență acestora, în conformitate cu articolul 18;
(b)
să efectueze analiza rapoartelor de evaluare a conformității menționate la articolul 20 alineatul (1) și la articolul 21 alineatul (1);
(c)
să informeze celelalte organisme de supraveghere și publicul cu privire la încălcarea securității sau la pierderea integrității, în conformitate cu articolul 19 alineatul (2);
(d)
să raporteze Comisiei cu privire la activitățile sale principale, în conformitate cu alineatul (6) de la prezentul articol;
(e)
să realizeze audituri sau să solicite unui organism de evaluare a conformității să efectueze o evaluare a conformității prestatorilor de servicii de încredere calificați, în conformitate cu articolul 20 alineatul (2);
(f)
să coopereze cu autoritățile de protecție a datelor, în special prin informarea acestora, fără întârzieri nejustificate, cu privire la rezultatele auditurilor prestatorilor de servicii de încredere calificați, în cazul în care se presupune că normele de protecție a datelor cu caracter personal au fost încălcate;
(g)
să acorde statutul de calificat prestatorilor de servicii de încredere, precum și serviciilor pe care aceștia le prestează și să retragă statutul respectiv, în conformitate cu articolele 20 și 21;
(h)
să informeze organismul responsabil cu lista sigură națională menționată la articolul 22 alineatul (3) cu privire la deciziile sale de acordare sau de retragere a statutului de calificat, cu excepția cazului în care respectivul organism este și organism de supraveghere;
(i)
să verifice existența și aplicarea corectă a dispozițiilor privind planurile de încetare a serviciului în cazurile în care prestatorul de servicii de încredere calificat își încetează activitățile, inclusiv modul în care informațiile sunt păstrate accesibile, în conformitate cu articolul 24 alineatul (2) litera (h);
(j)
să solicite prestatorilor de servicii de încredere să remedieze orice neîndeplinire a cerințelor prevăzute în prezentul regulament.
(5) Statele membre pot să solicite organismului de supraveghere să stabilească, să mențină și să actualizeze o infrastructură de asigurare a încrederii în conformitate cu condițiile stabilite de dreptul intern.
(6) În fiecare an, până la 31 martie, fiecare organism de supraveghere înaintează Comisiei un raport privind principalele activități desfășurate în anul calendaristic anterior, însoțit de un rezumat al notificărilor încălcărilor primit de la prestatorii de servicii de încredere, în conformitate cu articolul 19 alineatul (2).
(7) Comisia pune la dispoziția statelor membre raportul anual menționat la alineatul (6).
(8) Comisia poate, prin intermediul unor acte de punere în aplicare, să definească formatele și procedurile pentru raportul menționat la alineatul (6). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 18
Asistență reciprocă
(1) Organismele de supraveghere cooperează cu scopul de a face schimb de bune practici.
Pe baza unei solicitări justificate din partea unui alt organism de supraveghere, un organism de supraveghere acordă respectivului organism asistență astfel încât activitățile organismelor de supraveghere să poată fi desfășurate în mod coerent. Asistența reciprocă poate viza, în special, solicitările de informații și măsurile de supraveghere, cum ar fi solicitările de a desfășura inspecții legate de rapoartele de evaluare a conformității menționate la articolele 20 și 21.
(2) Un organism de supraveghere căruia i se adresează o solicitare de asistență poate respinge respectiva solicitare din oricare dintre următoarele motive:
(a)
organismul de supraveghere nu are competența de a acorda asistența solicitată;
(b)
asistența solicitată nu este proporțională cu activitățile de supraveghere ale organismului de supraveghere desfășurate în conformitate cu articolul 17;
(c)
acordarea asistenței solicitate ar contraveni prezentului regulament.
(3) După caz, statele membre pot autoriza organismele lor de supraveghere să efectueze anchete comune în care este implicat personalul din organismele de supraveghere ale celorlalte state membre. Mecanismele și procedurile pentru astfel de acțiuni în comun sunt convenite și stabilite de către statele membre în cauză, în conformitate cu dreptul lor intern.
Articolul 19
Cerințe de securitate aplicabile prestatorilor de servicii de încredere
(1) Prestatorii de servicii de încredere calificați și necalificați iau măsurile tehnice și organizaționale corespunzătoare pentru gestionarea riscurilor la adresa securității serviciilor de încredere pe care le prestează. Ținând cont de cele mai recente evoluții tehnologice, aceste măsuri garantează că nivelul securității este proporțional cu gradul de risc. În special, se iau măsuri pentru a preveni și minimiza impactul incidentelor legate de securitate și pentru a informa părțile interesate cu privire la efectele negative ale oricăror incidente de acest tip.
(2) Prestatorii de servicii de încredere calificați și necalificați notifică, fără întârzieri nejustificate, însă, în orice caz, în termen de 24 de ore după ce au aflat, organismului de supraveghere competent și, dacă este cazul, altor organisme relevante, cum sunt organismul național competent pentru securitatea informațiilor sau autoritatea pentru protecția datelor, orice încălcare a securității sau pierdere a integrității care are un impact semnificativ asupra serviciului de încredere prestat sau asupra datelor cu caracter personal păstrate de acesta.
Atunci când încălcarea securității sau pierderea integrității este de natură să afecteze în mod negativ o persoană fizică sau juridică căreia i-a fost prestat serviciul de încredere, prestatorul de servicii de încredere notifică, de asemenea, persoanei fizice sau juridice încălcarea securității sau pierderea integrității fără întârzieri nejustificate.
După caz, în special dacă o încălcare a securității sau o pierdere a integrității se referă la două sau mai multe state membre, organismul de supraveghere notificat informează organismele de supraveghere vizate din alte state membre și ENISA.
Organismul de supraveghere notificat informează publicul sau solicită prestatorului de servicii de încredere să facă acest lucru, în cazul în care consideră că dezvăluirea încălcării securității sau pierderea integrității servește interesului public.
(3) Organismul de supraveghere furnizează ENISA, o dată pe an, un rezumat al notificărilor privind încălcarea securității sau pierderea integrității primite de la prestatorii de servicii de încredere.
(4) Prin intermediul unor acte de punere în aplicare, Comisia poate:
(a)
elabora specificații suplimentare referitoare la măsurile menționate la alineatul (1); și
(b)
defini formatele și procedurile, inclusiv termenele, aplicabile în sensul alineatului (2).
Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
SECȚIUNEA 3
Servicii de încredere calificate
Articolul 20
Supravegherea prestatorilor de servicii de încredere calificați
(1) Prestatorii de servicii de încredere calificați sunt auditați, pe propria cheltuială, cel puțin o dată la 24 de luni, de către un organism de evaluare a conformității. Scopul auditului este de a confirma că prestatorii de servicii de încredere calificați și serviciile de încredere calificate pe care le prestează îndeplinesc cerințele prevăzute în prezentul regulament. Prestatorii de servicii de încredere calificați transmit raportul de evaluare a conformității care a rezultat organismului de supraveghere în termen de trei zile lucrătoare de la primirea lui.
(2) Fără a aduce atingere alineatului (1), organismul de supraveghere poate, în orice moment, să efectueze un audit sau să solicite unui organism de evaluare a conformității să efectueze o evaluare a conformității privind prestatorii de servicii de încredere calificați, pe cheltuiala prestatorilor de servcii de încredere respectivi, pentru a confirma că aceștia și serviciile de încredere calificate pe care le prestează îndeplinesc cerințele prevăzute în prezentul regulament. În cazul în care normele de protecție a datelor cu caracter personal par să fi fost încălcate, organismul de supraveghere informează autoritățile pentru protecția datelor cu privire la rezultatele auditurilor sale.
(3) În cazul în care organismul de supraveghere solicită prestatorului de servicii de încredere calificat să remedieze neîndeplinirea obligațiilor care îi revin în temeiul prezentului regulament, iar respectivul prestator nu acționează în consecință și, după caz, într-un termen stabilit de organismul de supraveghere, organismul de supraveghere, ținând seama în special de amploarea, de durata și de consecințele respectivei neîndepliniri, poate retrage statutul de calificat al respectivului prestator sau al serviciului prestat de acesta care este afectat și informează organismul menționat la articolul 22 alineatul (3) în scopul actualizării listelor sigure menționate la articolul 22 alineatul (1). Organismul de supraveghere informează prestatorul de servicii de încredere calificat cu privire la retragerea statutului de calificat, al său sau al serviciului în cauză.
(4) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință ale următoarelor standarde:
(a)
pentru acreditarea organismelor de evaluare a conformității și pentru raportul de evaluare a conformității menționat la alineatul (1);
(b)
privind normele de audit în temeiul cărora organismele de evaluare a conformității își vor desfășura evaluarea conformității prestatorilor de servicii de încredere calificați, astfel cum se menționează la alineatul (1).
Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 21
Inițierea unui serviciu de încredere calificat
(1) În cazul în care prestatorii de servicii de încredere care nu au statutul de calificat intenționează să înceapă să presteze servicii de încredere calificate, aceștia transmit organismului de supraveghere o notificare a intenției lor, împreună cu un raport de evaluare a conformității emis de un organism de evaluare a conformității.
(2) Organismul de supraveghere verifică dacă prestatorul de servicii de încredere și serviciile de încredere prestate de acesta respectă cerințele prevăzute în prezentul regulament și, în special, cerințele pentru prestatorii de servicii de încredere calificați și pentru serviciile de încredere calificate prestate de aceștia.
În cazul în care organismul de supraveghere ajunge la concluzia că prestatorul de servicii de încredere și serviciile de încredere prestate de acesta respectă cerințele menționate în primul paragraf, organismul de supraveghere acordă statutul de calificat prestatorului de servicii de încredere și serviciilor de încredere prestate de acesta și informează organismul menționat la articolul 22 alineatul (3) în scopul actualizării listelor sigure menționate la articolul 22 alineatul (1), în termen de maximum trei luni de la notificare în conformitate cu alineatul (1) de la prezentul articol.
În cazul în care verificarea nu este încheiată în termen de trei luni de la notificare, organismul de supraveghere informează prestatorul de servicii de încredere, specificând motivele întârzierii și termenul în care se încheie verificarea.
(3) Prestatorii de servicii de încredere calificați pot începe furnizarea serviciului de încredere calificat după ce statutul de calificat a fost indicat în listele sigure menționate la articolul 22 alineatul (1).
(4) Comisia poate, prin intermediul unor acte de punere în aplicare, să definească formatele și procedurile în sensul alineatelor (1) și (2). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 22
Listele sigure
(1) Fiecare stat membru instituie, menține și publică liste care includ informații referitoare la prestatorii de servicii de încredere calificați pentru care este responsabil, împreună cu informații referitoare la serviciile de încredere calificate prestate de aceștia.
(2) Statele membre instituie, mențin și publică, în mod securizat, listele sigure semnate sau sigilate electronic menționate la alineatul (1), într-o formă adecvată pentru prelucrarea automată.
(3) Statele membre notifică Comisiei, fără întârzieri nejustificate, informații cu privire la organismul responsabil pentru instituirea, menținerea și publicarea listelor sigure naționale și detalii despre locul unde sunt publicate aceste liste, certificatele utilizate pentru semnarea sau sigilarea listelor sigure și orice modificări ale acestora.
(4) Comisia pune la dispoziția publicului, printr-un canal sigur, informațiile menționate la alineatul (3) într-o formă purtând o semnătură electronică sau un sigiliu electronic adecvate pentru prelucrarea automată.
(5) Până la 18 septembrie 2015, Comisia specifică, prin intermediul unor acte de punere în aplicare, informațiile menționate la alineatul (1) și definește specificațiile tehnice și formatele pentru listele sigure aplicabile în sensul alineatelor (1)-(4). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 23
Marca de încredere a UE pentru serviciile de încredere calificate
(1) După indicarea statutului de calificat menționat la articolul 21 alineatul (2) al doilea paragraf pe lista sigură menționată la articolul 22 alineatul (1), prestatorii de servicii de încredere calificați pot utiliza o marcă de încredere a UE pentru a indica într-un mod simplu, ușor de recunoscut și clar serviciile de încredere calificate pe care le prestează.
(2) În cazul utilizării mărcii de încredere a UE pentru serviciile de încredere calificate menționate la alineatul (1), prestatorii de servicii de încredere calificați se asigură că pe site-ul lor internet este disponibil un link către lista sigură relevantă.
(3) Până la 1 iulie 2015, Comisia, prin intermediul unor acte de punere în aplicare, stabilește specificațiile referitoare la forma și, în special, prezentarea, componența, mărimea și designul mărcii de încredere a UE pentru serviciile de încredere calificate. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 24
Cerințe pentru prestatorii de servicii de încredere calificați
(1) Atunci când emite un certificat calificat pentru un serviciu de încredere, un prestator de servicii de încredere calificat verifică, prin mijloace corespunzătoare și în conformitate cu legislația națională, identitatea și, atunci când este cazul, atributele specifice ale persoanei fizice sau juridice căreia i s-a emis un certificat calificat.
Informațiile menționate la primul paragraf sunt verificate de prestatorul de servicii de încredere calificat, fie direct, fie prin intermediul unei părți terțe, în conformitate cu dreptul intern:
(a)
de către persoana fizică sau de către un reprezentant autorizat al persoanei juridice, în persoană; sau
(b)
de la distanță, utilizând mijloace de identificare electronică pentru care, înainte de eliberarea certificatului calificat, a fost asigurată prezența fizică a persoanei fizice sau a unui reprezentant autorizat al persoanei juridice și care îndeplinesc cerințele stabilite la articolul 8 în ceea ce privește nivelurile de asigurare „substanțial” sau „ridicat”; sau
(c)
prin intermediul unui certificat, al unei semnături electronice calificate sau al unui sigiliu electronic calificat emis în conformitate cu dispozițiile de la litera (a) sau (b); sau
(d)
prin utilizarea altor metode de identificare recunoscute la nivel național, care oferă un nivel de asigurare echivalent din perspectiva fiabilității cu prezența fizică. Nivelul de asigurare echivalent este confirmat de un organism de evaluare a conformității.
(2) Un prestator de servicii de încredere calificat care prestează servicii de încredere calificate:
(a)
informează organismul de supraveghere cu privire la orice schimbare survenită în prestarea sa de servicii de încredere calificate și cu privire la vreo intenție de a își înceta activitatea respectivă;
(b)
angajează personal și, după caz, subcontractanți care dețin cunoștințele, credibilitatea, experiența și calificările necesare și care au beneficiat de formare adecvată în ceea ce privește normele de siguranță și protecție a datelor cu caracter personal și aplică proceduri administrative și de gestiune care corespund standardelor europene sau internaționale;
(c)
în ceea ce privește riscul de răspundere pentru daune în conformitate cu articolul 13, menține suficiente resurse financiare și/sau obține o asigurare de răspundere adecvată, în conformitate cu dreptul intern;
(d)
înainte de stabilirea unei relații contractuale, informează, în mod clar și cuprinzător, orice persoană care dorește să utilizeze un serviciu de încredere calificat de clauzele și condițiile exacte privind utilizarea acelui serviciu, inclusiv orice restricție privind utilizarea acestuia;
(e)
utilizează sisteme și produse demne de încredere care sunt protejate împotriva modificărilor și asigură siguranța tehnică și fiabilitatea proceselor susținute de acestea;
(f)
utilizează sisteme demne de încredere pentru a stoca datele care îi sunt furnizate, într-o formă care poate fi verificată, astfel încât:
(i)
acestea să fie disponibile publicului pentru cercetări numai în cazul în care a fost obținut consimțământul persoanei la care se referă datele;
(ii)
numai persoanele autorizate să poată introduce și modifica datele stocate;
(iii)
autenticitatea datelor să poată fi controlată;
(g)
ia măsuri adecvate împotriva falsificării și furtului de date;
(h)
înregistrează și menține accesibile pentru o perioadă de timp corespunzătoare, inclusiv ulterior încetării activității prestatorului de servicii de încredere calificat, toate informațiile relevante referitoare la datele emise și primite de către prestatorul de servicii de încredere calificat, în special în scopul de a furniza dovezi în procedurile judiciare și în scopul asigurării continuității serviciului. Aceste înregistrări pot fi efectuate în mod electronic;
(i)
are un plan actualizat, în cazul încetării serviciului, pentru a asigura continuitatea serviciului conform dispozițiilor verificate de către organismul de supraveghere, în conformitate cu articolul 17 alineatul (4) litera (i);
(j)
asigură prelucrarea legală a datelor cu caracter personal în conformitate cu Directiva 95/46/CE;
(k)
în cazul prestatorilor de servicii de încredere calificați care eliberează certificate calificate, instituie și actualizează permanent o bază de date a certificatelor.
(3) Dacă un prestator de servicii de încredere calificat care eliberează certificate calificate decide să revoce un certificat, acesta înregistrează respectiva revocare în baza sa de date privind certificatele și publică statutul de revocat al certificatului în timp util și în orice caz în termen de 24 de ore de la primirea cererii. Revocarea intră în vigoare imediat după publicare.
(4) Cu privire la alineatul (3), prestatorii de servicii de încredere calificați care emit certificate calificate furnizează oricărui beneficiar informații cu privire la valabilitatea sau revocarea statutului de certificate calificate emise de aceștia. Aceste informații sunt puse la dispoziție cel puțin pentru fiecare certificat în parte, în orice moment și după expirarea perioadei de valabilitate a certificatului, în mod automat, fiabil, gratuit și eficient.
(5) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numerele de referință ale standardelor pentru sisteme și produse demne de încredere, care respectă cerințele prevăzute la alineatul (2) literele (e) și (f) de la prezentul articol. În cazul în care sistemele și produsele demne de încredere respectă standardele respective, se presupune că acestea respectă cerințele prevăzute la prezentul articol. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
SECȚIUNEA 4
Semnătura electronică
Articolul 25
Efectele juridice ale semnăturilor electronice
(1) Unei semnături electronice nu i se refuză efectul juridic și posibilitatea de a fi acceptată ca probă în procedurile judiciare doar din motiv că aceasta este în format electronic sau că nu îndeplinește cerințele pentru semnăturile electronice calificate.
(2) O semnătură electronică calificată are efectul juridic echivalent al unei semnături olografe.
(3) O semnătură electronică calificată bazată pe un certificat calificat eliberat de un stat membru este recunoscută drept semnătură electronică calificată în toate celelalte state membre.
Articolul 26
Cerințe pentru semnături electronice avansate
O semnătura electronică avansată îndeplinește următoarele cerințe:
(a)
face trimitere exclusiv la semnatar;
(b)
permite identificarea semnatarului;
(c)
este creată utilizând date de creare a semnăturilor electronice pe care semnatarul le poate utiliza, cu un nivel ridicat de încredere, exclusiv sub controlul său; și
(d)
este legată de datele utilizate la semnare astfel încât orice modificare ulterioară a datelor poate fi detectată.
Articolul 27
Semnăturile electronice în cadrul serviciilor publice
(1) În cazul în care un stat membru solicită o semnătură electronică avansată pentru utilizarea în cadrul unui serviciu online prestat de către un organism din sectorul public sau în numele acestuia, respectivul stat membru recunoaște semnăturile electronice avansate, semnăturile electronice avansate bazate pe un certificat calificat pentru semnături electronice și semnăturile electronice calificate care întrebuințează cel puțin formatele sau metodele definite în actele de punere în aplicare menționate la alineatul (5).
(2) În cazul în care un stat membru solicită o semnătură electronică avansată bazată pe un certificat calificat pentru utilizarea în cadrul unui serviciu online prestat de către un organism din sectorul public sau în numele acestuia, respectivul stat membru recunoaște semnăturile electronice avansate bazate pe un certificat calificat și semnăturile electronice calificate care întrebuințează cel puțin formatele sau metodele definite în actele de punere în aplicare menționate la alineatul (5).
(3) Statele membre nu solicită o semnătură electronică la un nivel de securitate mai ridicat decât cel al semnăturii electronice calificate pentru utilizarea transfrontalieră a unui serviciu online prestat de un organism din sectorul public.
(4) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință ale standardelor pentru semnături electronice avansate. În cazul în care o semnătură electronică avansată îndeplinește respectivele standarde, se presupune că aceasta respectă cerințele referitoare la semnăturile electronice avansate menționate în prezentul articol alineatele (1) și (2) și la articolul 26. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
(5) Până la 18 septembrie 2015 și ținând cont de practicile, standardele și actele juridice ale Uniunii existente, Comisia definește, prin intermediul unor acte de punere în aplicare, formate de referință ale semnăturilor electronice avansate sau metode de referință, în cazul în care sunt utilizate formate alternative. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 28
Certificate calificate pentru semnăturile electronice
(1) Certificatele calificate pentru semnăturile electronice îndeplinesc cerințele prevăzute în anexa I.
(2) Certificatele calificate pentru semnăturile electronice nu fac obiectul niciunei cerințe obligatorii în plus față de cerințele prevăzute în anexa I.
(3) Certificatele calificate pentru semnăturile electronice pot include atribute specifice suplimentare facultative. Aceste atribute nu afectează interoperabilitatea și recunoașterea semnăturilor electronice calificate.
(4) În cazul în care un certificat calificat pentru semnăturile electronice a fost revocat după activarea inițială, acesta își pierde valabilitatea din momentul în care a fost revocat și nu se revine în niciun caz la statutul său anterior.
(5) Sub rezerva următoarelor condiții, statele membre pot să stabilească norme interne cu privire la suspendarea temporară a unui certificat calificat pentru semnătura electronică:
(a)
în cazul în care un certificat calificat pentru semnătura electronică a fost suspendat temporar, acest certificat își pierde valabilitatea pe parcursul perioadei de suspendare;
(b)
perioada de suspendare este clar indicată în baza de date privind certificatele și statutul de suspendat este vizibil, pe perioada suspendării, din serviciul care oferă informații privind statutul certificatului.
(6) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință ale standardelor pentru certificatele calificate pentru semnătura electronică. În cazul în care un certificat calificat pentru semnătura electronică îndeplinește standardele respective, se presupune că acesta respectă cerințele prevăzute în anexa I. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 29
Cerințe pentru dispozitivele de creare a semnăturilor electronice calificate
(1) Dispozitivele de creare a semnăturilor electronice calificate îndeplinesc cerințele prevăzute în anexa II.
(2) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință ale standardelor pentru dispozitivele de creare a semnăturilor electronice calificate. În cazul în care un dispozitiv de creare a semnăturilor electronice calificat îndeplinește standardele respective, se presupune că acesta respectă cerințele prevăzute în anexa II. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 30
Certificarea dispozitivelor de creare a semnăturilor electronice calificate
(1) Conformitatea dispozitivelor de creare a semnăturii electronice calificate cu cerințele prevăzute în anexa II este certificată de organisme publice sau private adecvate desemnate de statele membre.
(2) Statele membre notifică Comisiei denumirile și adresele organismului public sau privat menționat la alineatul (1). Comisia pune informațiile respective la dispoziția statelor membre.
(3) Certificarea menționată la alineatul (1) se bazează pe unul dintre următoarele elemente:
(a)
un proces de evaluare de securitate efectuat în conformitate cu unul dintre standardele pentru evaluarea securității produselor din domeniul tehnologiei informației incluse în lista instituită în conformitate cu al doilea paragraf; sau
(b)
un alt proces decât procesul prevăzut la litera (a), cu condiția ca acest proces să utilizeze niveluri de securitate comparabile și ca organismul public sau privat menționat la alineatul (1) să notifice Comisiei respectivul proces. Procesul respectiv poate fi utilizat numai în absența standardelor menționate la litera (a) sau dacă un proces de evaluare de securitate menționat la litera (a) este în curs de desfășurare.
Comisia stabilește, prin intermediul unor acte de punere în aplicare, lista standardelor pentru evaluarea de securitate a produselor din domeniul tehnologiei informației menționate la litera (a). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
(4) Comisia este împuternicită să adopte acte delegate în conformitate cu articolul 47 privind stabilirea de criterii specifice care urmează să fie îndeplinite de către organismele desemnate menționate la alineatul (1) de la prezentul articol.
Articolul 31
Publicarea unei liste a dispozitivelor de creare a semnăturilor electronice certificate și calificate
(1) Statele membre notifică Comisiei, fără întârzieri nejustificate și în termen de maximum o lună de la încheierea certificării, informații cu privire la dispozitivele de creare a semnăturilor electronice calificate care au fost certificate de către organismele menționate la articolul 30 alineatul (1). De asemenea, statele membre notifică Comisiei, fără întârziere și în termen de maximum o lună de la anularea certificării, informații cu privire la dispozitivele de creare a semnăturii electronice care nu mai sunt certificate.
(2) Pe baza informațiilor primite, Comisia stabilește, publică și menține o listă a dispozitivelor de creare a semnăturilor electronice certificate și calificate.
(3) Comisia poate, prin intermediul unor acte de punere în aplicare, să definească formatele și procedurile aplicabile în sensul alineatului (1). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 32
Cerințe pentru validarea semnăturilor electronice calificate
(1) Procesul de validare a unei semnături electronice calificate confirmă validitatea unei semnături electronice calificate cu următoarele condiții:
(a)
certificatul care stă la baza semnăturii a fost, la momentul semnării, un certificat calificat pentru semnătura electronică în conformitate cu anexa I;
(b)
certificatul calificat a fost emis de un prestator de servicii de încredere calificat și a fost valabil în momentul semnării;
(c)
datele de validare a semnăturilor corespund datelor furnizate de beneficiar;
(d)
setul unic de date care reprezintă semnatarul în certificat este furnizat corect beneficiarului;
(e)
utilizarea vreunui pseudonim este indicată clar beneficiarului în cazul în care la momentul semnării s-a folosit un pseudonim;
(f)
semnătura electronică a fost creată printr-un dispozitiv de creare a semnăturilor electronice calificat;
(g)
integritatea datelor semnate nu a fost compromisă;
(h)
cerințele prevăzute la articolul 26 au fost îndeplinite la momentul semnării.
(2) Sistemul utilizat pentru validarea semnăturii electronice calificate furnizează beneficiarului rezultatul corect al procesului de validare și permite beneficiarului să detecteze orice aspect relevant pentru securitate.
(3) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință ale standardelor pentru validarea semnăturilor electronice calificate. În cazul în care validarea semnăturilor electronice calificate îndeplinește standardele respective, se presupune că aceasta respectă cerințele prevăzute la alineatul (1). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 33
Serviciul calificat de păstrare a semnăturilor electronice calificate
(1) Un serviciu de validare calificat pentru semnături electronice calificate poate fi prestat numai de către un prestator de servicii de încredere calificat care:
(a)
realizează validarea în conformitate cu articolul 32 alineatul (1); și
(b)
permite beneficiarilor să primească rezultatul procesului de validare în mod automat, fiabil, eficient și care poartă semnătura electronică avansată sau sigiliul electronic avansat al prestatorului care oferă serviciul de validare calificat.
(2) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință pentru standardele referitoare la serviciul de validare calificat menționat la alineatul (1). În cazul în care serviciul de validare a semnăturilor electronice calificate îndeplinește standardele respective, se prezumă că acesta respectă cerințele prevăzute la alineatul (1). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 34
Serviciul calificat de păstrare a semnăturilor electronice calificate
(1) Un serviciu calificat de păstrare a semnăturilor electronice calificate poate fi prestat numai de către un prestator de servicii de încredere calificat care utilizează proceduri și tehnologii capabile să extindă fiabilitatea semnăturilor electronice calificate dincolo de perioada de validitate tehnologică.
(2) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință ale standardelor pentru serviciul calificat de păstrare a semnăturilor electronice calificate. În cazul în care dispozițiile privind serviciul calificat de păstrare a semnăturilor electronice calificate îndeplinesc standardele respective, se presupune că acestea respectă cerințele prevăzute la alineatul (1). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
SECȚIUNEA 5
Sigiliile electronice
Articolul 35
Efectele juridice ale sigiliilor electronice
(1) Unui sigiliu electronic nu i se refuză efectul juridic și posibilitatea de a fi acceptat ca probă în procedurile judiciare doar din motiv că acesta este sub formă electronică sau că nu îndeplinește cerințele pentru sigiliile electronice calificate.
(2) Un sigiliu electronic calificat beneficiază de prezumția integrității datelor și a corectitudinii originii respectivelor date la care se referă sigiliul electronic calificat.
(3) Un sigiliu electronic calificat bazat pe un certificat calificat eliberat de un stat membru este recunoscut drept sigiliu electronic calificat în toate celelalte state membre.
Articolul 36
Cerințele pentru sigiliile electronice avansate
Un sigiliu electronic avansat îndeplinește următoarele cerințele:
(a)
face trimitere exclusiv la creatorul sigiliului;
(b)
permite identificarea creatorului sigiliului;
(c)
este creat cu ajutorul datelor de creare a sigiliilor electronice pe care creatorul sigiliului le poate utiliza sub controlul său, cu un nivel ridicat de încredere, pentru crearea sigiliilor electronice; și
(d)
este legat de datele la care se raportează astfel încât orice modificare ulterioară a datelor poate fi detectată.
Articolul 37
Sigiliile electronice în cadrul serviciilor publice
(1) În cazul în care un stat membru solicită un sigiliu electronic avansat pentru utilizarea în cadrul unui serviciu online prestat de către un organism din sectorul public sau în numele acestuia, respectivul stat membru recunoaște sigiliile electronice avansate, sigiliile electronice avansate bazate pe un certificat calificat pentru sigilii electronice și sigiliile electronice calificate care întrebuințează cel puțin formatele sau metodele definite în actele de punere în aplicare menționate la alineatul (5).
(2) În cazul în care un stat membru solicită un sigiliu electronic bazat pe un certificat calificat pentru utilizarea în cadrul unui serviciu online prestat de către un organism din sectorul public sau în numele acestuia, respectivul stat membru recunoaște sigiliile electronice avansate bazate pe un certificat calificat și sigiliile electronice calificate care întrebuințează cel puțin formatele sau metodele definite în actele de punere în aplicare menționate la alineatul (5).
(3) Statele membre nu solicită un sigiliu electronic la un nivel de securitate mai ridicat decât cel al sigiliului electronic calificat pentru utilizarea transfrontalieră a unui serviciu online prestat de un organism din sectorul public.
(4) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință ale standardelor pentru sigilii electronice avansate. În cazul în care un sigiliu electronic avansat îndeplinește standardele respective, se presupune că acesta respectă cerințele referitoare la sigiliile electronice avansate menționate la alineatele (1) și (2) de la prezentul articol și la articolul 36. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
(5) Până la 18 septembrie 2015 și ținând cont de practicile, standardele și actele juridice ale Uniunii existente, Comisia definește, prin intermediul unor acte de punere în aplicare, formate de referință ale sigiliilor electronice avansate sau metode de referință, în cazul în care sunt utilizate formate alternative. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 38
Certificate calificate pentru sigiliul electronic
(1) Certificatele calificate pentru sigiliile electronice îndeplinesc cerințele prevăzute în anexa III.
(2) Certificatele calificate pentru sigiliile electronice nu fac obiectul niciunei cerințe obligatorii în plus față de cerințele prevăzute în anexa III.
(3) Certificatele calificate pentru sigiliile electronice pot include atribute specifice suplimentare facultative. Aceste atribute nu afectează interoperabilitatea și recunoașterea sigiliilor electronice calificate.
(4) În cazul în care un certificat calificat pentru un sigiliu electronic a fost revocat după activarea inițială, acesta își pierde valabilitatea din momentul în care a fost revocat și nu se revine în niciun caz la statutul său anterior.
(5) Sub rezerva următoarelor condiții, statele membre pot să stabilească norme interne cu privire la suspendarea temporară a certificatelor calificate pentru sigiliile electronice:
(a)
în cazul în care un certificat calificat pentru sigilii electronice a fost suspendat temporar, respectivul certificat își pierde valabilitatea pe parcursul perioadei de suspendare;
(b)
perioada de suspendare este clar indicată în baza de date privind certificatele și statutul de suspendat este vizibil, pe perioada suspendării, din serviciul care oferă informații privind statutul certificatului.
(6) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință ale standardelor pentru certificatele calificate pentru sigiliile electronice. În cazul în care un certificat calificat pentru sigiliul electronic îndeplinește standardele respective, se presupune că acesta respectă cerințele prevăzute în anexa III. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 39
Dispozitive de creare a sigiliilor electronice calificate
(1) Articolul 29 se aplică mutatis mutandis cerințelor pentru dispozitivele de creare a sigiliilor electronice calificate.
(2) Articolul 30 se aplică mutatis mutandis certificării dispozitivelor de creare a sigiliilor electronice calificate.
(3) Articolul 31 se aplică mutatis mutandis publicării unei liste a dispozitivelor de creare a sigiliilor electronice certificate și calificate.
Articolul 40
Validarea și păstrarea sigiliilor electronice calificate
Articolele 32, 33 și 34 se aplică mutatis mutandis validării și păstrării sigiliilor electronice calificate.
SECȚIUNEA 6
Mărcile temporale electronice
Articolul 41
Efectul juridic al mărcilor temporale electronice
(1) Unei mărci temporale electronice nu i se refuză efectul juridic și posibilitatea de a fi acceptată ca probă în procedurile judiciare doar din motiv că aceasta este sub formă electronică sau că nu îndeplinește cerințele pentru marca temporală electronică calificată.
(2) O marcă temporală electronică calificată beneficiază de prezumția corectitudinii datei și orei pe care le indică și a integrității datelor la care se raportează data și ora indicate.
(3) O marcă temporală electronică calificată emisă într-un stat membru este recunoscută drept marcă temporală electronică calificată în toate statele membre.
Articolul 42
Cerințe pentru mărcile temporale electronice calificate
(1) O marcă temporală electronică calificată îndeplinește următoarele cerințe:
(a)
asigură o legătură între dată și oră și date astfel încât să excludă în mod rezonabil posibilitatea ca datele să fie schimbate fără ca acest lucru să fie detectat;
(b)
se bazează pe o sursă de timp precisă, legată de ora universală coordonată; și
(c)
este semnată utilizând o semnătură electronică avansată sau sigilată cu un sigiliu electronic avansat al prestatorului de servicii de încredere calificat sau printr-o metodă echivalentă.
(2) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință ale standardelor pentru legătura între dată și oră și date și pentru exactitatea surselor orei indicate. În cazul în care legătura între dată și oră și date și exactitatea surselor orei indicate îndeplinesc standardele respective, se presupune că se respectă cerințele prevăzute la alineatul (1). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
SECȚIUNEA 7
Serviciul de distribuție electronică înregistrată
Articolul 43
Efectul juridic al unui serviciu de distribuție electronică înregistrată
(1) Datelor trimise și primite prin utilizarea unui serviciu de distribuție electronică înregistrată nu li se refuză efectul juridic și posibilitatea de a fi acceptate ca dovadă în procedurile judiciare doar din motiv că acesta este sub formă electronică sau că nu îndeplinește cerințele pentru serviciul de distribuție electronică înregistrată.
(2) Datele trimise și primite utilizând un serviciu de distribuție electronică înregistrată beneficiază de prezumția integrității datelor, a trimiterii datelor respective de către expeditorul identificat și a primirii acestora de către destinatarul identificat și a preciziei datei și orei trimiterii și primirii datelor indicate de serviciul de distribuție electronică înregistrată.
Articolul 44
Cerințe pentru serviciile de distribuție electronică înregistrată calificate
(1) Serviciile de distribuție electronică înregistrată calificate îndeplinesc următoarele cerințe:
(a)
sunt prestate de către unul sau mai mulți prestatori de servicii de încredere calificați;
(b)
asigură identificarea expeditorului cu un nivel de încredere ridicat;
(c)
asigură identificarea destinatarului înainte de furnizarea datelor;
(d)
trimiterea și primirea datelor este securizată printr-o semnătură electronică avansată sau un sigiliu electronic avansat al prestatorului de servicii de încredere calificat astfel încât să se excludă posibilitatea ca datele să fie schimbate fără ca acest lucru să fie detectat;
(e)
orice modificare a datelor necesare în scopul de a trimite sau primi datele este clar indicată expeditorului și destinatarului datelor;
(f)
data și ora trimiterii, primirii și ale oricărei modificări a datelor este indicată printr-o marcă temporală electronică calificată.
În cazul datelor transferate între doi sau mai mulți prestatori de servicii de încredere, cerințele de la literele (a)-(f) se aplică tuturor prestatorilor de servicii de încredere calificați.
(2) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință ale standardelor pentru procesele de trimitere și primire de date. În cazul în care procesul de trimitere și primire de date îndeplinește standardele respective, se presupune că se respectă cerințele prevăzute la alineatul (1). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
SECȚIUNEA 8
Autentificarea unui site internet
Articolul 45
Cerințe pentru certificatele calificate pentru autentificarea unui site internet
(1) Certificatele calificate pentru autentificarea unui site internet îndeplinesc cerințele prevăzute în anexa IV.
(2) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință ale standardelor pentru certificatele calificate pentru autentificarea unui site internet. În cazul în care un certificat calificat pentru autentificarea unui site internet îndeplinește standardele respective, se presupune că respectă cerințele prevăzute în anexa IV. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
CAPITOLUL IV
DOCUMENTE ELECTRONICE
Articolul 46
Efectele juridice ale documentelor electronice
Unui document electronic nu i se refuză efectul juridic și posibilitatea de a fi acceptat ca dovadă în procedurile judiciare doar din motiv că este sub formă electronică.
CAPITOLUL V
DELEGAREA DE COMPETENȚE ȘI MĂSURI DE PUNERE ÎN APLICARE
Articolul 47
Exercitarea delegării
(1) Competența de a adopta acte delegate este conferită Comisiei în condițiile prevăzute la prezentul articol.
(2) Se conferă Comisiei, pentru o perioadă de timp nedeterminată de la 17 septembrie 2014, competența de a adopta actele delegate menționate la articolul 30 alineatul (4).
(3) Delegarea competențelor menționată la articolul 30 alineatul (4) poate fi revocată în orice moment de către Parlamentul European sau de către Consiliu. Decizia de revocare pune capăt delegării competenței menționate în decizia respectivă. Aceasta produce efecte începând cu ziua următoare datei publicării în Jurnalul Oficial al Uniunii Europene sau la o dată ulterioară specificată în decizie. Aceasta nu aduce atingere valabilității actelor delegate aflate deja în vigoare.
(4) De îndată ce adoptă un act delegat, Comisia îl notifică simultan Parlamentului European și Consiliului.
(5) Un act delegat adoptat în conformitate cu articolul 30 alineatul (4) intră în vigoare numai în cazul în care nici Parlamentul European și nici Consiliul nu au formulat obiecții în termen de două luni de la notificarea actului respectiv Parlamentului European și Consiliului sau în cazul în care, înainte de expirarea termenului respectiv, Parlamentul European și Consiliul au informat Comisia cu privire la faptul că nu vor formula obiecții. La inițiativa Parlamentului European sau a Consiliului, termenul respectiv se prelungește cu două luni.
Articolul 48
Procedura comitetului
(1) Comisia este asistată de un comitet. Comitetul respectiv este un comitet în sensul Regulamentului (UE) nr. 182/2011.
(2) În cazul în care se face trimitere la prezentul alineat, se aplică articolul 5 din Regulamentul (UE) nr. 182/2011.
CAPITOLUL VI
DISPOZIȚII FINALE
Articolul 49
Revizuire
Comisia evaluează modul de aplicare a prezentului regulament și prezintă un raport în acest sens Parlamentului European și Consiliului cel mai târziu la 1 iulie 2020. Comisia evaluează, în special, dacă este oportun să se modifice domeniul de aplicare al prezentului regulament sau dispozițiile sale specifice, inclusiv articolul 6, articolul 7 litera (f), articolele 34, 43, 44 și 45, ținând seama de experiența dobândită în aplicarea prezentului regulament, precum și de evoluțiile tehnologice, ale pieței și juridice.
Raportul menționat la primul paragraf este însoțit, după caz, de propuneri legislative.
În plus, Comisia prezintă un raport Parlamentului European și Consiliului, o dată la patru ani, ulterior raportului menționat la primul paragraf, cu privire la progresele realizate în vederea atingerii obiectivelor prezentului regulament.
Articolul 50
Abrogare
(1) Directiva 1999/93/CE se abrogă cu efect de la 1 iulie 2016.
(2) Trimiterile la directiva abrogată se interpretează ca trimiteri la prezentul regulament.
Articolul 51
Măsuri tranzitorii
(1) Dispozitivele sigure de creare a semnăturilor a căror conformitate a fost determinată în conformitate cu articolul 3 alineatul (4) din Directiva 1999/93/CE sunt considerate dispozitive de creare a semnăturilor electronice calificate în temeiul prezentului regulament.
(2) Certificatele calificate emise pentru persoane fizice în conformitate cu Directiva 1999/93/CE sunt considerate drept certificate calificate pentru semnături electronice în temeiul prezentului regulament, până la expirarea lor.
(3) Un prestator de servicii de certificare care eliberează certificate calificate în temeiul Directivei 1999/93/CE prezintă un raport de evaluare a conformității către organismul de supraveghere cât mai curând posibil, dar nu mai târziu de 1 iulie 2017. Până la prezentarea unui astfel de raport de evaluare a conformității și până la finalizarea de către organismul de supraveghere a evaluării sale, prestatorul de servicii de certificare respectiv este considerat ca fiind prestator de servicii de încredere calificat în temeiul prezentului regulament.
(4) În cazul în care un prestator de servicii de certificare care eliberează certificate calificate în temeiul Directivei 1999/93/CE nu prezintă un raport de evaluare a conformității către organismul de supraveghere în termenul prevăzut la alineatul (3), respectivul prestator de servicii de certificare nu este considerat ca fiind prestator de servicii de încredere calificat în temeiul prezentului regulament începând cu data de 2 iulie 2017.
Articolul 52
Intrarea în vigoare
(1) Prezentul regulament intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.
(2) Prezentul regulament se aplică de la 1 iulie 2016, cu excepția următoarelor dispoziții:
(a)
articolul 8 alineatul (3), articolul 9 alineatul (5), articolul 12 alineatele (2)-(9), articolul 17 alineatul (8), articolul 19 alineatul (4), articolul 20 alineatul (4), articolul 21 alineatul (4), articolul 22 alineatul (5), articolul 23 alineatul (3), articolul 24 alineatul (5), articolul 27 alineatele (4) și (5), articolul 28 alineatul (6), articolul 29 alineatul (2), articolul 30 alineatele (3) și (4), articolul 31 alineatul (3), articolul 32 alineatul (3), articolul 33 alineatul (2), articolul 34 alineatul (2), articolul 37 alineatele (4) și (5), articolul 38 alineatul (6), articolul 42 alineatul (2), articolul 44 alineatul (2), articolul 45 alineatul (2) și articolele 47 și 48 se aplică de la 17 septembrie 2014;
(b)
articolul 7, articolul 8 alineatele (1) și (2), articolele 9, 10, 11 și articolul 12 alineatul (1) se aplică de la data aplicării actelor de punere în aplicare menționate la articolul 8 alineatul (3) și la articolul 12 alineatul (8);
(c)
articolul 6 se aplică după trei ani de la data aplicării actelor de punere în aplicare menționate la articolul 8 alineatul (3) și la articolul 12 alineatul (8).
(3) În cazul în care sistemul de identificare electronică notificat este inclus în lista publicată de Comisie în conformitate cu articolul 9 înainte de data menționată la alineatul (2) litera (c) de la prezentul articol, recunoașterea mijloacelor de identificare electronică din cadrul sistemului respectiv în temeiul articolului 6 are loc cel târziu în termen de 12 luni de la publicarea respectivului sistem, dar nu înainte de data menționată la alineatul (2) litera (c) de la prezentul articol.
(4) Fără a aduce atingere alineatului (2) litera (c) de la prezentul articol, un stat membru poate decide ca mijloacele de identificare electronică din cadrul unui sistem de identificare electronică notificat în temeiul articolului 9 alineatul (1) de către un alt stat membru să fie recunoscute de primul stat membru de la data aplicării actelor de punere în aplicare menționate la articolul 8 alineatul (3) și la articolul 12 alineatul (8). Statele membre vizate informează Comisia. Comisia publică aceste informații.
Prezentul regulament este obligatoriu în toate elementele sale și se aplică direct în toate statele membre.
Adoptat la Bruxelles, 23 iulie 2014.