РЕГЛАМЕНТ (ЕС) № 910/2014 НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА
от 23 юли 2014 година
относно електронната идентификация и удостоверителните услуги при електронни трансакции на вътрешния пазар и за отмяна на Директива 1999/93/ЕО
ЕВРОПЕЙСКИЯТ ПАРЛАМЕНТ И СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взеха предвид Договора за функционирането на Европейския съюз, и по-специално член 114 от него,
като взеха предвид предложението на Европейската комисия,
след предаване на проекта на законодателния акт на националните парламенти,
като взеха предвид становището на Европейския икономически и социален комитет (1),
в съответствие с обикновената законодателна процедура (2),
като имат предвид, че:
(1)
Изграждането на доверие в онлайн средата е ключов фактор за икономическото и социалното развитие. Липсата на доверие, по-конкретно поради впечатлението за липса на правна сигурност, кара потребителите, предприятията и публичните органи да се колебаят при извършването на електронни трансакции и при въвеждането на нови услуги.
(2)
Целта на настоящия регламент е да се повиши доверието в електронните трансакции на вътрешния пазар, като се предостави обща основа за надеждно взаимодействие по електронен път между гражданите, предприятията и публичните органи, чрез което ще се увеличи ефективността на обществените и частните онлайн услуги, електронния бизнес и електронната търговия в Съюза.
(3)
Директива 1999/93/ЕО на Европейския парламент и на Съвета (3) обхваща електронните подписи, но не предоставя цялостна трансгранична и междусекторна рамка за сигурни, надеждни и лесни за използване електронни трансакции. С настоящия регламент се разширяват и задълбочават достиженията на посочената директива.
(4)
В съобщението на Комисията от 26 август 2010 г., озаглавено „Програма в областта на цифровите технологии за Европа“, беше констатирано, че разпокъсаността на цифровия пазар, липсата на оперативна съвместимост и растящата киберпрестъпност са основните пречки пред навлизането на цифровата икономика в един благоприятен цикъл на развитие. В Доклада за гражданството на ЕС за 2010 г., озаглавен „Премахване на пречките за упражняване на правата на гражданите на ЕС“, Комисията подчерта също необходимостта да се разрешат основните проблеми, които възпрепятстват гражданите на Съюза да се възползват от предимствата на цифровия единен пазар и трансграничните цифрови услуги.
(5)
В заключенията си от 4 февруари 2011 г. и от 23 октомври 2011 г. Европейският съвет прикани Комисията да съдейства за изграждането на цифров единен пазар до 2015 г., да ускори напредъка в ключови области на цифровата икономика и да насърчи цялостната интеграция на цифровия единен пазар чрез улесняване на трансграничното използване на онлайн услуги, и по-специално - чрез улесняване на сигурни електронна идентификация и електронно удостоверяване на автентичност.
(6)
В заключенията си от 27 май 2011 г. Съветът прикани Комисията да допринесе към цифровия единен пазар чрез създаването на подходящи условия за взаимно трансгранично признаване на ключовите фактори, като електронна идентификация, електронни документи, електронни подписи и услуги по електронно доставяне, и за оперативно съвместими услуги на електронното управление в целия Европейски съюз
(7)
Европейският парламент в резолюцията си от 21 септември 2010 г. относно доизграждането на вътрешния пазар по отношение на електронната търговия (4) подчерта значението на сигурността на електронните услуги, и по-конкретно на електронните подписи, както и на необходимостта от създаване на публична ключова инфраструктура на общоевропейско равнище, и призова Комисията да създаде Портал на европейските заверяващи органи, за да се гарантира трансгранична оперативна съвместимост на електронните подписи и да се повиши сигурността на трансакциите, извършвани по интернет.
(8)
С Директива 2006/123/ЕО на Европейския парламент и на Съвета (5) от държавите членки се изисква да установят „звена за единичен контакт“ (ЗЕК), чрез които да се гарантира, че всички процедури и формалности, свързани с достъпа до и упражняването на дейност по предоставяне на услуги, могат да бъдат лесно изпълнени от разстояние и по електронен път чрез съответното ЗЕК и със съответните компетентни органи. При редица онлайн услуги, достъпът до които се осъществява чрез ЗЕК, се изискват електронна идентификация, електронно удостоверяване на автентичност и електронен подпис.
(9)
В повечето случаи гражданите не могат да използват своята електронна идентификация за удостоверяване на идентичността си в друга държава членка, тъй като националните схеми за електронна идентификация в тяхната държава не се признават в други държави членки. Тази електронна бариера не позволява на доставчиците на услуги да се възползват в пълна степен от преимуществата на вътрешния пазар. Взаимното признаване на средствата за електронна идентификация ще улесни трансграничното предоставяне на редица услуги на вътрешния пазар и ще спомогне предприятията да извършват трансгранична дейност, без да се сблъскват с множество пречки при взаимодействието си с публичните органи.
(10)
С Директива 2011/24/ЕС на Европейския парламент и на Съвета (6) се установява мрежа от национални органи, отговорни за електронното здравеопазване. С цел повишаване на безопасността и непрекъсваемостта на трансграничното здравно обслужване от мрежата се изисква да разработва насоки за трансграничен достъп до електронни здравни данни и услуги, включително чрез подкрепа за „общи мерки за идентифициране и удостоверяване на автентичност с цел да се улесни възможността за предаване на данни при трансгранично здравно обслужване“. Взаимното признаване на електронната идентификация и електронното удостоверяване на автентичност е ключов фактор за превръщането на трансграничното здравно обслужване на европейските граждани в реалност. Когато хората пътуват с цел лечение, достъпът до тяхната здравна документация трябва да е възможен в държавата, където се извършва лечението. Това изисква солидна, сигурна и надеждна правна рамка по отношение на електронната идентификация.
(11)
Настоящият регламент следва да се прилага в пълно съответствие с принципите, свързани със защитата на личните данни, съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета (7). В това отношение, предвид принципа на взаимно признаване, установен с настоящия регламент, удостоверяването на автентичност за онлайн услуга следва да засяга обработването само на тези данни за идентификация, които са подходящи, от значение и не надхвърлят необходимото за получаването на достъп до тази онлайн услуга. Освен това доставчиците на удостоверителни услуги и надзорните органи следва да съблюдават изискванията по Директива 95/46/ЕО във връзка с поверителността и сигурността на обработването.
(12)
Една от целите на настоящия регламент е да се премахнат съществуващите бариери пред трансграничната употреба на използваните в отделните държави членки средства за електронна идентификация, за да се удостовери автентичност поне за обществените услуги. С него не се цели намеса по отношение на системите за управление на електронната самоличност и свързаните с тях инфраструктури, установени в държавите членки. Целта на настоящия регламент е да се гарантира, че при достъпа до трансгранични онлайн услуги, предлагани от държавите членки, е възможно да се осъществят сигурна електронна идентификация и сигурно електронно удостоверяване на автентичност.
(13)
Държавите членки следва да запазят правото си да използват или да въвеждат, за целите на електронната идентификация, средства за достъп до онлайн услуги. Те следва също да могат да решават дали да привлекат частния сектор в предоставянето на такива средства. Държавите членки следва да не бъдат задължени да уведомяват Комисията за своите схеми за електронна идентификация. Изборът дали да уведомят Комисията за всички или за някои от използваните на национално равнище схеми за електронна идентификация при достъп най-малкото до обществени онлайн услуги или специфични услуги, или да не уведомяват за никои от тях, зависи изцяло от държавите членки.
(14)
В настоящият регламент трябва да се определят някои условия във връзка с това, кои средства за електронна идентификация трябва да се признават, както и по какъв начин следва да става уведомяването за схемите за електронна идентификация. Тези условия следва да спомогнат за изграждането на необходимото доверие между държавите членки по отношение на използваните от тях схеми за електронна идентификация, както и за взаимното признаване на средствата за електронна идентификация, попадащи в обхвата на схемите, за които е извършено уведомяване. Принципът на взаимно признаване следва да се прилага, ако схемата за електронна идентификация на уведомяващата държава членка отговаря на условията за уведомяване и уведомлението е публикувано в Официален вестник на Европейския съюз. Принципът на взаимно признаване обаче следва да се отнася единствено за удостоверяването на автентичност за онлайн услуга. Достъпът до тези онлайн услуги и окончателното им доставяне на заявителя следва да бъдат тясно обвързани с правото на получаване на такива услуги според условията, определени в националното законодателство.
(15)
Задължението за признаване на средства за електронна идентификация следва да се отнася само до тези средства, чието ниво на осигуреност на самоличността съответства или надвишава нивото, необходимо за въпросната онлайн услуга. Освен това посоченото задължение следва да се отнася само за случаите, когато въпросният орган от публичния сектор прилага ниво на осигуреност „значително“ или „високо“ по отношение на достъпа до тази онлайн услуга. Държавите членки следва да могат и занапред, в съответствие с правото на Съюза, да признават средства за електронна идентификация с по-ниски нива на осигуреност на самоличността.
(16)
Нивата на осигуреност следва да характеризират степента на надеждност на средството за електронна идентификация при установяване на самоличността на дадено лице, като по този начин се гарантира, че лицето, претендиращо, че има определена самоличност, действително е лицето, на което е приписана тази самоличност. Нивото на осигуреност зависи от степента на надеждност, което средството за електронна идентификация предоставя по отношение на претендираната или заявена самоличност на дадено лице, като се вземат под внимание процесите (например доказване на самоличността и проверка, и удостоверяване на автентичността), управленските дейности (например издаването на средства за електронна идентификация от страна на даден субект и процедурата за издаване на такива средства) и извършваните технически проверки. Съществуват различни технически определения и описания за нива на осигуреност в резултат от финансирани от Съюза широкомащабни пилотни проекти, стандартизационни и международни дейности. По-конкретно широкомащабните пилотни проекти STORK и ISO 29115 се отнасят, наред с другото, за нива 2, 3 и 4, които следва да бъдат отчетени в максимална степен при установяване на минимални технически изисквания, стандарти и процедури за нива на осигуреност „ниско“, „значително“ и „високо“ по смисъла на настоящия регламент, като същевременно се осигури последователно прилагане на настоящия регламент, по-специално по отношение на нивото на осигуреност „високо“ във връзка с доказването на самоличността при издаване на квалифицирани удостоверения. Установените изисквания следва да бъдат неутрални по отношение на технологиите. Постигането на необходимите изисквания за сигурност следва да бъде възможно посредством различни технологии.
(17)
Държавите членки следва да насърчават частния сектор да ползва на доброволна основа средства за електронна идентификация в рамките на схема за идентификация, за която е извършено уведомяване, когато възникне такава нужда за онлайн услуги или електронни трансакции. Възможността да се използват такива средства за електронна идентификация би позволила на частния сектор да разчита на електронна идентификация и електронно удостоверяване на автентичност, които вече се използват широко в редица държави членки най-малко при обществените услуги, и би облекчила трансграничния достъп на предприятията и гражданите до онлайн услуги. За улеснение на трансграничното използване от частния сектор на такива средства за електронна идентификация предоставяната от всяка държава членка възможност за удостоверяване на автентичност следва да бъде на разположение на доверяващите се страни от частния сектор, установени извън територията на тази държава членка, при същите условия, които се прилагат спрямо доверяващите се страни от частния сектор, установени в тази държава членка. Следователно, по отношение на доверяващите се страни от частния сектор, уведомяващата държава членка може да определи условия за достъп до средството за удостоверяване на автентичност. Тези условия за достъп може да дават информация дали средството за удостоверяване на автентичност, отнасящо се до схемата, за която има уведомление, понастоящем е предоставено на разположение на доверяващи се страни от частния сектор.
(18)
В настоящия регламент следва да се предвиди, че уведомяващата държава членка, страната, издаваща средството за електронна идентификация, и страната, ръководеща процедурата по удостоверяване на автентичност, носят отговорност при неизпълнение на съответните си задължения по настоящия регламент. Независимо от това настоящият регламент следва да се прилага в съответствие с националните правила относно отговорността. Поради това той не засяга тези национални правила, например по отношение на определянето на щетите или приложимите процедурни правила, включително тежестта на доказване.
(19)
Сигурността на схемите за електронна идентификация е основен фактор за надеждно трансгранично взаимно признаване на средствата за електронна идентификация. В този контекст държавите членки следва да си сътрудничат по отношение на сигурността и оперативната съвместимост на схемите за електронна идентификация на равнището на Съюза. В случай че схемите за електронна идентификация правят необходимо използването от доверяващите се страни на национално равнище на специален хардуер или софтуер, трансграничната оперативна съвместимост изисква тези държави членки да не налагат на доверяващите се страни, установени извън тяхната територия, такива изисквания и свързани с тях разходи. В този случай следва да се обсъдят и разработят подходящи решения в границите на обхвата на рамката за оперативна съвместимост. Въпреки това техническите изисквания, които произтичат от свойствени за националните средства за електронна идентификация характеристики и които е вероятно да засегнат притежателите на такива електронни средства (например смарткарти), са неизбежни.
(20)
Сътрудничеството между държавите членки следва да спомага за техническата оперативна съвместимост на схемите за електронна идентификация, за които е извършено уведомяване, за да се осигури високо равнище на доверие и сигурност, отговарящо на степента на риск. Обменът на информация и споделянето на добри практики между държавите членки с оглед на взаимното признаване между тях следва да спомагат за това сътрудничество.
(21)
С настоящия регламент следва да се установи и обща правна рамка за използването на удостоверителни услуги. Той обаче не следва да създава общо задължение за използването им или да създава точка за достъп за всички съществуващи удостоверителни услуги. По-специално той не следва да обхваща предоставянето на услуги, използвани изключително в рамките на затворени системи между определен набор от участници, които не оказват въздействие върху трети страни. Например системи, установени във фирмени или публични администрации за управлението на вътрешни процедури, които използват удостоверителни услуги, не следва да подлежат на изискванията по настоящия регламент. Единствено предоставяни на обществеността удостоверителни услуги, които оказват въздействие върху трети страни, следва да отговарят на изискванията, предвидени в настоящия регламент. Настоящият регламент не следва да обхваща и аспектите, свързани със сключването и действителността на договори или други правни задължения, когато в националното право или в правото на Съюза са предвидени изисквания по отношение на формата. Освен това той следва да не засяга националните изисквания за формата, които се отнасят до публичните регистри, и по-конкретно търговските и поземлените регистри.
(22)
С цел да се допринесе за общото им трансгранично използване, удостоверителните услуги следва да се допускат като доказателство при съдебни производства във всички държави членки. Правната сила на удостоверителните услуги се определя от националното право, освен ако в настоящия регламент не е предвидено друго.
(23)
Доколкото настоящият регламент създава задължение за признаване на удостоверителна услуга, тази удостоверителна услуга може да бъде отхвърлена само ако носителят на задължението не може да я прочете или провери поради технически причини извън неговия пряк контрол. Това задължение само по себе си обаче не следва да налага на публичен орган да се сдобива с хардуера и софтуера, необходими за техническото разчитане на всички съществуващи удостоверителни услуги.
(24)
В съответствие с правото на Съюза държавите членки могат да запазят националните си разпоредби или да въведат такива по отношение на удостоверителните услуги, доколкото тези услуги не са напълно хармонизирани с настоящия регламент. Удостоверителните услуги, които обаче отговарят на изискванията на настоящия регламент, следва да могат да се движат свободно на вътрешния пазар.
(25)
Държавите членки следва да запазят правото си да определят други видове удостоверителни услуги в допълнение към съдържащите се в изчерпателния списък на удостоверителни услуги, предвиден в настоящия регламент, за целите на признаването им на национално равнище като квалифицирани удостоверителни услуги.
(26)
С оглед на темповете на развитие на технологиите настоящият регламент следва да възприеме подход, който е открит към иновациите.
(27)
Настоящият регламент следва да бъде неутрален по отношение на технологиите. Произтичащите от него правни последици следва да могат да се постигнат с всякакви технически средства, при условие че са спазени изискванията на настоящия регламент.
(28)
С цел да се повиши доверието особено на малките и средните предприятия (МСП) и на потребителите във вътрешния пазар и да се насърчи използването на удостоверителни услуги и продукти, следва да се въведат понятията „квалифицирани удостоверителни услуги“ и „доставчик на квалифицирани удостоверителни услуги“, за да се определят изисквания и задължения, които гарантират висока степен на сигурност на всички използвани или предоставяни квалифицирани удостоверителни услуги и продукти.
(29)
В съответствие със задълженията по Конвенцията на Организацията на обединените нации за правата на хората с увреждания, одобрена с Решение 2010/48/ЕО на Съвета (8), и по-специално член 9 от Конвенцията, хората с увреждания следва да могат да използват удостоверителни услуги и продукти за крайния потребител, използвани при предоставянето на тези услуги, на равни начала с останалите потребители. Следователно когато това е практически осъществимо, предоставяните удостоверителни услуги и използваните при предоставянето на тези услуги продукти за крайния потребител следва да бъдат достъпни за хората с увреждания. Оценката за практическата осъществимост следва да включва, наред с другото, съображения от техническо и икономическо естество.
(30)
Държавите членки следва да определят надзорен орган или надзорни органи, които да извършват надзорните дейности по настоящия регламент. Освен това държавите членки следва да могат да вземат решение, при взаимно споразумение с друга държава членка, за определянето на надзорен орган на територията на тази друга държава членка.
(31)
Надзорните органи следва да си сътрудничат с органите по защита на данните, например като ги уведомяват за резултатите от одитите на доставчици на квалифицирани удостоверителни услуги, при които има основания да се смята, че са нарушени правилата за защита на личните данни. Предоставянето на информация следва по-конкретно да обхваща инциденти, свързани със сигурността, и пробиви в защитата на личните данни.
(32)
Всички доставчици на удостоверителни услуги следва да бъдат задължени да използват добри практики по отношение на сигурността съобразно рисковете, свързани с тяхната дейност, така че да се стимулира доверието на потребителите в единния пазар.
(33)
Разпоредбите относно използването на псевдоними в удостоверенията следва да не възпрепятстват държавите членки да изискват идентификация на лицата в съответствие с правото на Съюза или националното право.
(34)
Всички държави членки следва да спазват общи основни изисквания по отношение на надзора, за да се гарантира съпоставимо ниво на сигурност на квалифицираните удостоверителни услуги. С цел да се улесни последователното прилагане на тези изисквания в целия Съюз, държавите членки следва да приемат съпоставими процедури и да обменят информация за своите надзорни дейности и най-добри практики в областта.
(35)
Спрямо всички доставчици на удостоверителни услуги следва да се прилагат изискванията на настоящия регламент, и по-специално изискванията по отношение на сигурността и отговорността за осигуряването на дължимата грижа, прозрачност и отчетност по отношение на техните операции и услуги. Същевременно обаче, като се взема предвид видът на услугите, предоставяни от доставчиците на удостоверителни услуги, е целесъобразно да се прави разграничение по отношение на тези изисквания между доставчиците на квалифицирани и неквалифицирани услуги.
(36)
Установяването на режим на надзор за всички доставчици на удостоверителни услуги следва да гарантира равни условия за сигурността и отчетността на извършваните от тях операции и услуги и така да допринесе за защитата на потребителите и функционирането на вътрешния пазар. Доставчиците на неквалифицирани удостоверителни услуги следва да подлежат на облекчена и ответна последваща надзорна дейност, обоснована от естеството на извършваните от тях услуги и операции. Поради това надзорният орган следва да няма общо задължение да извършва надзор на доставчиците на неквалифицирани услуги. Надзорният орган следва да предприема действия само когато е получил информация (например от самия доставчик на неквалифицирани удостоверителни услуги, от друг надзорен орган, чрез уведомяване от потребител или делови партньор или въз основа на собствено разследване), че доставчик на неквалифицирани удостоверителни услуги не спазва изискванията на настоящия регламент.
(37)
С настоящия регламент следва да се предвиди отговорност за всички доставчици на удостоверителни услуги. По-конкретно с регламента се установява режимът на отговорност, съгласно който всички доставчици на удостоверителни услуги следва да носят отговорност за щети, причинени на физическо или юридическо лице поради неспазване на задълженията по настоящия регламент. С цел да се улесни извършването на оценката на финансовия риск, който доставчиците на удостоверителни услуги може да се наложи да поемат или за който следва да осигурят покритие чрез застрахователни полици, с настоящия регламент се дава възможност на доставчиците на удостоверителни услуги да поставят, при определени условия, ограничения върху използването на предоставяните от тях услуги и да не носят отговорност за щети, произтичащи от използването на услуги, надхвърлящи тези ограничения. Клиентите следва да бъдат предварително и надлежно информирани за тези ограничения. Тези ограничения следва да са разпознаваеми от трета страна, например чрез включване на информация относно ограниченията в условията, при които се предоставя услугата, или по друг разпознаваем начин. С цел тези принципи да получат реално изражение, настоящият регламент следва да се прилага в съответствие с националните разпоредби относно отговорността. Поради това настоящият регламент не засяга тези национални разпоредби, например относно определението за щети, намерение, небрежност или съответните приложими процесуални разпоредби.
(38)
Уведомяването за пробиви в системите за сигурност и оценките на риска за сигурността са от съществено значение за предоставянето на адекватна информация на засегнатите страни в случай на пробив на сигурността или нарушаване на целостта на системите.
(39)
За да се даде възможност на Комисията и на държавите членки да направят оценка на ефективността на въведения с настоящия регламент механизъм за уведомяване в случай на пробиви, надзорните органи следва да предоставят обобщена информация на Комисията и на Агенцията на Европейския съюз за мрежова и информационна сигурност (ENISA).
(40)
За да се даде възможност на Комисията и на държавите членки да направят оценка на ефективността на въведения с настоящия регламент механизъм за засилен надзор, от надзорните органи следва да се изисква да докладват за своите дейности. Това би спомогнало за улесняване на обмена на добри практики между надзорните органи и би гарантирало проверката по отношение на последователното и ефикасно прилагане на основните изисквания за надзор във всички държави членки.
(41)
За осигуряване на устойчивост и трайност на квалифицираните удостоверителни услуги и за стимулиране на доверието на потребителите в тяхната непрекъснатост надзорните органи следва да проверяват наличието и правилното прилагане на разпоредбите относно плана за осигуряване на непрекъснатост на обслужването в случаите, когато доставчиците на квалифицирани удостоверителни услуги прекъснат дейността си.
(42)
За улесняване на надзора върху доставчиците на квалифицирани удостоверителни услуги, например когато даден доставчик предлага услугите си на територията на друга държава членка, където не подлежи на надзор, или когато компютрите на даден доставчик се намират на територията на държава членка, различна от неговата държава по установяване, следва да се създаде система за взаимопомощ между надзорните органи на държавите членки.
(43)
С цел да се гарантира съответствието на доставчиците на квалифицирани удостоверителни услуги и предоставяните от тях услуги с установените в настоящия регламент изисквания, орган за оценяване на съответствието следва да извършва оценяване на съответствието, а изготвените доклади за оценяване на съответствието следва да се изпращат от доставчиците на квалифицирани удостоверителни услуги до надзорния орган. В случаите, когато надзорният орган изисква от доставчик на квалифицирана удостоверителна услуга да изпрати доклад за оценяване на съответствието ad hoc, надзорният орган следва да спазва в частност принципите на доброто управление, включително задължението да посочи мотиви за решенията си, както и принципа на пропорционалност. Поради това надзорният орган следва да мотивира надлежно решението си, изискващо оценяване на съответствието ad hoc.
(44)
Целта на настоящия регламент е да се осигури съгласувана рамка, така че да се предложи високо ниво на защита и правна сигурност на удостоверителните услуги. В това отношение, когато разглежда оценяването на съответствието на продукти и услуги, Комисията следва по целесъобразност да се стреми към единодействие със съществуващите европейски и международни схеми в областта, като например Регламент (ЕО) № 765/2008 на Европейския парламент и на Съвета (9), с който се определят изискванията за акредитация на органите за оценяване на съответствието и надзор на пазара на продуктите.
(45)
За да се позволи ефикасен процес на започване, който следва да доведе до включването на доставчиците на квалифицирани удостоверителни услуги и предоставяните от тях квалифицирани удостоверителни услуги в доверителни списъци, следва да се насърчават предварителните контакти между евентуалните доставчици на квалифицирани удостоверителни услуги и компетентния надзорен орган с оглед улесняването на надлежни проверки, водещи до обезпечаването на квалифицирани удостоверителни услуги.
(46)
Доверителните списъци са съществени елементи за доверието между стопанските субекти, тъй като отразяват квалифицирания статут на даден доставчик на услуги, който подлежи на надзор.
(47)
Доверието в онлайн услугите и удобството при ползването им са изключително важни, за да могат потребителите напълно да се възползват от електронните услуги и съзнателно да разчитат на тях. За тази цел следва да се създаде марка за доверие на ЕС, за да се обозначават квалифицираните удостоверителни услуги, предоставяни от доставчици на квалифицирани удостоверителни услуги. Такава марка за доверие на ЕС за квалифицирани удостоверителни услуги ще доведе до ясно разграничение на квалифицираните удостоверителни услуги от другите удостоверителни услуги, като по този начин се способства за прозрачността на пазара. Използването на марка за доверие на ЕС от доставчиците на квалифицирани удостоверителни услуги следва да бъде на доброволна основа и не следва да поражда други изисквания освен предвидените в настоящия регламент.
(48)
Наред с високата степен на сигурност, необходима за гарантиране на взаимното признаване на електронни подписи, в някои конкретни случаи, например в контекста на Решение № 2009/767/ЕО на Комисията (10), следва да се приемат и електронни подписи с по-ниска степен на сигурност.
(49)
С настоящия регламент следва да се установи принципът, че правната сила на електронен подпис не може да бъде оспорена на основанието, че той е в електронна форма или че не отговоря на изискванията за квалифицирания електронен подпис. Правната сила на електронните подписи обаче се определя от националното право, с изключение на включените в настоящия регламент изисквания квалифицираният електронен подпис да има същата правна сила като саморъчния подпис.
(50)
Тъй като компетентните органи в държавите членки понастоящем използват различни формати на усъвършенствани електронни подписи, за да подпишат своите документи по електронен път, необходимо е в държавите членки да се осигури възможност за техническа обработка на определен брой формати на усъвършенствани електронни подписи при получаването на документи, подписани електронно. По подобен начин когато компетентните органи в държавите членки използват усъвършенствани електронни печати, ще бъде необходимо да се осигури възможност за техническа обработка на определен брой формати на усъвършенствани електронни печати.
(51)
Следва да се предостави възможност титулярят на електронния подпис да възлага обслужването на устройства за създаване на квалифицирани електронни подписи на трета страна, при условие че са въведени подходящи механизми и процедури, гарантиращи, че титулярят разполага с едноличен контрол върху използването на данните, свързани със създаването на електронния му подпис, и че при използването на устройството са изпълнени изискванията по отношение на квалифицирания електронен подпис.
(52)
Създаването на електронни подписи от разстояние, при което средата на създаване на електронен подпис се управлява от доставчик на удостоверителни услуги от името на титуляря на електронния подпис, се очаква да се развие поради многобройните икономически предимства, които предоставя. При все това, с цел да се гарантира, че тези електронни подписи получават същото правно признаване като електронните подписи, създавани в среда, изцяло управлявана от потребителя, доставчиците, които предлагат услуги на електронен подпис от разстояние, следва да прилагат специфични процедури за сигурността на управление и административната сигурност и да използват надеждни системи и продукти, включително сигурни електронни канали на комуникация, с цел да се гарантира надеждността на средата на създаване на електронния подпис и да се гарантира, че тази среда е използвана единствено под контрола на титуляря на електронния подпис. В случай на квалифициран електронен подпис, създаден чрез устройство за създаване на електронен подпис от разстояние, следва да се прилагат изискванията, приложими за доставчиците на квалифицирани удостоверителни услуги, които са изброени в настоящия регламент.
(53)
Спирането на валидността на квалифицираните удостоверения е установена оперативна практика на доставчиците на удостоверителни услуги в редица държави членки и се различава от отмяната по това, че води до временна загуба на валидност на дадено удостоверение. От съображения за правна сигурност е необходимо статутът на спиране на валидността на удостоверение винаги да е ясно отбелязан. За тази цел доставчиците на удостоверителни услуги следва да поемат отговорност ясно да отбелязват статута на удостоверението и, в случай че валидността му е спряна - точния срок на спиране. Настоящият регламент не следва да налага на доставчиците на удостоверителни услуги или на държавите членки да използват спирането, а по-скоро в регламента следва да се предвидят правила за прозрачност по отношение на условията, при които е възможно да се прибягва до него.
(54)
Трансграничната оперативна съвместимост и признаването на квалифицираните удостоверения е предварително условие за трансграничното признаване на квалифицираните електронни подписи. Във връзка с това квалифицираните удостоверения не следва да подлежат на каквито и да било задължителни изисквания, надхвърлящи изискванията, предвидени в настоящия регламент. На национално равнище обаче включването в квалифицирани удостоверения на специфични данни, като например уникални идентификатори, следва да бъде позволено, при условие че тези специфични данни не възпрепятстват трансграничната оперативна съвместимост и признаването на квалифицираните удостоверения и електронните подписи.
(55)
Сертифицирането на сигурността на информационните технологии на базата на международни стандарти като ISO 15408 и други подобни методи за оценка и механизми за взаимно признаване е важен инструмент за проверка на сигурността на устройствата за създаване на квалифициран електронен подпис и следва да се насърчава. Иновативните решения и услуги, като подписването чрез мобилни устройства и подписването в облак, обаче са основани на такива технически и организационни решения за устройствата за създаване на квалифициран електронен подпис, за които все още може да не са налице стандарти за сигурност или за които първото сертифициране на сигурността на информационните технологии е в процес на извършване. Равнището на сигурност на такива устройства за създаване на квалифициран електронен подпис може да бъде оценено чрез използване на алтернативни процеси само когато не са налице такива стандарти за сигурност или когато първото сертифициране на сигурността на информационните технологии е в процес на извършване. Тези процеси следва да са съпоставими със стандартите за сертифициране на сигурността на информационните технологии, доколкото техните равнища на сигурност са равностойни. Тези процеси могат да бъдат улеснени чрез партньорски проверки.
(56)
В настоящия регламент са определени изискванията за устройствата за създаване на квалифицирани електронни подписи с оглед да се осигури функционалността на усъвършенстваните електронни подписи. Настоящият регламент не следва да обхваща цялата системна среда, в която действат тези устройства. Поради това обхватът на сертифицирането на устройствата за създаване на квалифицирани електронни подписи следва да бъде ограничен до хардуера и системния софтуер, използвани за управлението и защитата на данните за създаване на електронен подпис, които са създадени, съхранявани или обработвани в устройството за създаване на електронен подпис. Както е описано подробно в съответните стандарти, обхватът на задължението за сертифициране не следва да включва приложения за създаване на електронен подпис.
(57)
С цел да се осигури правна сигурност относно валидността на подписа от съществено значение е да се уточнят подробно компонентите на квалифицирания електронен подпис, които следва да се подложат на оценяване от доверяващата се страна, извършваща валидирането. Освен това, чрез уточняването на изискванията към доставчиците на квалифицирани удостоверителни услуги, които могат да предоставят квалифицирана услуга по валидиране на доверяващи се страни, които не желаят или не са в състояние да извършват сами валидиране на квалифицирани електронни подписи, следва да се стимулират инвестициите в подобни услуги от страна на частния и публичния сектор. Двата елемента следва да направят валидирането на електронни подписи лесно и удобно за всички страни на равнището на Съюза.
(58)
Когато за дадена трансакция се изисква квалифициран електронен печат от юридическо лице, квалифицираният електронен подпис на упълномощения представител на юридическото лице следва да се приема равностойно.
(59)
Електронните печати следва да служат като доказателство, че даден електронен документ е издаден от юридическо лице, като гарантират надеждния произход и целостта на документа.
(60)
Доставчиците на удостоверителни услуги, които издават квалифицирани удостоверения за електронен печат, следва да изпълнят необходимите мерки, за да могат да установят самоличността на физическото лице, представляващо юридическото лице, на което е предоставено квалифицирано удостоверение за електронен печат, когато установяването на самоличността е необходимо на национално равнище в контекста на съдебно или административно производство.
(61)
Настоящият регламент следва да осигури дългосрочното съхраняване на информация, за да се осигури правната валидност на електронните подписи и електронните печати за продължителен период от време и да се гарантира, че те могат да бъдат валидирани независимо от бъдещи промени в технологиите.
(62)
С цел да се гарантира сигурността на квалифицираните електронни времеви печати, настоящият регламент следва да изисква използването на усъвършенстван електронен печат или усъвършенстван електронен подпис, или на други равностойни методи. Може да се предвиди, че е възможно иновациите да доведат до нови технологии, които могат да осигурят равностойно ниво на сигурност за времевите печати. Винаги когато се използва метод, различен от усъвършенстван електронен печат или усъвършенстван електронен подпис, доставчикът на квалифицирани удостоверителни услуги следва да докаже в доклада за оценяване на съответствието, че този метод осигурява равностойно ниво на сигурност и е съобразен със задълженията, определени в настоящия регламент.
(63)
Електронните документи са важни за по-нататъшното развитие на трансграничните електронни трансакции на вътрешния пазар. С настоящия регламент следва да се установи принципът, че правната сила на електронен документ не може да бъде оспорена на основанието, че той е в електронна форма, с цел да се гарантира, че електронна трансакция няма да бъде отхвърлена единствено на основанието, че даден документ е в електронна форма.
(64)
При разглеждането на формати на усъвършенствани електронни подписи и печати Комисията следва да се основава на съществуващите практики, стандарти и законодателство, и по-специално на Решение 2011/130/ЕС на Комисията (11).
(65)
Освен при удостоверяването на автентичността на документ, издаден от юридическо лице, електронните печати могат да се използват за удостоверяване на автентичността на цифровите активи на юридическо лице, като софтуерен код или сървъри.
(66)
Особено важно е да се предвиди правна рамка, която да улеснява трансграничното признаване на съществуващите национални правни системи, свързани с услугите за електронна препоръчана поща. Тази рамка би могла да открие и нови пазарни възможности за доставчиците на удостоверителни услуги от Съюза за предлагане на нови паневропейски услуги за електронна препоръчана поща.
(67)
Услугите по удостоверяване на автентичността на уебсайт осигуряват средство, с което посетител на уебсайт може да бъде уверен, че зад уебсайта стои реален и легитимен субект. Тези услуги допринасят за изграждането на доверието в осъществяването на стопанска дейност онлайн, тъй като потребителите ще имат доверие в уебсайт, чиято автентичност е била удостоверена. Предоставянето и използването на услугите по удостоверяване на автентичността на уебсайт са изцяло на доброволна основа. Въпреки това, с цел удостоверяването на автентичността на уебсайт да се превърне в средство за повишаване на доверието, за подобряване на работата на потребителя с уебсайта, както и за увеличаване на растежа в рамките на вътрешния пазар, настоящият регламент следва да установи минимални задължения за сигурност и отговорност за доставчиците и техните услуги. За тази цел бяха взети предвид резултатите от съществуващите инициативи на сектора, като например форума на сертифициращите органи/браузъри - CA/B Forum. В допълнение настоящият регламент не следва да възпрепятства използването на други средства или методи за удостоверяване на автентичността на уебсайт, които не попадат в обхвата на настоящия регламент, нито следва да попречи на доставчиците от трета държава на услуги по удостоверяване на автентичността на уебсайт да предоставят своите услуги на потребители в Съюза. При все това услугите по удостоверяване на автентичността на уебсайт, извършвани от доставчика от трета държава, следва да бъдат признати за квалифицирани в съответствие с настоящия регламент само ако има сключено международно споразумение между Съюза и държавата на установяване на доставчика.
(68)
Съгласно разпоредбите на Договора за функционирането на Европейския съюз (ДФЕС) относно установяването понятието „юридически лица“ оставя на субектите свободата да избират правно организационната форма, която смятат за подходяща за осъществяването на своята дейност. Следователно „юридически лица“ по смисъла на ДФЕС означава всички образувания, учредени или регламентирани съгласно правото на държава членка, независимо от тяхната правна форма.
(69)
Институциите, органите, службите и агенциите на Съюза се насърчават да признават електронната идентификация и удостоверителните услуги, обхванати от настоящия регламент, за целта на административното сътрудничество, като се възползват по-специално от съществуващите добри практики и резултатите от текущите проекти в областите от обхвата на настоящия регламент.
(70)
С цел допълване на някои подробни технически аспекти на настоящия регламент по гъвкав и бърз начин, в съответствие с член 290 ДФЕС на Комисията следва да се делегира правомощието да приема актове във връзка с критериите, които трябва да бъдат спазвани от органите, отговарящи за сертифицирането на устройства за създаване на квалифициран електронен подпис. От особена важност е по време на подготвителната си работа Комисията да проведе подходящи консултации, включително на експертно равнище. При подготовката и изготвянето на делегирани актове Комисията следва да осигури едновременното и своевременно предаване на съответните документи по подходящ начин на Европейския парламент и на Съвета.
(71)
С цел да се осигурят еднакви условия за изпълнение на настоящия регламент на Комисията следва да бъдат предоставени изпълнителни правомощия, по-конкретно за определяне на референтните номера на стандартите, чието използване ще създаде презумпция за съответствие с някои изисквания, предвидени в настоящия регламент. Тези правомощия следва да се упражняват в съответствие с Регламент (ЕС) № 182/2011 на Европейския парламент и на Съвета (12).
(72)
При приемането на делегирани актове или актове за изпълнение Комисията следва да взема надлежно предвид стандартите и техническите спецификации, разработвани в рамките на европейските и международните организации и органи по стандартизация, по-специално Европейския комитет по стандартизация (CEN), Европейския институт за стандарти в далекосъобщенията (ETSI), Международната организация по стандартизация (ISO) и Международния съюз по далекосъобщения (ITU), с оглед на това да се гарантират високо ниво на сигурност и оперативна съвместимост на електронната идентификация и удостоверителните услуги.
(73)
С оглед на правната сигурност и яснота Директива 1999/93/ЕО следва да бъде отменена.
(74)
За да се гарантира правна сигурност за стопанските субекти, които вече използват квалифицирани удостоверения, издадени на физически лица в съответствие с Директива 1999/93/ЕО, е нужно да се предвиди достатъчно дълъг преходен период. По подобен начин следва да се установят преходни мерки за устройства за създаване на надежден подпис, чието съответствие е било определено в съответствие с Директива 1999/93/ЕО, както и за доставчиците на удостоверителни услуги, издаващи квалифицирани удостоверения преди 1 юли 2016 г. На последно място, необходимо е също на Комисията да се предоставят средства да приема актове за изпълнение и делегирани актове преди тази дата.
(75)
Датите на прилагане, определени в настоящия регламент, не засягат съществуващите задължения, които държавите членки вече имат по силата на правото на Съюза, и по-специално по Директива 2006/123/ЕО.
(76)
Доколкото целите на настоящия регламент не могат да бъдат постигнати в достатъчна степен от държавите членки, а следователно, с оглед обхвата на действието, могат да бъдат постигнати по-добре на равнището на Съюза, Съюзът може да приеме мерки в съответствие с принципа на субсидиарност, уреден в член 5 от Договора за Европейския съюз. В съответствие с принципа на пропорционалност, уреден в същия член, настоящият регламент не надхвърля необходимото за постигането на тези цели.
(77)
Проведена беше консултация с Европейския надзорен орган по защита на данните в съответствие с член 28, параграф 2 от Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (13) и той даде становище на 27 септември 2012 г. (14),
ПРИЕХА НАСТОЯЩИЯ РЕГЛАМЕНТ:
ГЛАВА I
ОБЩИ РАЗПОРЕДБИ
Член 1
Предмет
С оглед да се гарантира правилното функциониране на вътрешния пазар, като същевременно се цели постигане на подходящо равнище на сигурност на средствата за електронна идентификация и удостоверителни услуги, с настоящия регламент:
а)
се определят условията, при които държавите членки признават средствата за електронна идентификация на физически и юридически лица, които средства попадат в обхвата на дадена схема за електронна идентификация на друга държава членка, за която е извършено уведомяване;
б)
се определят правилата за удостоверителните услуги, по-специално за електронни трансакции; и
в)
се установява правна рамка за електронните подписи, електронните печати, електронните времеви печати, електронните документи, услугите за електронна препоръчана поща и услугите по удостоверяване автентичността на уебсайтове.
Член 2
Обхват
1. Настоящият регламент се прилага за схеми за електронна идентификация, за които е извършено уведомяване от държава членка, както и за установени в Съюза доставчици на удостоверителни услуги.
2. Настоящият регламент не се прилага за предоставянето на удостоверителни услуги, използвани единствено в рамките на затворени системи, произтичащи от националното право или от споразумения между определен кръг от участници.
3. Настоящият регламент не засяга националното право или правото на Съюза, свързано със сключването и действителността на договори или други правни или процедурни задължения по отношение на формата.
Член 3
Определения
За целите на настоящия регламент се прилагат следните определения:
1)
„електронна идентификация“ означава процес на използване на данни в електронна форма за идентификация на лица, които данни представляват по уникален начин дадено физическо или юридическо лице, или физическо лице, представляващо юридическо лице;
2)
„средство за електронна идентификация“ означава материална и/или нематериална единица, която съдържа данни за идентификация на лица, която се използва за удостоверяване на автентичност за онлайн услуга;
3)
„данни за идентификация на лица“ означава набор от данни, които позволяват да се установи самоличността на физическо или юридическо лице, или на физическо лице, представляващо юридическо лице;
4)
„схема за електронна идентификация“ означава система за електронна идентификация, при която средства за електронна идентификация се издават на физически или юридически лица, или физически лица, представляващи юридически лица;
5)
„удостоверяване на автентичност“ означава електронен процес, който позволява електронната идентификация на физическо или юридическо лице или потвърждаването на произхода и целостта на данни в електронна форма;
6)
„доверяваща се страна“ означава физическо или юридическо лице, което разчита на електронна идентификация или удостоверителна услуга;
7)
„орган от публичния сектор“ означава държавен, регионален или местен орган, публичноправна организация или сдружение, съставено от един или повече такива органи или от една или повече такива публичноправни организации, или частен субект, на който поне един от тези органи, организации или асоциации са възложили да предоставя обществени услуги, когато действа при условията на това възлагане;
8)
„публичноправна организация означава организация, както е определено в член 2, параграф 1, точка 4 от Директива 2014/24/ЕС на Европейския парламент и на Съвета (15);
9)
„титуляр на електронен подпис“ означава физическо лице, което създава електронен подпис;
10)
„електронен подпис“ означава данни в електронна форма, които се добавят към други данни в електронна форма или са логически свързани с тях, и които титулярят на електронния подпис използва, за да се подписва;
11)
„усъвършенстван електронен подпис“ означава електронен подпис, който отговаря на изискванията, посочени в член 26;
12)
„квалифициран електронен подпис“ означава усъвършенстван електронен подпис, който е създаден от устройство за създаване на квалифициран електронен подпис и се основава на квалифицирано удостоверение за електронни подписи;
13)
„данни за създаване на електронен подпис“ означава уникални данни, които се използват от титуляря на електронния подпис за създаването на електронен подпис;
14)
„удостоверение за електронен подпис“ означава електронен атестат, който свързва данните за валидиране на електронен подпис с физическо лице и потвърждава най-малко името или псевдонима на това лице;
15)
„квалифицирано удостоверение за електронен подпис“ означава удостоверение за електронни подписи, което се издава от доставчик на квалифицирани удостоверителни услуги и отговаря на изискванията, предвидени в приложение I;
16)
„удостоверителна услуга“ означава електронна услуга, обикновено предоставяна срещу възнаграждение, която се състои във:
а)
създаването, проверката и валидирането на електронни подписи, електронни печати или електронни времеви печати, услуги за електронна препоръчана поща, както и удостоверения, свързани с тези услуги; или
б)
създаването, проверката и валидирането на удостоверения за автентичност на уебсайт; или
в)
съхраняването на електронни подписи, печати или удостоверения, свързани с тези услуги;
17)
„квалифицирана удостоверителна услуга“ означава удостоверителна услуга, която отговаря на приложимите изисквания, определени в настоящия регламент;
18)
„орган за оценяване на съответствието“ означава орган съгласно определението в член 2, точка 13 от Регламент (ЕО) № 765/2008, който е акредитиран в съответствие със същия регламент като компетентен да извършва оценяване на съответствието на доставчик на квалифицирани удостоверителни услуги и на предоставяните от този доставчик квалифицирани удостоверителни услуги;
19)
„доставчик на удостоверителни услуги“ означава физическо или юридическо лице, което предоставя една или повече удостоверителни услуги като доставчик на квалифицирани или на неквалифицирани удостоверителни услуги;
20)
„доставчик на квалифицирани удостоверителни услуги“ означава доставчик на удостоверителни услуги, който предоставя една или повече квалифицирани удостоверителни услуги и е получил квалифицирания си статут от надзорен орган;
21)
„продукт“ означава хардуер, софтуер или съответните компоненти на хардуер или софтуер, предвидени да се използват при предоставянето на удостоверителни услуги;
22)
„устройство за създаване на електронен подпис“ означава конфигуриран софтуер или хардуер, който се използва за създаването на електронен подпис;
23)
„устройство за създаване на квалифициран електронен подпис“ означава устройство за създаване на електронен подпис, което отговаря на изискванията, предвидени в приложение II;
24)
„създател на печат“ означава юридическо лице, което създава електронен печат;
25)
„електронен печат“ означава данни в електронна форма, които се добавят към други данни в електронна форма или са логически свързани с тях, за да се гарантират произходът и целостта на последните;
26)
„усъвършенстван електронен печат“ означава електронен печат, който отговаря на изискванията, посочени в член 36;
27)
„квалифициран електронен печат“ означава усъвършенстван електронен печат, който е създаден от устройство за създаване на квалифициран електронен печат и се основава на квалифицирано удостоверение за електронен печат;
28)
„данни за създаване на електронен печат“ означава уникални данни, които се използват от създателя на електронния печат за създаването на електронен печат;
29)
„удостоверение за електронен печат“ означава електронен атестат, който свързва данните за валидиране на електронен печат с юридическо лице и потвърждава името на това лице;
30)
„квалифицирано удостоверение за електронен печат“ означава удостоверение за електронен печат, което се издава от доставчик на квалифицирани удостоверителни услуги и отговаря на изискванията, предвидени в приложение III;
31)
„устройство за създаване на електронен печат“ означава конфигуриран софтуер или хардуер, който се използва за създаването на електронен печат;
32)
„устройство за създаване на квалифициран електронен печат“ означава устройство за създаване на електронен печат, което отговаря mutatis mutandis на изискванията, предвидени в приложение II;
33)
„електронен времеви печат“ означава данни в електронна форма, които свързват други данни в електронна форма с конкретен момент във времето и представляват доказателство, че последните данни са съществували в съответния момент;
34)
„квалифициран електронен времеви печат“ означава електронен времеви печат, който отговаря на изискванията, предвидени в член 42;
35)
„електронен документ“ означава всяко съдържание, съхранявано в електронна форма, по-специално текстови или звуков, визуален или аудио-визуален запис;
36)
„услуга за електронна препоръчана поща“ означава услуга, която позволява предаването на данни между трети страни по електронен път, предоставя доказателство във връзка с обработката на предаваните данни, включително доказателство за изпращането и получаването на данните, и защитава предаваните данни срещу риск от загуба, кражба, повреда или непозволени изменения;
37)
„квалифицирана услуга за електронна препоръчана поща“ означава услуга за електронна препоръчана поща, която отговаря на изискванията, предвидени в член 44;
38)
„удостоверение за автентичност на уебсайт“ означава удостоверение, което позволява да се удостовери автентичността на уебсайт, като го свързва с физическото или юридическото лице, на което е издадено удостоверението;
39)
„квалифицирано удостоверение за автентичност на уебсайт“ означава удостоверение за автентичност на уебсайт, което се издава от доставчик на квалифицирани удостоверителни услуги и отговаря на изискванията, предвидени в приложение IV;
40)
„данни за валидиране“ означава данни, които се използват за валидиране на електронен подпис или електронен печат;
41)
„валидиране“ означава процеса на проверка и потвърждаване на валидността на електронен подпис или печат.
Член 4
Принцип на вътрешния пазар
1. Предоставянето на удостоверителни услуги на територията на държава членка от доставчик на удостоверителни услуги, установен в друга държава членка, не подлежи на ограничения на основания, които попадат в обхвата на настоящия регламент.
2. Продуктите и удостоверителните услуги, които отговарят на изискванията на настоящия регламент, са разрешени за свободно движение в рамките на вътрешния пазар.
Член 5
Обработка и защита на данни
1. Обработката на лични данни се извършва в съответствие с Директива 95/46/ЕО.
2. Без да се засяга правната сила, дадена на псевдонимите съгласно националното право, няма забрана за използване на псевдоними при електронни трансакции.
ГЛАВА II
ЕЛЕКТРОННА ИДЕНТИФИКАЦИЯ
Член 6
Взаимно признаване
1. Когато националното право или административната практика изискват електронна идентификация чрез средства за електронна идентификация и удостоверяване на автентичност за достъпа до дадена услуга, предоставяна онлайн от орган от публичния сектор в една държава членка, средствата за електронна идентификация, издадени в друга държава членка, се признават в първата държава членка за целите на трансграничното удостоверяване на автентичност за тази онлайн услуга, при условие че са изпълнени следните условия:
а)
средствата за електронна идентификация се издават в рамките на схема за електронна идентификация, включена в списъка, публикуван от Комисията съгласно член 9;
б)
нивото на осигуреност на средствата за електронна идентификация съответства на ниво на осигуреност, равно или по-високо от нивото на осигуреност, изисквано от съответния орган от публичния сектор, за онлайн достъпа до тази услуга в първата държава членка, при условие че нивото на осигуреност на тези средства за електронна идентификация съответства на ниво на осигуреност „значително“ или „високо“;
в)
съответният орган от публичния сектор използва ниво на осигуреност „значително“ или „високо“ по отношение на онлайн достъпа до тази услуга.
Това признаване се извършва не по-късно от 12 месеца след като Комисията публикува списъка, посочен в първа алинея, буква а).
2. Средствата за електронна идентификация, издадени в рамките на схема за електронна идентификация, включена в списъка, публикуван от Комисията съгласно член 9, които съответстват на ниво на осигуреност „ниско“, могат да бъдат признати от органи от публичния сектор за целите на трансгранично удостоверяване на автентичност за услугите, предоставяни онлайн от тези органи.
Член 7
Допускане за уведомяване относно схеми за електронна идентификация
Дадена схема за електронна идентификация се допуска за уведомяване съгласно член 9, параграф 1, ако всяко едно от следните условия е изпълнено:
а)
средствата за електронна идентификация в рамките на схемата за електронна идентификация са издадени:
i)
от уведомяващата държава членка;
ii)
по поръчение на уведомяващата държава членка; или
iii)
независимо от уведомяващата държава членка и са признати от тази държава членка;
б)
средствата за електронна идентификация в рамките на схемата за електронна идентификация могат да бъдат използвани за достъп до най-малко една услуга, която е предоставяна от орган от публичния сектор и която изисква електронна идентификация в уведомяващата държава членка;
в)
схемата за елетронна идентификация и издаваните по нея средства за електронна идентификация отговарят на изискванията на поне едно от нивата на осигуреност, предвидени в акта за изпълнение, установени в член 8, параграф 3;
г)
уведомяващата държава членка гарантира, че данните за идентификация на лицето, представляващи по уникален начин въпросното лице, се приписват на физическото или юридическото лице, посочено в член 3, точка 1, в момента на издаване на средството за електронна идентификация в рамките на тази схема в съответствие с техническите спецификации, стандарти и процедури за съответното ниво на осигуреност, установени в акта за изпълнение, посочен в член 8, параграф 3;
д)
страната, издаваща електронното средство за идентификация в рамките на тази схема, гарантира, че средството за електронна идентификация се приписва на лицето, посочено в буква г) от настоящия член, в съответствие с техническите спецификации, стандарти и процедури за съответното ниво на осигуреност, установени в акта за изпълнение, посочен в член 8, параграф 3;
е)
уведомяващата държава членка осигурява възможност за удостоверяване на автентичност онлайн, така че всяка доверяваща се страна, установена на територията на друга държава членка, да може да потвърди данните за идентификация на лицето, получени в електронна форма.
За доверяващи се страни, различни от органи от публичния сектор, уведомяващата държава членка може да определи условия за достъп до това удостоверяване на автентичност. Трансграничното удостоверяване на автентичност се предоставя безплатно, когато се извършва във връзка с онлайн услуга, предоставяна от орган от публичния сектор.
Държавите членки не налагат никакви специфични несъразмерни технически изисквания за доверяващи се страни, които възнамеряват да извършват такова удостоверяване на автентичност, когато тези изисквания пречат на оперативната съвместимост на схемите за електронна идентификация, за които е извършено уведомяване, или сериозно я възпрепятстват;
ж)
най-малко шест месеца преди уведомяването по член 9, параграф 1 уведомяващата държава членка предоставя на останалите държави членки за целите на задължението по член 12, параграф 5 описание на въпросната схема в съответствие с процедурните условия, установени в посочените в член 12, параграф 7 актове за изпълнение;
з)
схемата за електронна идентификация отговаря на изискванията, установени в акта за изпълнение, посочен в член 12, параграф 8.
Член 8
Нива на осигуреност на схеми за електронна идентификация
1. Схемата за електронна идентификация, за която е извършено уведомяване съгласно член 9, параграф 1, включва определяне на нива на осигуреност „ниско“, „значително“ и/или „високо“, приписвани на средства за електронна идентификация, издавани в рамките на тази схема.
2. Нивата на осигуреност „ниско“, „значително“ и „високо“ отговарят съответно на следните критерии:
а)
ниво на осигуреност „ниско“ се отнася за средство за електронна идентификация в контекста на схема за електронна идентификация, което предоставя ограничена степен на надеждност на претендираната или заявената самоличност на дадено лице, и се характеризира с препратка към съответни технически спецификации, стандарти и процедури, включително технически проверки, чиято цел е да се понижи значително рискът от злоупотреба или промяна на самоличността;
б)
ниво на осигуреност „значително“ се отнася за средство за електронна идентификация в контекста на схема за електронна идентификация, което предоставя значителна степен на надеждност на претендираната или заявената самоличност на дадено лице и се характеризира с препратка към съответни технически спецификации, стандарти и процедури, включително технически проверки, чиято цел е да се понижи значително рискът от злоупотреба или промяна на самоличността;
в)
ниво на осигуреност „високо“ се отнася за средство за електронна идентификация в контекста на схема за електронна идентификация, което предоставя по-висока степен на надеждност на претендираната или заявената самоличност на дадено лице, отколкото средствата за електронна идентификация с ниво на осигуреност „значително“, и се характеризира с препратка към съответни технически спецификации, стандарти и процедури, включително технически проверки, чиято цел е да се предотврати злоупотреба или промяна на самоличността.
3. До 18 септември 2015 г., като отчита съответните международни стандарти и при спазване на параграф 2, Комисията установява посредством актове за изпълнение минимални технически спецификации, стандарти и процедури, по отношение на които за целите на параграф 1 се определят нива на осигуреност „ниско“, „значително“ и „високо“ за средства за електронна идентификация.
Тези минимални технически спецификации, стандарти и процедури се установяват въз основа на надеждността и качеството на следните елементи:
а)
процедурата за доказване и проверка на самоличността на физически или юридически лица, подаващи искане за издаване на средство за електронна идентификация;
б)
процедурата по издаване на поисканото средство за електронна идентификация;
в)
механизма за удостоверяване на автентичност, чрез който физическото или юридическото лице използва средството за електронна идентификация, за да потвърди своята самоличност на доверяваща се страна;
г)
субекта, издаващ средството за електронна идентификация;
д)
всеки друг орган, имащ отношение към заявлението за издаване на средството за електронна идентификация; и
е)
техническите спецификации и спецификациите за сигурността на издаваните средства за електронна идентификация.
Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 9
Уведомяване
1. Уведомяващата държава членка уведомява Комисията за следната информация и без излишно забавяне съобщава за всички последващи изменения в нея:
а)
описание на схемата за електронна идентификация, включително нивата на осигуреност и издателя или издателите на средството за електронна идентификация в рамките на схемата;
б)
приложимия режим на надзор и информация за режима на отговорност по отношение на следното:
i)
страната, която издава средството за електронна идентификация; и
ii)
страната, която извършва процедурата по удостоверяване на автентичността;
в)
органа или органите, отговарящи за схемата за електронна идентификация;
г)
информация за субекта или субектите, които управляват регистрацията на уникалните идентификационни данни на лицата;
д)
описание как са спазени изискванията, установени в актовете за изпълнение, посочени в член 12, параграф 8;
е)
описание на удостоверяването на автентичността, посочено в член 7, буква е);
ж)
условията за спиране или отмяна на схемата за електронна идентификация, за която е извършено уведомяване, или на удостоверяването на автентичност, или на съответните застрашени части.
2. Една година след датата на прилагане на актовете за изпълнение, посочени в член 8, параграф 3 и член 12, параграф 8, Комисията публикува в Официален вестник на Европейския съюз списък на схемите за електронна идентификация, за които е извършено уведомяване съгласно параграф 1 от настоящия член, и свързаната с тях основна информация.
3. Ако Комисията получи уведомление след изтичане на срока, посочен в параграф 2, тя публикува в Официален вестник на Европейския съюз измененията на списъка, посочен в параграф 2, в рамките на два месеца от датата на получаване на уведомлението.
4. Държава членка може да подаде в Комисията искане схема за електронна идентификация, за която същата държава членка е извършила уведомяване, да бъде заличена от списъка по параграф 2. Комисията публикува в Официален вестник на Европейския съюз съответните изменения на списъка в рамките на един месец от датата на получаване на искането на държавата членка.
5. Комисията може посредством актове за изпълнение да определи обстоятелствата, форматите и процедурите по отношение на уведомленията по параграф 1. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 10
Пробив в сигурността
1. Ако схемата за електронна идентификация, за която е извършено уведомяване съгласно член 9, параграф 1, или удостоверяването на автентичност, посочено в член 7, буква е), са нарушени или частично застрашени по начин, който засяга надеждността на трансграничното удостоверяване на автентичност на тази схема, уведомяващата държава членка незабавно спира или отменя това трансгранично удостоверяване на автентичност или съответните застрашени части и информира другите държави членки и Комисията.
2. Когато пробивът или застрашаването на сигурността, посочени в параграф 1, бъдат отстранени, уведомяващата държава членка възобновява трансграничното удостоверяване на автентичност и без неоснователно забавяне информира другите държави членки и Комисията.
3. Ако пробивът или нарушаването на сигурността, посочени в параграф 1, не бъдат отстранени в рамките на три месеца от спирането или отмяната, уведомяващата държава членка информира другите държави членки и Комисията за прекратяването на схемата за електронна идентификация.
Комисията публикува без неоснователно забавяне съответните изменения на списъка по член 9, параграф 2 в Официален вестник на Европейския съюз.
Член 11
Отговорност
1. За неспазване на задълженията си по член 7, букви г) и е) при трансгранична трансакция уведомяващата държава членка носи отговорност за щети, нанесени умишлено или поради небрежност на физическо или юридическо лице.
2. Страната, издаваща средството за електронна идентификация, носи отговорност за щети, нанесени умишлено или поради небрежност на физическо или юридическо лице поради неизпълнение на задължението по член 7, буква д) при трансгранична трансакция.
3. Страната, извършващ процедурата по удостоверяване на автентичност, носи отговорност за щети, нанесени умишлено или поради небрежност на физическо или юридическо лице поради неспособност да гарантира правилното функциониране на удостоверяването на автентичност по член 7, буква е) при трансгранична трансакция.
4. Параграфи 1, 2 и 3 се прилагат в съответствие с националните правила относно отговорността.
5. Параграфи 1, 2 и 3 не засягат отговорността - съгласно националното право - на страните по трансакция, при която се използват средства за електронна идентификация, попадащи в обхвата на схемата за електронна идентификация, за която е извършено уведомяване съгласно член 9, параграф 1.
Член 12
Сътрудничество и оперативна съвместимост
1. Националните схеми за електронна идентификация, за които се извършва уведомяване съгласно член 9, параграф 1, са оперативно съвместими.
2. За целите на параграф 1 се установява рамка за оперативна съвместимост.
3. Рамката за оперативна съвместимост отговаря на следните критерии:
а)
има за цел да е технологично неутрална и не допуска дискриминация между специфичните национални технически решения за електронна идентификация в рамките на дадена държава членка;
б)
спазва европейските и международните стандарти, когато това е възможно;
в)
улеснява спазването на принципа за защита на личния живот още при разработването; и
г)
гарантира, че личните данни се обработват в съответствие с Директива 95/46/ЕО.
4. Рамката за оперативна съвместимост се състои от:
а)
задаване на минимални технически изисквания във връзка с нивата на осигуреност съгласно член 8;
б)
категоризиране на националните нива на осигуреност на схемите на електронна идентификация, за които е извършено уведомяване, по нива на осигуреност съгласно член 8;
в)
задаване на минимални технически изисквания за оперативна съвместимост;
г)
задаване на минимален набор от данни за идентификация на лицето, представляващи по уникален начин физическо или юридическо лице, които са достъпни посредством схеми за електронна идентификация;
д)
процедурни правила;
е)
механизми за уреждане на спорове; и
ж)
общи оперативни стандарти за сигурност.
5. Държавите членки си сътрудничат по следните въпроси:
а)
оперативна съвместимост на схеми за електронна идентификация, за които е извършено уведомяване съгласно член 9, параграф 1, и на схеми за електронна идентификация, за които държавите членки имат намерение да направят уведомяване; и
б)
сигурност на схемите за електронна идентификация.
6. Сътрудничеството между държавите членки се състои от:
а)
обмена на информация, опит и добри практики във връзка със схемите за електронна идентификация, и по-специално във връзка с техническите изисквания, свързани с оперативната съвместимост и нивата на осигуреност;
б)
обмена на информация, опит и добри практики във връзка с използването на нивата на осигуреност на схемите за електронна идентификация съгласно член 8;
в)
партньорска проверка на схемите за електронна идентификация, попадащи в обхвата на настоящия регламент; и
г)
анализ на значимите новости в сектора на електронната идентификация.
7. С оглед постигането на висока степен на доверие и сигурност, отговарящи на степента на риск, до 18 март 2015 г. Комисията установява посредством актове за изпълнение процедурните условия, необходими за улесняване на сътрудничеството между държавите членки, посочено в параграфи 5 и 6.
8. С цел да се установят еднакви условия за изпълнение на изискването по параграф 1, до 18 септември 2015 г. Комисията, като спазва критериите по параграф 3 и като отчита резултатите от сътрудничеството между държавите членки, приема актове за изпълнение относно рамка за оперативна съвместимост съгласно установеното в параграф 4.
9. Актовете за изпълнение, посочени в параграфи 7 и 8 от настоящия член, се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
ГЛАВА III
УДОСТОВЕРИТЕЛНИ УСЛУГИ
РАЗДЕЛ 1
Общи разпоредби
Член 13
Отговорност и тежест на доказване
1. Без да се засяга параграф 2, доставчиците на удостоверителни услуги носят отговорност за щети, нанесени умишлено или поради небрежност на физическо или юридическо лице поради неизпълнение на задълженията по настоящия регламент.
Тежестта на доказване, че щетите са били нанесени умишлено или поради небрежност от страна на доставчик на неквалифицирани удостоверителни услуги, пада върху физическото или юридическото лице, подало иск във връзка с щетите, посочени в първа алинея.
Наличието на умисъл или небрежност от страна на доставчик на квалифицирани удостоверителни услуги се презюмира, освен ако този доставчик на квалифицирани удостоверителни услуги докаже, че посочените в първа алинея щети са настъпили без умисъл или небрежност от страна на същия доставчик на квалифицирани удостоверителни услуги.
2. Когато доставчици на удостоверителни услуги информират надлежно и предварително своите клиенти относно ограниченията върху използването на предоставяните от тях услуги и когато тези ограничения са разпознаваеми за трети страни, доставчиците на удостоверителни услуги не носят отговорност за щети, произтичащи от използване на услугите по начин, превишаващ посочените ограничения.
3. Параграфи 1 и 2 се прилагат в съответствие с националните правила относно отговорността.
Член 14
Международни аспекти
1. Удостоверителните услуги, предоставяни от доставчици на удостоверителни услуги, установени в трета държава, се признават за равностойни от правна гледна точка на квалифицираните удостоверителни услуги, предоставяни от доставчици на квалифицирани удостоверителни услуги, установени в Съюза, ако удостоверителните услуги с произход от трета държава са признати съгласно споразумение, сключено между Съюза и въпросната трета държава или международна организация в съответствие с член 218 от ДФЕС.
2. Споразуменията, посочени в параграф 1, гарантират по-специално, че:
а)
изискванията, приложими спрямо доставчици на квалифицирани удостоверителни услуги, установени в Съюза, и предоставяните от тях квалифицирани удостоверителни услуги, са спазени от доставчиците на удостоверителни услуги в третата държава или международните организации, с които е сключено споразумението, и от предоставяните от тях удостоверителни услуги;
б)
квалифицираните удостоверителни услуги, предоставяни от доставчици на квалифицирани удостоверителни услуги, установени в Съюза, са признати за равностойни от правна гледна точка на удостоверителни услуги, предоставяни от доставчици на удостоверителни услуги в третата държава или международна организация, с която е сключено споразумението.
Член 15
Достъпност за хора с увреждания
Когато това е практически осъществимо, предоставяните удостоверителни услуги и използваните при предоставянето на тези услуги продукти за крайния потребител следва да бъдат достъпни за хора с увреждания.
Член 16
Санкции
Държавите членки определят правилата относно санкциите, приложими при нарушаване на настоящия регламент. Предвидените санкции са ефективни, пропорционални и възпиращи.
РАЗДЕЛ 2
Надзор
Член 17
Надзорен орган
1. Държавите членки определят надзорен орган, установен на тяхна територия, или, при наличие на взаимно споразумение с друга държава членка, надзорен орган, установен във въпросната друга държава членка. Този орган е отговорен за изпълнението на задачите по надзора в определящата държава членка.
На надзорните органи се предоставят необходимите правомощия и достатъчни ресурси за изпълнението на техните задачи.
2. Държавите членки съобщават на Комисията наименованията и адресите на определените от тях надзорни органи.
3. Функцията на на надзорния орган е следната:
а)
да осъществява надзор върху доставчици на квалифицирани удостоверителни услуги, установени на територията на определящата държава членка, за да се гарантира, посредством предварителни и последващи действия по надзора, че тези доставчици на квалифицирани удостоверителни услуги и предоставяните от тях квалифицирани удостоверителни услуги отговарят на изискванията, предвидени в настоящия регламент;
б)
при необходимост да предприема действия по отношение на доставчици на неквалифицирани удостоверителни услуги, установени на територията на определящата държава членка, посредством последващи действия по надзора, когато получи информация, съгласно която се твърди, че тези доставчици на неквалифицирани удостоверителни услуги или предоставяните от тях удостоверителни услуги не отговарят на изискванията, предвидени в настоящия регламент.
4. За целите на параграф 3 и при спазване на предвидените в него ограничения задачите на надзорния орган включват по-конкретно:
а)
да си сътрудничи с други надзорни органи и да им оказва съдействие в съответствие с член 18;
б)
да анализира докладите за оценяване на съответствието, посочени в член 20, параграф 1 и член 21, параграф 1;
в)
да информира други надзорни органи и обществеността за пробиви в сигурността или нарушаване на целостта в съответствие с член 19, параграф 2;
г)
да докладва на Комисията за своите основни дейности в съответствие с параграф 6 от настоящия член;
д)
да извършва одити или да изисква от орган за оценяване на съответствието да проведе оценяване на съответствието на доставчиците на квалифицирани удостоверителни услуги в съответствие с член 20, параграф 2;
е)
да си сътрудничи с органите по защита на данните, по-специално като без неоснователно забавяне ги информира за резултатите от одитите на доставчици на квалифицирани удостоверителни услуги, при които има предполагаеми нарушения на правилата за защита на личните данни;
ж)
да предоставя квалифициран статут на доставчици на удостоверителни услуги и на предоставяните от тях услуги и да отнема този статут в съответствие с членове 20 и 21;
з)
да информира органа, отговорен за националния доверителен списък, посочен в член 22, параграф 3, за своите решения за представяне или отнемане на квалифициран статут, освен в случаите, когато въпросният орган е и надзорен орган;
и)
да проверява наличието и правилното прилагане на разпоредбите относно плана за осигуряване на непрекъснатост на обслужването в случаите, когато доставчиците на квалифицирани удостоверителни услуги прекъснат дейността си, включително относно начините за запазване на достъпа до информацията в съответствие с член 24, параграф 2, буква з);
й)
да изисква от доставчиците на удостоверителни услуги да отстранят всяко неизпълнение на изискванията, посочени в настоящия регламент.
5. Държавите членки могат да изискват от надзорния орган да изгражда, поддържа и актуализира инфраструктура за удостоверяване в съответствие с условията по националното право.
6. Всяка година до 31 март всеки надзорен орган изпраща на Комисията доклад относно основните си дейности през предходната календарна година, наред с обобщена информация относно уведомленията за нарушения, получени от доставчици на удостоверителни услуги, в съответствие с член 19, параграф 2.
7. Комисията предоставя на държавите членки годишния доклад, посочен в параграф 6.
8. Комисията може да определи посредством актове за изпълнение форматите и процедурите по отношение на доклада, посочен в параграф 6. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 18
Взаимопомощ
1. Надзорните органи си сътрудничат с оглед обмен на добри практики.
Всеки надзорен орган, при получаване на обосновано искане от друг надзорен орган, му осигурява помощта, необходима за последователното осъществяване на дейностите на надзорните органи. Взаимопомощта може да обхваща по-специално искания за информация, както и надзорни мерки, като искания за извършване на проверки, свързани с докладите за оценяване на съответствието, както е посочено в членове 20 и 21.
2. Надзорен орган, до който е изпратено искане за помощ, може да откаже да го изпълни на някое от следните основания:
а)
надзорният орган не е компетентен да предостави исканата помощ;
б)
исканата помощ не е пропорционална на надзорните функции, изпълнявани от надзорния орган в съответствие с член 17;
в)
при условие че исканата помощ би била несъвместима с настоящия регламент.
3. При необходимост държавите членки могат да разрешат на съответните си надзорни органи да провеждат съвместни разследвания, в които участват служители на надзорни органи от други държави членки. Механизмите и процедурите за осъществяването на тези съвместни действия се договарят и установяват от съответните държави членки съгласно националното им право.
Член 19
Изисквания за сигурност, които се прилагат към доставчиците на удостоверителни услуги
1. Доставчиците на квалифицирани и неквалифицирани удостоверителни услуги предприемат подходящи технически и организационни мерки за управление на рисковете за сигурността на предоставяните от тях удостоверителни услуги. При тези мерки се вземат предвид най-новите технически достижения, за да се гарантира, че равнището на сигурност е пропорционално на степента на риска. В частност се предприемат мерки за предотвратяване и свеждане до минимум на въздействието на инциденти, свързани със сигурността, и за информиране на заинтересованите страни относно нежеланите последици от такива инциденти.
2. В случай на пробив в сигурността или нарушаване на целостта, които имат съществено въздействие върху предоставяната удостоверителна услуга или върху съхраняваните лични данни, доставчиците на квалифицирани и неквалифицирани удостоверителни услуги уведомяват за това без излишно забавяне, но при всички случаи в срок от 24 часа от момента, в който са узнали за настъпилото събитие, надзорния орган и, когато е приложимо, други компетентни органи, например компетентния национален орган в областта на информационната сигурност или органа по защита на данните.
Когато има вероятност пробивът в сигурността или нарушаването на целостта да окажат негативно въздействие върху физическо или юридическо лице, на което е предоставена удостоверителната услуга, доставчикът на удостоверителни услуги уведомява без излишно забавяне за пробива в сигурността или нарушаването на целостта и въпросното физическо или юридическо лице.
При необходимост, и особено ако пробивът в сигурността или нарушаването на целостта засягат две или повече държави членки, уведоменият надзорен орган информира надзорните органи в останалите засегнати държави членки и ENISA.
Ако прецени, че разгласяването на пробива в сигурността или нарушаването на целостта е в обществен интерес, уведоменият надзорен орган информира обществеността или изисква от доставчика на удостоверителни услуги да направи това.
3. Веднъж годишно надзорният орган представя на ENISA обобщение на уведомленията за пробиви в сигурността и нарушения на целостта, получени от доставчиците на удостоверителни услуги.
4. Комисията може посредством актове за изпълнение:
а)
да уточни допълнително мерките, посочени в параграф 1; и
б)
да определи форматите и процедурите, включително сроковете, приложими за целите на параграф 2.
Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
РАЗДЕЛ 3
Квалифицирани удостоверителни услуги
Член 20
Надзор над доставчиците на квалифицирани удостоверителни услуги
1. Доставчиците на квалифицирани удостоверителни услуги са обект на одит най-малко веднъж на 24 месеца за тяхна собствена сметка от орган за оценяване на съответствието. Целта на одита е да се потвърди, че доставчиците на квалифицирани удостоверителни услуги и предоставяните от тях квалифицирани удостоверителни услуги отговарят на изискванията, посочени в настоящия регламент. Доставчиците на квалифицирани удостоверителни услуги представят на надзорния орган съответния доклад за оценяване на съответствието в срок от три работни дни след като го получат.
2. Без да се засяга параграф 1, надзорният орган може по всяко време да извърши одит или да поиска от орган за оценяване на съответствието да направи оценяване на съответствието на доставчиците на квалифицирани удостоверителни услуги за тяхна собствена сметка, за да потвърди, че те и предоставяните от тях квалифицирани удостоверителни услуги отговарят на изискванията, посочени в настоящия регламент. Ако има съмнение, че са нарушени правилата за защита на личните данни, надзорният орган уведомява за резултатите от своите одити органите по защита на данните.
3. Ако надзорният орган поиска от доставчика на квалифицирани удостоверителни услуги да вземе мерки, за да изпълни неизпълнените от него изисквания по настоящия регламент, и ако този доставчик не предприеме необходимите действия, ако е приложимо, в определения от надзорния орган срок, надзорният орган, като вземе под внимание по-специално степента, продължителността и последиците от това неизпълнение, може да отнеме квалифицирания статут на този доставчик или на съответната предоставяна от него услуга и да информира посочения в член 22, параграф 3 орган, за да може той да актуализира доверителните списъци по член 22, параграф 1. Надзорният орган уведомява доставчика на квалифицирани удостоверителни услуги за отнемането на неговия квалифициран статут или на квалифицирания статут на съответната услуга.
4. Посредством актове за изпълнение Комисията може да определи референтните номера на следните стандарти:
а)
за акредитацията на органите за оценяване на съответствието и за доклада за оценяване на съответствието, посочени в параграф 1;
б)
за правилата за извършване на одит, според които органите за оценяване на съответствието ще извършват своето оценяване на съответствието на доставчиците на квалифицирани удостоверителни услуги, както е посочено в параграф 1.
Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 21
Начало на предоставянето на квалифицирана удостоверителна услуга
1. Когато доставчици на удостоверителни услуги без квалифициран статут възнамеряват да започнат да предоставят квалифицирани удостоверителни услуги, те изпращат на надзорния орган уведомление за намерението си заедно с доклад за оценяване на съответствието, съставен от органа за оценяване на съответствието.
2. Надзорният орган проверява дали доставчикът на удостоверителни услуги и предоставяните от него удостоверителни услуги отговарят на изискванията, посочени в настоящия регламент, и по-специално на изискванията за доставчиците на квалифицирани удостоверителни услуги и за предоставяните от тях квалифицирани удостоверителни услуги.
Ако надзорният орган прецени, че доставчикът на удостоверителни услуги и предоставяните от него удостоверителни услуги отговарят на изискванията, посочени в първа алинея, надзорният орган предоставя квалифициран статут на доставчика на удостоверителни услуги и на предоставяните от него удостоверителни услуги и информира посочения в член 22, параграф 3 орган, за да може той да актуализира доверителните списъци по член 22, параграф 1 в срок от три месеца след уведомяването съгласно параграф 1 от настоящия член.
Ако проверката не приключи в тримесечен срок от уведомяването, надзорният орган информира доставчика на удостоверителни услуги, като посочва причините за забавянето и срока, в който трябва да приключи проверката.
3. Доставчиците на квалифицирани удостоверителни услуги могат да започнат да предоставят квалифицирани удостоверителни услуги, след като квалифицираният статут бъде отбелязан в доверителните списъци, посочени в член 22, параграф 1.
4. Комисията може да определи посредством актове за изпълнение форматите и процедурите за целите на параграфи 1 и 2. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 22
Доверителни списъци
1. Всяка държава членка създава, поддържа и публикува доверителни списъци, които съдържат информация за доставчиците на квалифицирани удостоверителни услуги, за които носи отговорност, както и за предоставяните от тези доставчици квалифицирани удостоверителни услуги.
2. Държавите членки създават, поддържат и публикуват по сигурен начин предвидените в параграф 1 доверителни списъци, които са подписани и подпечатани по електронен път във форма, подходяща за автоматизирана обработка.
3. Държавите членки уведомяват без излишно забавяне Комисията за органа, натоварен със създаването, поддържането и публикуването на националните доверителни списъци, за мястото, където се публикуват тези списъци, за удостоверенията, които се използват за подписване или подпечатване на доверителни списъци, както и за всички последващи промени в тях.
4. Комисията предоставя на обществеността чрез сигурен канал информацията, посочена в параграф 3, подписана и подпечатана по електронен път и във форма, подходяща за автоматизирана обработка.
5. До 18 септември 2015 г. Комисията посредством актове за изпълнение уточнява информацията, посочена в параграф 1, и определя техническите спецификации и форматите на доверителните списъци за целите на параграфи 1-4. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 23
Марка за доверие на ЕС за квалифицирани удостоверителни услуги
1. След като посоченият в член 21, параграф 2, втора алинея квалифициран статут бъде отбелязан в доверителния списък по член 22, параграф 1, доставчиците на квалифицирани удостоверителни услуги могат да използват марката за доверие на ЕС, за да обозначат по прост, разпознаваем и ясен начин предоставяните от тях квалифицирани удостоверителни услуги.
2. Когато използват марката за доверие на ЕС за квалифицираните удостоверителни услуги, посочени в параграф 1, доставчиците на квалифицирани удостоверителни услуги правят необходимото на уебсайта им да присъства линк към съответния доверителен списък.
3. До 1 юли 2015 г. Комисията определя посредством актове за изпълнение спецификациите относно формата, и по-конкретно представянето, състава, размера и оформлението на марката на доверие на ЕС за обозначаване на квалифицирани удостоверителни услуги. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 24
Изисквания към доставчиците на квалифицирани удостоверителни услуги
1. При издаването на квалифицирано удостоверение за удостоверителна услуга доставчикът на квалифицирани удостоверителни услуги проверява чрез подходящи средства и в съответствие с националното право самоличността и, ако е приложимо, всички специфични данни за физическото или юридическото лице, на което се издава квалифицираното удостоверение.
Информацията, посочена в първа алинея, се проверява от доставчика на квалифицирани удостоверителни услуги пряко или чрез трета страна в съответствие с националното право:
а)
чрез личното присъствие на физическото лице или на упълномощен представител на юридическото лице; или
б)
дистанционно, чрез средство за електронна идентификация, като за целта преди издаването на квалифицираното удостоверение е било осигурено физическото присъствие на физическото лице или на упълномощен представител на юридическото лице и въпросното средство отговоря на изискванията на член 8 по отношение на нивата на осигуреност „значително“ или „високо“; или
в)
чрез удостоверение за квалифициран електронен подпис или за квалифициран електронен печат, издадено в съответствие с буква а) или б); или
г)
чрез използване на други признати на национално равнище методи за идентификация, които дават ниво на осигуреност, равностойно на физическото присъствие по отношение на надежността. Равностойното ниво на осигуреност се потвърждава от орган за оценяване на съответствието.
2. Доставчик на квалифицирани удостоверителни услуги:
а)
информира надзорния орган относно всяка промяна в предоставянето от него на квалифицирани удостоверителни услуги, включително за намерението да преустанови тези дейностти;
б)
наема персонал и, ако е приложимо, подизпълнители, които притежават необходимите експертни знания, надеждност, опит и квалификация и са преминали подходящо обучение относно правилата за сигурност и защита на личните данни, и прилага съответстващи на европейските или международните стандарти административни и управленски процедури;
в)
във връзка с риска от отговорност за нанесени щети в съответствие с член 13 поддържа достатъчни финансови ресурси и/или сключва подходяща застраховка за отговорност в съответствие с националното право;
г)
преди встъпването в договорни отношения информира по ясен и разбираем начин всяко лице, което иска да използва квалифицирана удостоверителна услуга, за точните условия и ред за използване на тази услуга, включително за всякакви ограничения, свързани с използването ѝ;
д)
използва надеждни системи и продукти, които са защитени срещу промяна, и гарантира техническата сигурност и надеждност на поддържаните от тях процеси;
е)
използва надеждни системи за съхранение на предоставените му данни във вид, позволяващ проверка, така че:
i)
те да са публично достъпни за извличане само в случаите, когато е получено съгласието на лицето, за което се отнасят данните;
ii)
само упълномощени лица да могат да въвеждат информация и да внасят промени в съхраняваните данни;
iii)
да може да бъде проверена автентичността на данните;
ж)
взема подходящи мерки срещу подправяне и кражба на данни;
з)
записва и съхранява на разположение за подходящ срок, включително след като доставчикът на квалифицирани удостоверителни услуги е преустановил дейността си, цялата имаща отношение информация във връзка с данните, издадени и получени от доставчик на квалифицирани удостоверителни услуги, и по-специално с оглед предоставяне на доказателство при съдебни производства и осигуряване на приемственост при предоставянето на услугата. Тези записи могат да бъдат направени по електронен път;
и)
в съответствие с разпоредбите, подложени на проверка от надзорния орган съгласно член 17, параграф 4, буква и), разполага с актуализиран план за осигуряване на непрекъснатост на обслужването в случай на прекратяване на дейността;
й)
осигурява законосъобразна обработка на лични данни в съответствие с Директива 95/46/ЕО;
к)
в случай на доставчици на квалифицирани удостоверителни услуги, които издават квалифицирани удостоверения - създава база данни с удостоверения и редовно я актуализира.
3. Ако доставчик на квалифицирани удостоверителни услуги, който издава квалифицирани удостоверения, реши да отмени удостоверение, той регистрира тази отмяна в неговата база данни с удостоверения и публикува отменения статут на удостоверението своевременно, но във всички случаи в срок до24 часа след като бъде получено искането. Отмяната става валидна веднага след като бъде публикувана.
4. Във връзка с параграф 3 доставчиците на квалифицирани удостоверителни услуги, които издават квалифицирани удостоверения, предоставят на всяка доверяваща се страна информация относно валидността или отмяната на издадените от тях квалифицирани удостоверения. Тази информация се предоставя на разположение по всяко време и дори след срока на валидност на удостоверението най-малко въз основа на удостоверение по автоматизиран начин, който е надежден, безплатен и ефикасен.
5. Комисията може да определи посредством актове за изпълнение референтните номера на стандартите за надеждни системи и продукти, които отговарят на изискванията по параграф 2, букви д) и е) от настоящия член. Съответствието с изискванията по настоящия член се презюмира, когато надеждните системи и продукти отговарят на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
РАЗДЕЛ 4
Електронни подписи
Член 25
Правна сила на електронните подписи
1. Правната сила и допустимостта на електронния подпис като доказателство при съдебни производства не могат да бъда оспорени единствено на основанието, че той е в електронна форма или че не отговоря на изискванията за квалифицирани електронни подписи.
2. Правната сила на квалифицирания електронен подпис е равностойна на тази на саморъчния подпис.
3. Квалифицираният електронен подпис, основан на квалифицирано удостоверение, издадено в една държава членка, се признава за квалифициран електронен подпис във всички други държави членки.
Член 26
Изисквания към усъвършенстваните електронни подписи
Усъвършенстваният електронен подпис отговаря на следните изисквания:
а)
свързан е по уникален начин с титуляря на подписа;
б)
може да идентифицира титуляря на подписа;
в)
създаден е чрез данни за създаване на електронен подпис, които титулярят на електронния подпис може да използва с висока степен на доверие и единствено под свой контрол; и
г)
свързан е с данните, които са подписани с него, по начин, позволяващ да бъде открита всяка последваща промяна в тях.
Член 27
Електронни подписи в публичните услуги
1. Ако за използване на онлайн услуга, предлагана от орган от публичния сектор или от негово име, дадена държава членка изисква усъвършенстван електронен подпис, същата държава членка признава усъвършенствани електронни подписи, усъвършенствани електронни подписи, основани на квалифицирано удостоверение за електронни подписи, и квалифицирани електронни подписи поне във форматите или с използване на методите, определени в актовете за изпълнение, посочени в параграф 5.
2. Ако за използване на онлайн услуга, предлагана от орган от публичния сектор или от негово име, дадена държава членка изисква усъвършенстван електронен подпис, основан на квалифицирано удостоверение, същата държава членка признава усъвършенствани електронни подписи, основани на квалифицирано удостоверение, и квалифицирани електронни подписи поне във форматите или с използване на методите, определени в актовете за изпълнение, посочени в параграф 5.
3. За трансгранично използване при онлайн услуга, предлагана от орган от публичния сектор, държавите членки не изискват електронен подпис с равнище на сигурност, по-високо от това на квалифицирания електронен подпис.
4. Комисията може да определи посредством актове за изпълнение референтните номера на стандартите за усъвършенствани електронни подписи. Съответствието с изискванията относно усъвършенстваните електронни подписи, посочени в параграфи 1 и 2 от настоящия член и в член 26, се презюмира, когато усъвършенстваният електронен подпис отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
5. До 18 септември 2015 г. и като отчита съществуващите практики, стандарти и правни актове на Съюза, Комисията, посредством актове за изпълнение, определя референтните формати на усъвършенстваните електронни подписи или референтните методи, когато се използват алтернативни формати. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 28
Квалифицирани удостоверения за електронни подписи
1. Квалифицираните удостоверения за електронни подписи отговарят на изискванията, предвидени в приложение I.
2. Квалифицираните удостоверения за електронни подписи не подлежат на каквото и да било задължително изискване, което надхвърля изискванията, предвидени в приложение I.
3. Квалифицираните удостоверения за електронни подписи могат да включват допълнителни незадължителни специфични данни. Тези данни не засягат оперативната съвместимост и признаването на квалифицираните електронни подписи.
4. Ако квалифицирано удостоверение за електронни подписи бъде отменено след първоначалното активиране, то губи валидността си от момента на отмяната и неговият статут не може да бъде възстановен при никакви обстоятелства.
5. Държавите членки могат да определят национални правила относно временното спиране на валидността на квалифицирано удостоверение за електронен подпис при спазване на следните условия:
а)
ако квалифицирано удостоверение за електронен подпис бъде временно спряно, то губи валидността си за срока на спирането;
б)
срокът на спирането се отбелязва ясно в базата данни за удостоверенията, а статутът на спряното удостоверение е видим за срока на спирането в рамките на услугата, предоставяща информация за статута на удостоверението.
6. Комисията може да определи посредством актове за изпълнение референтните номера на стандартите за квалифицирани удостоверения за електронен подпис. Съответствието с изискванията, предвидени в приложение I, се презюмира, когато квалифицираните удостоверения за електронен подпис отговарят на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 29
Изисквания към устройствата за създаване на квалифициран електронен подпис
1. Устройствата за създаване на квалифициран електронен подпис отговарят на изискванията, предвидени в приложение II.
2. Комисията може да определи посредством актове за изпълнение референтните номера на стандартите за устройства за създаване на квалифициран електронен подпис. Съответствието с изискванията, предвидени в приложение II, се презюмира, когато устройството за създаване на квалифициран електронен подпис отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 30
Сертифициране на устройствата за създаване на квалифициран електронен подпис
1. Съответствието на устройствата за създаване на квалифициран електронен подпис с изискванията, предвидени в приложение II, се сертифицира от съответните публичноправни или частни организации, определени от държавите членки.
2. Държавите членки съобщават на Комисията наименованията и адресите на публичноправната или частната организация, посочена в параграф 1. Комисията предоставя тази информация на разположение на държавите членки.
3. Посоченото в параграф 1 сертифициране се основава на едно от следните условия:
а)
процес на оценка на сигурността, осъществен в съответствие с един от стандартите за оценка на сигурността на продукти на информационните технологии, включени в списъка, изготвен в съответствие с втората алинея; или
б)
процес, различен от посочения в буква а), при условие че при него са използвани съпоставими равнища на сигурност и че посочената в параграф 1 публичноправна или частна организация е уведомила Комисията за въпросния процес. Този процес може да се използва само при липса на стандартите, посочени в буква а), или когато посоченият в буква а) процес на оценка на сигурността се извършва в момента.
Комисията изготвя посредством актове за изпълнение списък на стандартите за оценка на сигурността на продукти на информационните технологии, посочени в буква а). Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
4. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 47 за установяване на конкретните критерии, на които трябва да отговарят определените органи, посочени в параграф 1 от настоящия член.
Член 31
Публикуване на списък на сертифицираните устройства за създаване на квалифициран електронен подпис
1. Държавите членки уведомяват Комисията без излишно забавяне и не по-късно от един месец след приключване на сертифицирането за устройствата за създаване на квалифициран електронен подпис, които са сертифицирани от посочените в член 30, параграф 1 организации. Те също така уведомяват Комисията без излишно забавяне и не по-късно от един месец след отмяна на сертифицирането за устройствата за създаване на квалифициран електронен подпис, които вече не отговарят на условията за сертифициране.
2. Въз основа на получената информация Комисията изготвя, публикува и поддържа списък на сертифицираните устройства за създаване на квалифициран електронен подпис.
3. Комисията може да определи посредством актове за изпълнение форматите и процедурите за целите на параграф 1. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 32
Изисквания към валидирането на квалифицирани електронни подписи
1. В процеса на валидиране на квалифициран електронен подпис се потвърждава валидността на квалифицирания електронен подпис, при условие че:
а)
удостоверението в подкрепа на подписа към момента на подписването е било квалифицирано удостоверение за електронен подпис, отговарящо на приложение I;
б)
квалифицираното удостоверение е издадено от доставчик на квалифицирани удостоверителни услуги и е било валидно към момента на подписването;
в)
данните за валидиране на подписа съответстват на данните, предоставени от доверяващата се страна;
г)
уникалният набор от данни, представляващи титуляря на електронния подпис в удостоверението, е надлежно предаден на доверяващата се страна;
д)
ако към момента на подписването е бил използван псевдоним, то това е ясно указано на доверяващата се страна;
е)
електронният подпис е създаден от устройство за създаване на квалифициран електронен подпис;
ж)
целостта на подписаните данни не е застрашена;
з)
изискванията по член 26 са били изпълнени към момента на подписването.
2. Използваната за валидиране на квалифицирания електронен подпис система предоставя на доверяващата се страна правилния резултат от процеса на валидиране и ѝ позволява да открие евентуални проблеми, свързани със сигурността.
3. Комисията може да определи посредством актове за изпълнение референтните номера на стандартите за валидиране на квалифицирани електронни подписи. Съответствието с изискванията, предвидени в параграф 1, се презюмира, когато валидирането на квалифицирани електронни подписи отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 33
Услуга по квалифицирано валидиране на квалифицирани електронни подписи
1. Услугата по квалифицирано валидиране на квалифицирани електронни подписи може да се предоставя единствено от доставчик на квалифицирани удостоверителни услуги, който:
а)
извършва валидиране в съответствие с член 32, параграф 1; и
б)
дава възможност на доверяващите се страни да получат резултата от процеса на валидиране по автоматизиран начин, който е надежден и ефикасен и носи усъвършенстван електронен подпис или усъвършенстван електронен печат на доставчика на услугата по квалифицирано валидиране.
2. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за услугата по квалифицирано валидиране, посочена в параграф 1. Съответствието с изискванията, определени в параграф 1, се презюмира, когато услугата по валидирането на квалифицирани електронни подписи отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 34
Услуга по квалифицирано съхраняване на квалифицирани електронни подписи
1. Услугата по квалифицирано съхраняване на квалифицирани електронни подписи може да се предоставя единствено от доставчик на квалифицирани удостоверителни услуги, който използва процедури и технологии, позволяващи надеждността на квалифицирания електронен подпис да се разшири извън срока на технологична валидност.
2. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за услугата по квалифицирано съхраняване на квалифицирани електронни подписи. Съответствието с изискванията, определени в параграф 1, се презюмира, когато услугата по квалифицирано съхраняване на квалифицирани електронни подписи отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
РАЗДЕЛ 5
Електронни печати
Член 35
Правна сила на електронните печати
1. Правната сила и допустимостта на електронния печат като доказателство в съдебни производства не могат да бъдат оспорени единствено на основанието, че той е в електронна форма или че не отговоря на изискванията за квалифицирани електронни печати.
2. Квалифицираният електронен печат се ползва от презумпция за цялост на данните и точност на произхода на тези данни, за които се отнася квалифицираният електронен печат.
3. Квалифицираният електронен печат, основан на квалифицирано удостоверение, издадено в една държава членка, се признава за квалифициран електронен печат във всички други държави членки.
Член 36
Изисквания към квалифицираните електронни печати
Квалифицираният електронен печат отговаря на следните изисквания:
а)
свързан е по уникален начин със създателя на печата;
б)
може да идентифицира създателя на печата;
в)
създаден е чрез данни за създаване на електронен печат, които създателят на електронния печат може да използва с висока степен на доверие и единствено под свой контрол; и
г)
свързан е с данните, за които се отнася, по начин, позволяващ да бъде открита всяка последваща промяна в тях.
Член 37
Електронни печати в публичните услуги
1. Ако за използване на онлайн услуга, предлагана от орган от публичния сектор или от негово име, дадена държава членка изисква усъвършенстван електронен печат, същата държава членка признава усъвършенствани електронни печати, усъвършенствани електронни печати, основани на квалифицирано удостоверение за електронни печати, и квалифицирани електронни печати поне във форматите или с използване на методите, определени в актовете за изпълнение, посочени в параграф 5.
2. Ако за използване на онлайн услуга, предлагана от орган от публичния сектор или от негово име, дадена държава членка изисква усъвършенстван електронен печат, основан на квалифицирано удостоверение, същата държава членка признава усъвършенствани електронни печати, основани на квалифицирано удостоверение, и квалифицирани електронни печати поне във форматите или с използване на методите, определени в актовете за изпълнение, посочени в параграф 5.
3. За трансгранично използване при онлайн услуга, предлагана от орган от публичния сектор, държавите членки не изискват електронен печат с ниво на сигурност, по-високо от това на квалифицирания електронен печат.
4. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за усъвършенстваните електронни печати. Съответствието с изискванията относно усъвършенстваните електронни печати, посочени в параграфи 1 и 2 от настоящия член и в член 36, се презюмира, когато усъвършенстваният електронен печат отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
5. До 18 септември 2015 г. и като отчита съществуващите практики, стандарти и правни актове на Съюза, Комисията посредством актове за изпълнение определя референтните формати на усъвършенстваните електронни печати или референтните методи, когато се използват алтернативни формати. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 38
Квалифицирани удостоверения за електронни печати
1. Квалифицираните удостоверения за електронни печати отговарят на изискванията, предвидени в приложение III.
2. Квалифицираните удостоверения за електронни печати не подлежат на каквито и да било задължителни изисквания, които надхвърлят изискванията, предвидени в приложение III.
3. Квалифицираните удостоверения за електронни печати могат да включват допълнителни незадължителни специфични данни. Тези данни не засягат оперативната съвместимост и признаването на квалифицираните електронни печати.
4. Ако квалифицирано удостоверение за електронен печат бъде отменено след първоначалното активиране, то губи валидността си от момента на отмяната и неговият статут не може да бъде възстановен при никакви обстоятелства.
5. Държавите членки могат да определят национални правила относно временното спиране на валидността на квалифицирани удостоверения за електронни печати при спазване на следните условия:
а)
ако квалифицирано удостоверение за електронен печат бъде временно спряно, то губи валидността си за срока на спирането;
б)
срокът на спирането се отбелязва ясно в базата данни за удостоверенията, а статутът на спиране е видим за срока на това спиране в рамките на услугата, предоставяща информация за статута на удостоверението.
6. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за квалифицирани удостоверения за електронни печати. Съответствието с изискванията, предвидени в приложение III, се презюмира, когато квалифицираното удостоверение за електронен печат отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 39
Устройства за създаване на квалифицирани електронни печати
1. Член 29 се прилага mutatis mutandis към изискванията за устройства за създаване на квалифицирани електронни печати.
2. Член 30 се прилага mutatis mutandis към сертифицирането на устройства за създаване на квалифицирани електронни печати.
3. Член 31 се прилага mutatis mutandis към публикуването на списък на сертифицираните устройства за създаване на квалифицирани електронни печати.
Член 40
Валидиране и съхраняване на квалифицирани електронни печати
Членове 32, 33 и 34 се прилагат mutatis mutandis към валидирането и съхраняването на квалифицирани електронни печати.
РАЗДЕЛ 6
Електронни времеви печати
Член 41
Правна сила на електронните времеви печати
1. Правната сила и допустимостта на електронния времеви печат като доказателство в съдебни производства не могат да бъдат оспорени единствено на основанието, че той е в електронна форма или че не отговаря на изискванията за квалифициран електронен времеви печат.
2. Квалифицираният електронен времеви печат се ползва от презумпцията за точност на указаните от него дата и час и за цялост на данните, с които са обвързани датата и часът.
3. Квалифицираният електронен времеви печат, издаден в една държава членка, се признава за квалифициран електронен времеви печат във всички държави членки.
Член 42
Изисквания към квалифицираните електронни времеви печати
1. Квалифицираният електронен времеви печат отговаря на следните изисквания:
а)
обвързва датата и часа с данните по начин, който до голяма степен изключва възможността за незабелязана промяна на данните;
б)
основава се на източник на точно време, свързан с координираното универсално време; и
в)
подписан е с усъвършенстван електронен подпис или е подпечатан с усъвършенстван електронен печат на доставчик на квалифицирани удостоверителни услуги или с друг равностоен метод.
2. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за обвързване на датата и часа с данните и за източниците на точно време. Съответствието с изискванията, посочени в параграф 1, се презюмира, когато обвързването на датата и часа с данните и източника на точно време отговарят на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
РАЗДЕЛ 7
Услуги за електронна препоръчана поща
Член 43
Правна сила на услугите за електронна препоръчана поща
1. Правната сила и допустимостта на данните, изпращани и получавани чрез използване на услуги за електронна препоръчана поща, не могат да бъдат оспорени като доказателство в съдебни производства единствено на основанието, че са в електронна форма или че не отговарят на изискванията за квалифицирана услуга за електронна препоръчана поща.
2. Данните, изпращани и получавани чрез използване на услуги за електронна препоръчана поща, се ползват от презумпцията за цялост на данните, за изпращане на тези данни от идентифицирания изпращач, тяхното получаване от идентифицирания получател и за точност на указаните чрез квалифицираната услуга за електронна препоръчана поща дата и час на изпращане и получаване на данните.
Член 44
Изисквания към квалифицираните услуги за електронна препоръчана поща
1. Квалифицираните услуги за електронна препоръчана поща отговарят на следните изисквания:
а)
предоставят се от един или повече доставчици на квалифицирани удостоверителни услуги;
б)
гарантират с високо ниво на доверие идентификацията на изпращача;
в)
гарантират идентификацията на получателя преди доставянето на данните;
г)
изпращането и получаването на данни е обезпечено чрез усъвършенстван електронен подпис или усъвършенстван електронен печат на доставчик на квалифицирани удостоверителни услуги по начин, който изключва всякаква възможност за незабелязана промяна на данните;
д)
всяка промяна на данните, необходима за целите на изпращането или получаването на данните, се обозначава ясно за подателя и за получателя на данните;
е)
датата и часът на изпращане и получаване, както и всяка промяна на данните се указват чрез квалифициран електронен времеви печат.
Ако данните се предават между двама или повече доставчици на квалифицирани удостоверителни услуги, изискванията по букви а) - е) се прилагат към всички доставчици на квалифицирани удостоверителни услуги.
2. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за процесите на изпращане и получаване на данни. Съответствието с изискванията, посочени в параграф 1, се презюмира, когато процесите на изпращане и получаване на данни съответстват на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
РАЗДЕЛ 8
Удостоверяване автентичността на уебсайтове
Член 45
Изисквания към квалифицираните удостоверения за автентичност на уебсайтове
1. Квалифицираните удостоверения за автентичност на уебсайтове отговарят на изискванията, предвидени в приложение IV.
2. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за квалифицираните удостоверения за автентичност на уебсайтове. Съответствието с изискванията, предвидени в приложение IV, се презюмира, когато дадено квалифицирано удостоверение за автентичност на уебсайт отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
ГЛАВА IV
ЕЛЕКТРОННИ ДОКУМЕНТИ
Член 46
Правна сила на електронните документи
Правната сила и допустимостта на електронен документ като доказателство в съдебни производства не могат да бъдат оспорени единствено на основанието, че той е в електронна форма.
ГЛАВА V
РАЗПОРЕДБИ ОТНОСНО ДЕЛЕГИРАНЕ НА ПРАВОМОЩИЯ И АКТОВЕ ЗА ИЗПЪЛНЕНИЕ
Член 47
Упражняване на делегирането
1. Правомощието да приема делегирани актове се предоставя на Комисията при спазване на определените в настоящия член условия.
2. Правомощието да приема делегирани актове, посочено в член 30, параграф 4, се предоставя на Комисията за неограничен срок, считано от 17 септември 2014 г.
3. Делегирането на правомощия, посочено в член 30, параграф 4, може да бъде оттеглено по всяко време от Европейския парламент или от Съвета. С решението за оттегляне се прекратява посоченото в него делегиране на правомощия. То поражда действие в деня след публикуването на решението в Официален вестник на Европейския съюз или на по-късна, посочена в решението дата. То не засяга действителността на делегираните актове, които вече са в сила.
4. Веднага след като приеме делегиран акт Комисията го нотифицира едновременно на Европейския парламент и на Съвета.
5. Делегиран акт, приет съгласно член 30, параграф 4, влиза в сила само ако Европейският парламент или Съветът не са представили възражения в срок от два месеца след нотифицирането на акта на Европейския парламент и Съвета или ако преди изтичането на този срок и Европейският парламент, и Съветът са уведомили Комисията, че няма да представят възражения. Този срок се удължава с два месеца по инициатива на Европейския парламент или на Съвета.
Член 48
Процедура на комитет
1. Комисията се подпомага от комитет. Този комитет е комитет по смисъла на Регламент (ЕС) № 182/2011.
2. При позоваване на настоящия параграф се прилага член 5 от Регламент (ЕС) № 182/2011.
ГЛАВА VI
ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ
Член 49
Преглед
Комисията прави преглед на прилагането на настоящия регламент и докладва на Европейския парламент и на Съвета не по-късно от 1 юли 2020 г. Комисията преценява по-специално дали обхватът на настоящия регламент или конкретни негови разпоредби, включително член 6, член 7, буква е), членове 34, 43, 44 и 45, е подходящо да се изменят, като се отчитат придобитият по време на прилагането на настоящия регламент опит и развитието на технологиите, пазара и правната уредба.
Посоченият в първа алинея доклад се придружава, ако е необходимо, от законодателни предложения.
Освен това след доклада по първа алинея Комисията представя на Европейския парламент и на Съвета на всеки четири години доклад относно напредъка в постигането на набелязаните в настоящия регламент цели.
Член 50
Отмяна
1. Директива 1999/93/ЕО се отменя, считано от 1 юли 2016 г.
2. Позоваванията на отменената директива се считат за позовавания на настоящия регламент.
Член 51
Преходни мерки
1. Устройствата за създаване на защитени подписи, чието съответствие е било определено съгласно член 3, параграф 4 от Директива 1999/93/ЕО, се считат за устройства за създаване на квалифицирани подписи съгласно настоящия регламент.
2. Квалифицираните удостоверения, издадени на физически лица в съответствие с Директива 1999/93/ЕО, се считат за квалифицирани удостоверения за електронни подписи съгласно настоящия регламент до изтичане на срока им.
3. Доставчик на услуги по сертифициране, който издава квалифицирани удостоверения съгласно Директива 1999/93/ЕО, представя на надзорния орган доклад за оценяване на съответствието в най-кратък срок, но не по-късно от 1 юли 2017 г. До представянето на такъв доклад за оценяване на съответствието и до приключването на оценяването му от надзорния орган този доставчик на услуги по сертифициране се счита за квалифициран доставчик на удостоверителни услуги съгласно настоящия регламент.
4. Ако доставчик на услуги по сертифициране, който издава квалифицирани удостоверения съгласно Директива 1999/93/ЕО, не представи на надзорния орган доклад за оценяване на съответствието в посочения в параграф 3 срок, този доставчик на услуги по сертифициране не се счита за доставчик на квалифицирани удостоверителни услуги съгласно настоящия регламент, считано от 2 юли 2017 г.
Член 52
Влизане в сила
1. Настоящият регламент влиза в сила на двадесетия ден след публикуването му в Официален вестник на Европейския съюз.
2. Настоящият регламент се прилага от 1 юли 2016 г. с изключение на следното:
а)
член 8, параграф 3, член 9, параграф 5, член 12, параграфи 2 - 9, член 17, параграф 8, член 19, параграф 4, член 20, параграф 4, член 21, параграф 4, член 22, параграф 5, член 23, параграф 3, член 24, параграф 5, член 27, параграфи 4 и 5, член 28, параграф 6, член 29, параграф 2, член 30, параграфи 3 и 4, член 31, параграф 3, член 32, параграф 3, член 33, параграф 2, член 34, параграф 2, член 37, параграфи 4 и 5, член 38, параграф 6, член 42, параграф 2, член 44, параграф 2, член 45, параграф 2 и членове 47 и 48 се прилагат, считано от 17 септември 2014 г.;
б)
член 7, член 8, параграфи 1 и 2, членове 9 - 11 и член 12, параграф 1 се прилагат от датата на прилагане на актовете за изпълнение, посочени в член 8, параграф 3 и член 12, параграф 8;
в)
член 6 се прилага, считано от три години от датата на прилагане на актовете за изпълнение, посочени в член 8, параграф 3 и член 12, параграф 8.
3. Когато схемата за електронна идентификация, за която се извършва уведомяване, е включена в списъка, публикуван от Комисията по силата на член 9, преди датата, посочена в параграф 2, буква в) от настоящия член, признаването на средствата за електронна идентификация в рамките на въпросната схема по силата на член 6 се извършва не по-късно от 12 месеца след публикуването на схемата, но не преди датата, посочена в параграф 2, буква в) от настоящия член.
4. Независимо от параграф 2, буква в) от настоящия член дадена държава членка може да реши, че средствата за електронна идентификация в рамките на схемата за електронна идентификация, за която се извършва уведомяване по силата на член 9, параграф 1 от страна на друга държава членка, се признават в първата държава членка, считано от датата на прилагане на актовете за изпълнение, посочени в член 8, параграф 3 и член 12, параграф 8. Съответните държави членки информират Комисията. Комисията оповестява публично тази информация.
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки.
Съставено в Брюксел на 23 юли 2014 година.
REGULAMENTUL (UE) NR. 910/2014 AL PARLAMENTULUI EUROPEAN ȘI AL CONSILIULUI
din 23 iulie 2014
privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă și de abrogare a Directivei 1999/93/CE
PARLAMENTUL EUROPEAN ȘI CONSILIUL UNIUNII EUROPENE,
având în vedere Tratatul privind funcționarea Uniunii Europene, în special articolul 114,
având în vedere propunerea Comisiei Europene,
după transmiterea proiectului de act legislativ către parlamentele naționale,
având în vedere avizul Comitetului Economic și Social European (1),
hotărând în conformitate cu procedura legislativă ordinară (2),
întrucât:
(1)
Instaurarea încrederii în mediul online este esențială pentru dezvoltarea economică și socială. Lipsa încrederii, datorată în special unei lipse a securității juridice percepute de public, determină consumatorii, întreprinderile și autoritățile publice să ezite în efectuarea de tranzacții pe cale electronică și în adoptarea de noi servicii.
(2)
Obiectivul prezentului regulament este de a crește încrederea în tranzacțiile electronice de pe piața internă prin furnizarea unei baze comune pentru realizarea de interacțiuni electronice sigure între cetățeni, întreprinderi și autoritățile publice, contribuind astfel la creșterea eficienței serviciilor online din sectorul public și privat, a activităților economice electronice și a comerțului electronic în Uniune.
(3)
Directiva 1999/93/CE a Parlamentului European și a Consiliului (3) reglementa semnăturile electronice fără să ofere un cadru transfrontalier și intersectorial cuprinzător pentru tranzacții electronice sigure, demne de încredere și ușor de folosit. Prezentul regulament consolidează și extinde acquis-ul din respectiva directivă.
(4)
Comunicarea Comisiei din 26 august 2010 intitulată „Agenda digitală pentru Europa” a identificat fragmentarea pieței digitale, lipsa interoperabilității și creșterea criminalității informatice ca obstacole majore în calea cercului virtuos al economiei digitale. În raportul său privind cetățenia UE în 2010, intitulat „Eliminarea obstacolelor din calea drepturilor cetățenilor Uniunii”, Comisia a scos în evidență, de asemenea, necesitatea de a soluționa principalele probleme care îi împiedică pe cetățenii europeni să beneficieze de avantajele unei piețe unice digitale și de serviciile digitale transfrontaliere.
(5)
În concluziile sale din 4 februarie 2011 și 23 octombrie 2011, Consiliul European a invitat Comisia să creeze o piață unică digitală până în 2015 pentru a realiza progrese rapide în domenii esențiale ale economiei digitale și pentru a promova o piață unică digitală integrată în totalitate, prin facilitarea utilizării transfrontaliere a serviciilor online, acordând atenție în special facilitării identificării și autentificării electronice sigure.
(6)
În concluziile sale din 27 mai 2011, Consiliul a invitat Comisia să contribuie la piața unică digitală prin crearea condițiilor adecvate pentru recunoașterea reciprocă a elementelor-cheie dincolo de frontiere, cum ar fi identificarea electronică, documentele electronice, semnăturile electronice și serviciile de distribuție electronică, precum și pentru serviciile de e-guvernare interoperabile pe întreg teritoriul Uniunii Europene.
(7)
Parlamentul European în rezoluția sa din 21 septembrie 2010 privind realizarea pieței interne în ceea ce privește comerțul electronic (4) a subliniat importanța securității serviciilor electronice, în special a semnăturilor electronice, și importanța necesității de a crea o infrastructură publică cheie la nivel paneuropean și a solicitat Comisiei să creeze un portal european al autorităților de validare pentru a asigura interoperabilitatea transfrontalieră a semnăturilor electronice și pentru a crește gradul de securitate a tranzacțiilor efectuate prin intermediul internetului.
(8)
Directiva 2006/123/CE a Parlamentului European și a Consiliului (5) solicită statelor membre să instituie „ghișee unice” pentru a se asigura că toate procedurile și formalitățile cu privire la accesul la o activitate de servicii și la exercitarea acesteia pot fi îndeplinite cu ușurință, de la distanță și prin mijloace electronice, prin intermediul ghișeului unic adecvat și al autorităților adecvate. Multe servicii online accesibile prin intermediul ghișeelor unice necesită identificare, autentificare și semnătură electronică.
(9)
În majoritatea cazurilor, cetățenii nu pot utiliza identificarea electronică pentru a-și autentifica identitatea într-un alt stat membru din cauză că sistemele naționale de identificare electronică din țara lor nu sunt recunoscute în alte state membre. Respectiva barieră electronică împiedică prestatorii de servicii să se bucure pe deplin de avantajele oferite de piața internă. Mijloacele de identificare electronică recunoscute reciproc vor facilita prestarea transfrontalieră de numeroase servicii pe piața internă și vor permite întreprinderilor să își extindă activitatea peste granițe fără să se confrunte cu multe obstacole în interacțiunile cu autoritățile publice.
(10)
Directiva 2011/24/UE a Parlamentului European și a Consiliului (6) a instituit o rețea de autorități naționale responsabile pentru e-sănătate. Pentru a spori siguranța și continuitatea asistenței medicale transfrontaliere, rețeaua trebuie să elaboreze orientări privind accesul transfrontalier la datele și serviciile legate de e-sănătate, inclusiv prin sprijinirea de „măsuri comune de identificare și de autentificare pentru a facilita transferabilitatea datelor în cadrul asistenței medicale transfrontaliere”. Recunoașterea reciprocă a identificării și autentificării electronice sunt esențiale pentru ca asistența medicală transfrontalieră pentru cetățenii europeni să devină o realitate. Când oamenii călătoresc în scopul realizării unui tratament, datele lor medicale trebuie să fie accesibile în țara în care se realizează tratamentul. Acest lucru necesită un cadru de identificare electronică solid, sigur și fiabil.
(11)
Prezentul regulament ar trebui aplicat în deplină concordanță cu principiile referitoare la protecția datelor cu caracter personal prevăzute de Directiva 95/46/CE a Parlamentului European și a Consiliului (7). În această privință, având în vedere principiul recunoașterii reciproce instituit de prezentul regulament, autentificarea pentru un serviciu online ar trebui să vizeze numai prelucrarea acelor date de identificare care sunt adecvate și relevante și care nu sunt excesive în vederea acordării accesului la respectivul serviciu online. Mai mult, cerințele prevăzute în Directiva 95/46/CE privind confidențialitatea și securitatea prelucrării ar trebui să fie respectate de către prestatorii de servicii de încredere și de către organismele de supraveghere.
(12)
Unul din obiectivele prezentului regulament este de a elimina barierele existente în calea utilizării transfrontaliere a mijloacelor de identificare electronică utilizate în statele membre pentru autentificare cel puțin pentru serviciile publice. Prezentul regulament nu urmărește să intervină în sistemele de gestionare a identității electronice și infrastructurile conexe stabilite în statele membre. Obiectivul prezentului regulament este de a garanta că, pentru accesul la serviciile transfrontaliere online oferite de către statele membre, este posibilă identificarea și autentificarea electronică sigură.
(13)
Statele membre ar trebui să dispună în continuare de libertatea de a utiliza sau de a introduce, în scopuri de identificare electronică, mijloace pentru accesarea serviciilor online. Acestea ar trebui, de asemenea, să fie în măsură să decidă dacă să implice sectorul privat în furnizarea acestor mijloace. Statele membre nu ar trebui să fie obligate să notifice Comisiei sistemele lor de identificare electronică. Alegerea de a notifica Comisiei toate, unele sau niciunul dintre sistemele de identificare electronică utilizate la nivel național pentru a accesa cel puțin serviciile publice online sau serviciile specifice este la latitudinea statelor membre.
(14)
Ar trebui stabilite în prezentul regulament unele condiții cu privire la care mijloace de identificare electronică trebuie să fie recunoscute și la modul în care sistemele de identificare electronică ar trebui să fie notificate. Aceste condiții ar trebui să ajute statele membre să dobândească încrederea reciprocă necesară în sistemele lor de identificare electronică și să recunoască reciproc mijloacele de identificare electronică care intră sub incidența sistemelor lor notificate. Ar trebui să se aplice principiul recunoașterii reciproce în cazul în care sistemul de identificare electronică al statului membru care notifică îndeplinește condițiile de notificare, iar notificarea a fost publicată în Jurnalul Oficial al Uniunii Europene. Cu toate acestea, principiul recunoașterii reciproce ar trebui să vizeze numai autentificarea pentru un serviciu online. Accesul la aceste servicii online și furnizarea lor finală către solicitant ar trebui să fie strâns legate de dreptul de a primi astfel de servicii în condițiile stabilite de legislația națională.
(15)
Obligația de recunoaștere a mijloacelor de identificare electronică ar trebui să se refere numai la mijloacele al căror nivel de asigurare a încrederii corespunde unui nivel egal sau mai ridicat decât nivelul necesar pentru serviciul online în cauză. În plus, această obligație ar trebui să se aplice numai în cazul în care organismul din sectorul public în cauză utilizează nivelul de asigurare „substanțial” sau „ridicat” în ceea ce privește accesul la serviciul online respectiv. Statele membre ar trebui să dispună în continuare, în conformitate cu dreptul Uniunii, de libertatea de a recunoaște mijloacele de identificare electronică cu niveluri de asigurare a încrederii mai scăzute.
(16)
Nivelurile de asigurare ar trebui să caracterizeze gradul de încredere în mijloacele de identificare electronică în stabilirea identității unei persoane, oferind astfel garanția că persoana care pretinde o anumită identitate este într-adevăr persoana căreia i s-a atribuit respectiva identitate. Nivelul de asigurare depinde de gradul de încredere pe care îl oferă mijloacele de identificare electronică în legătură cu identitatea pretinsă sau declarată a unei persoane, ținând seama de procese (de exemplu, dovedirea și verificarea identității și autentificarea), de activitățile de gestionare (de exemplu, entitatea care emite mijloacele de identificare electronică și procedura de emitere a respectivelor mijloace) și de controalele tehnice puse în aplicare. Există diferite definiții tehnice și descrieri ale nivelurilor de asigurare, ca urmare a proiectelor-pilot la scară largă finanțate de Uniune, a activităților de standardizare și internaționale. În special, proiectul-pilot la scară largă STORK și ISO 29115 se referă, printre altele, la nivelurile 2, 3 și 4, care ar trebui să fie luate cu prioritate în considerare în stabilirea cerințelor tehnice minime, a standardelor și procedurilor pentru nivelurile de asigurare scăzut, substanțial și ridicat, în sensul prezentului regulament, asigurând, în același timp, aplicarea uniformă a prezentului regulament în special în ceea ce privește nivelul de asigurare ridicat în legătură cu dovedirea identității în vederea eliberării de certificate calificate. Cerințele stabilite ar trebui să fie neutre din punct de vedere tehnologic. Ar trebui să fie posibilă realizarea cerințelor de siguranță necesare prin intermediul diferitelor tehnologii.
(17)
Statele membre ar trebui să încurajeze sectorul privat să utilizeze în mod voluntar mijloace de identificare electronică în cadrul unui sistem notificat, în scopuri de identificare, atunci când este nevoie pentru servicii online sau pentru tranzacții electronice. Posibilitatea de a utiliza aceste mijloace de identificare electronică ar permite sectorului privat să se bazeze pe identificarea și autentificarea electronică deja utilizată pe scară largă în multe state membre cel puțin pentru serviciile publice și să faciliteze accesul întreprinderilor și cetățenilor la serviciile lor online dincolo de frontiere. Pentru a facilita utilizarea acestor mijloace de identificare electronică dincolo de frontiere de către sectorul privat, posibilitatea de autentificare furnizată de orice stat membru ar trebui să fie disponibilă beneficiarilor din sectorul privat stabiliți în afara teritoriului statului membru respectiv în aceleași condiții ca cele aplicate beneficiarilor din sectorul privat stabiliți în statul membru respectiv. Prin urmare, în ceea ce privește beneficiarii din sectorul privat, statul membru care notifică poate defini condițiile de acces la mijloacele de autentificare. Aceste condiții de acces pot stabili dacă mijloacele de autentificare aferente sistemului notificat sunt sau nu disponibile imediat pentru beneficiarii din sectorul privat.
(18)
Prezentul regulament ar trebui să prevadă răspunderea statului membru care notifică, a părții care emite mijloacele de identificare electronică și a părții care aplică procedura de autentificare în cazul neîndeplinirii obligațiilor relevante în temeiul prezentului regulament. Cu toate acestea, prezentul regulament ar trebui să fie aplicat în conformitate cu normele de drept intern privind răspunderea. Prin urmare, aceasta nu aduce atingere respectivelor norme naționale privind, de exemplu, definiția prejudiciului sau normele de procedură aplicabile relevante, inclusiv sarcina probei.
(19)
Securitatea sistemelor de identificare electronică este esențială pentru recunoașterea transfrontalieră reciprocă fiabilă a mijloacelor de identificare electronică. În acest context, statele membre ar trebui să coopereze în ceea ce privește securitatea și interoperabilitatea sistemelor de identificare electronică la nivelul Uniunii. Ori de câte ori sistemele de identificare electronică necesită utilizarea unor elemente hardware sau software specifice de către beneficiari la nivel național, interoperabilitatea transfrontalieră necesită ca statele membre respective să nu impună astfel de cerințe și costuri aferente beneficiarilor stabiliți în afara teritoriului lor. În acest caz, ar trebui examinate și elaborate soluții adecvate care să țină seama de cadrul de interoperabilitate. Cu toate acestea, cerințele tehnice care decurg din specificațiile intrinsece ale mijloacelor naționale de identificare electronică și care sunt susceptibile de a afecta deținătorii unor astfel de mijloace electronice (de exemplu, carduri cu memorie) sunt inevitabile.
(20)
Cooperarea dintre statele membre ar trebui să faciliteze interoperabilitatea tehnică a sistemelor de identificare electronică notificate pentru a favoriza un nivel ridicat de încredere și securitate corespunzător gradului de risc. Schimbul de informații și de bune practici între statele membre, în vederea recunoașterii lor reciproce, ar trebui să contribuie la această cooperare.
(21)
Prezentul regulament ar trebui, de asemenea, să stabilească un cadru juridic general pentru utilizarea serviciilor de încredere. Totuși, acesta nu ar trebui să creeze o obligație generală de a le utiliza sau de a instala un punct de acces pentru toate serviciile de încredere existente. În special, acesta nu ar trebui să reglementeze prestarea de servicii utilizate exclusiv în cadrul sistemelor închise între un set definit de participanți, care nu au niciun efect asupra părților terțe. De exemplu, sistemele instituite în întreprinderi sau în administrațiile publice pentru a gestiona procedurile interne care utilizează serviciile de încredere nu ar trebui să intre sub incidența cerințelor din prezentul regulament. Doar serviciile de încredere prestate publicului având efecte asupra părților terțe ar trebui să îndeplinească cerințele stabilite în regulament. Prezentul regulament nu ar trebui să reglementeze nici aspectele privind încheierea și valabilitatea contractelor sau a altor obligații juridice, în cazul în care există cerințe cu privire la formă prevăzute de dreptul intern sau al Uniunii. Mai mult, prezentul regulament nu ar trebui să afecteze cerințele naționale cu privire la formă aferente registrelor publice, în special registrelor comerțului și cadastrelor.
(22)
Pentru a contribui la utilizarea transfrontalieră generală a serviciilor de încredere, ar trebui să fie posibilă utilizarea acestora ca probe în procedurile judiciare în toate statele membre. Efectul juridic al serviciilor de încredere trebuie definit de dreptul intern, cu excepția cazului în care se prevede altfel în prezentul regulament.
(23)
În măsura în care prezentul regulament creează o obligație de a recunoaște un serviciu de încredere, respectivul serviciu de încredere poate fi respins numai dacă destinatarul obligației nu este în măsură să îl citească sau să îl verifice din motive tehnice, care nu pot face obiectul controlului imediat al destinatarului. Cu toate acestea, această obligație în sine nu ar trebui să impună unui organism public să obțină elementele de hardware și software necesare pentru lizibilitatea tehnică a tuturor serviciilor de încredere existente.
(24)
Statele membre pot să mențină sau să introducă dispoziții naționale, în conformitate cu dreptul Uniunii, referitoare la serviciile de încredere în măsura în care aceste servicii nu sunt armonizate integral în prezentul regulament. Cu toate acestea, serviciile de încredere care sunt conforme cu prezentul regulament ar trebui să circule liber pe piața internă.
(25)
Statele membre ar trebui să dispună în continuare de libertatea de a defini alte tipuri de servicii de încredere, în plus față de cele care fac parte din lista închisă de servicii de încredere prevăzută în prezentul regulament, în scopul recunoașterii acestora la nivel național ca servicii de încredere calificate.
(26)
Datorită ritmului schimbărilor tehnologice, prezentul regulament ar trebui să adopte o abordare deschisă inovării.
(27)
Prezentul regulament ar trebui să fie neutru din punctul de vedere al tehnologiei. Efectele juridice pe care le acordă ar trebui să fie realizabile prin orice mijloc tehnic, cu condiția ca cerințele prezentului regulament să fie îndeplinite.
(28)
Pentru a spori în special încrederea întreprinderilor mici și mijlocii (IMM) și a consumatorilor în piața internă și pentru a promova utilizarea serviciilor și produselor de încredere, noțiunile de servicii de încredere calificate și prestator de servicii de încredere calificat ar trebui să fie introduse pentru a indica cerințele și obligațiile care asigură securitatea la nivel înalt a oricăror servicii și produse de încredere calificate utilizate sau furnizate.
(29)
În conformitate cu obligațiile în temeiul Convenției Națiunilor Unite privind drepturile persoanelor cu handicap, aprobată prin Decizia 2010/48/CE a Consiliului (8), în special articolul 9 din convenție, persoanele cu handicap ar trebui să aibă posibilitatea de a utiliza serviciile de încredere și produsele destinate utilizatorului final utilizate la prestarea serviciilor respective, în aceleași condiții ca și ceilalți consumatori. Prin urmare, dacă este posibil, serviciile de încredere prestate și produsele destinate utilizatorului final utilizate pentru prestarea serviciilor respective ar trebui să fie accesibile persoanelor cu handicap. Studiul de fezabilitate ar trebui să includă, printre altele, considerații tehnice și economice.
(30)
Statele membre ar trebui să desemneze un organism de supraveghere sau organisme de supraveghere pentru realizarea activităților de supraveghere în conformitate cu prezentul regulament. Statele membre ar trebui să aibă, de asemenea, posibilitatea de a decide, pe baza unui acord reciproc cu alt stat membru, să desemneze un organism de supraveghere pe teritoriul acestui alt stat membru.
(31)
Organismele de supraveghere ar trebui să coopereze cu autoritățile de protecție a datelor, de exemplu prin informarea acestora cu privire la rezultatele auditurilor prestatorilor de servicii de încredere calificați, în cazul în care se presupune că normele de protecție a datelor cu caracter personal au fost încălcate. Informațiile furnizate ar trebui să vizeze în special incidentele privind securitatea și încălcarea securității datelor cu caracter personal.
(32)
Ar trebui să fie obligatoriu pentru toți prestatorii de servicii de încredere să aplice bune practici de securitate corespunzătoare riscurilor legate de activitățile lor, pentru a spori încrederea utilizatorilor în piața unică.
(33)
Dispozițiile privind utilizarea pseudonimelor în certificate nu ar trebui să împiedice statele membre să solicite identificarea persoanelor în conformitate cu dreptul Uniunii sau dreptul intern.
(34)
Toate statele membre ar trebui să respecte cerințele esențiale comune de supraveghere pentru a se asigura un nivel de securitate comparabil al serviciilor de încredere calificate. Pentru a facilita aplicarea consecventă a acestor cerințe pe întreg teritoriul Uniunii, statele membre ar trebui să adopte proceduri comparabile și ar trebui să efectueze schimburi de informații cu privire la activitățile lor de supraveghere și la bunele practici în domeniu.
(35)
Toți prestatorii de servicii de încredere ar trebui să facă obiectul cerințelor prevăzute de prezentul regulament, în special al celor privind securitatea și responsabilitatea de a asigura diligența necesară, transparența și asumarea răspunderii pentru operațiunile și serviciile lor. Totuși, ținând seama de tipul de servicii prestate de prestatorii de servicii de încredere, este oportun să se facă o distincție, în ceea ce privește cerințele respective, între prestatorii de servicii de încredere calificați și necalificați.
(36)
Stabilirea unui regim de supraveghere pentru toți prestatorii de servicii de încredere ar trebui să asigure condiții de concurență echitabile în privința securității și a asumării responsabilității pentru operațiunile și serviciile lor, contribuind astfel la protecția utilizatorilor și la funcționarea pieței interne. Prestatorii de servicii de încredere necalificați ar trebui să facă obiectul unor activități de supraveghere ex post lejere și bazate pe reacție, justificate de natura serviciilor și a operațiunilor lor. Prin urmare, organismul de supraveghere nu ar trebui să aibă nicio obligație generală de a supraveghea prestatorii de servicii necalificați. Organismul de supraveghere ar trebui să acționeze doar în cazul în care este informat (de exemplu, de către prestatorul de servicii de încredere necalificat în persoană, de către un alt organism de supraveghere, printr-o notificare de la un utilizator sau un partener de afaceri sau pe baza propriilor investigații) că un prestator de servicii de încredere necalificat nu respectă cerințele prezentului regulament.
(37)
Prezentul regulament ar trebui să prevadă răspunderea tuturor prestatorilor de servicii de încredere. În special, regulamentul stabilește un regim de răspundere în cadrul căruia toți prestatorii de servicii de încredere ar trebui să fie răspunzători pentru prejudiciile aduse oricărei persoane fizice sau juridice din cauza nerespectării obligațiilor care le revin în temeiul prezentului regulament. Pentru a facilita evaluarea riscului financiar pe care prestatorii de servicii de încredere l-ar putea avea de suportat sau pe care aceștia ar trebui să îl acopere prin intermediul polițelor de asigurare, prezentul regulament permite prestatorilor de servicii de încredere să stabilească restricții, în anumite condiții, privind utilizarea serviciilor pe care le oferă și îi scutește de răspunderea pentru prejudiciile rezultate din utilizarea serviciilor peste aceste restricții. Clienții ar trebui să fie informați în prealabil, în mod corespunzător, cu privire la restricții. Aceste restricții ar trebui să poată fi recunoscute de către o parte terță, de exemplu prin includerea de informații cu privire la acestea în clauzele și condițiile aferente serviciului furnizat sau prin alte mijloace ușor de recunoscut. Pentru punerea în aplicare a acestor principii, prezentul regulament ar trebui aplicat în conformitate cu normele naționale în materie de răspundere. Prin urmare, prezentul regulament nu aduce atingere normelor naționale privind, de exemplu, definiția prejudiciului, a intenției, a neglijenței sau privind normele procedurale aplicabile relevante.
(38)
Notificarea cazurilor de încălcare a securității și evaluarea riscurilor privind securitatea sunt esențiale în vederea furnizării de informații corespunzătoare către părțile în cauză, în caz de încălcare a securității sau de pierdere a integrității.
(39)
Pentru a permite Comisiei și statelor membre să evalueze eficiența mecanismului de notificare a încălcărilor introdus prin prezentul regulament, ar trebui să li se solicite organismelor de supraveghere să furnizeze informații sintetizate Comisiei și Agenției Uniunii Europene pentru Securitatea Rețelelor și a Informațiilor (ENISA).
(40)
Pentru a permite Comisiei și statelor membre să evalueze eficiența mecanismului de supraveghere consolidată introdus prin prezentul regulament, ar trebui să li se solicite organismelor de supraveghere să prezinte un raport cu privire la activitățile lor. Acest lucru ar contribui la facilitarea schimbului de bune practici între organismele de supraveghere și ar asigura verificarea punerii în aplicare în mod consecvent și eficient în toate statele membre a cerințelor esențiale privind supravegherea.
(41)
Pentru a garanta sustenabilitatea și durabilitatea serviciilor de încredere calificate și pentru a spori încrederea utilizatorilor în continuitatea serviciilor de încredere calificate, organismele de supraveghere ar trebui să verifice existența și aplicarea corectă a dispozițiilor privind planurile de încetare a serviciului în cazurile în care prestatorii de servicii de încredere calificați își încetează activitățile.
(42)
Pentru a facilita supravegherea prestatorilor de servicii de încredere calificați, de exemplu, atunci când un furnizor își prestează serviciile pe teritoriul unui alt stat membru și nu face acolo obiectul supravegherii sau în cazul în care calculatoarele unui prestator sunt situate pe teritoriul unui alt stat membru decât cel în care este stabilit, ar trebui să fie instituit un sistem de asistență reciprocă între organismele de supraveghere din statele membre.
(43)
Pentru a asigura respectarea de către prestatorii de servicii de încredere calificați a cerințelor stabilite în prezentul regulament și conformitatea serviciilor prestate de aceștia cu respectivele cerințe, un organism de evaluare a conformității ar trebui să efectueze o evaluare a conformității, iar rapoartele de evaluare a conformității rezultate ar trebui transmise de prestatorii de servicii de încredere calificați către organismul de supraveghere. Atunci când organismul de supraveghere impune unui prestator de servicii de încredere calificat să prezinte un raport de evaluare a conformității ad hoc, organismul de supraveghere ar trebui să respecte, în special, principiile bunei administrări, inclusiv obligația de a-și motiva deciziile, precum și principiul proporționalității. Prin urmare, organismul de supraveghere ar trebui să-și motiveze în mod corespunzător decizia de a solicita o evaluare a conformității ad hoc.
(44)
Prezentul regulament urmărește să asigure un cadru coerent cu scopul de a oferi un nivel înalt de siguranță și de securitate juridică a serviciilor de încredere. În acest sens, atunci când abordează evaluarea conformității produselor și serviciilor, Comisia ar trebui, după caz, să identifice sinergii cu sistemele europene și internaționale relevante existente, cum ar fi Regulamentul (CE) nr. 765/2008 al Parlamentului European și al Consiliului (9) care stabilește cerințele de acreditare ale organismelor de evaluare a conformității și de supraveghere a pieței de produse.
(45)
Pentru a permite un proces de inițiere eficient, care ar trebui să ducă la includerea prestatorilor de servicii de încredere calificați și a serviciilor de încredere calificate pe care le prestează în listele sigure, interacțiunile preliminare dintre potențialii prestatori de servicii de încredere calificați și organismul de supraveghere competent ar trebui să fie încurajate, în scopul facilitării diligenței necesare care conduce la prestarea de servicii de încredere calificate.
(46)
Listele sigure sunt elemente esențiale pentru construirea încrederii între operatorii de piață, deoarece ele indică statutul de calificat al prestatorului de servicii în momentul supravegherii.
(47)
Încrederea în serviciile online și facilitarea acestora sunt esențiale pentru ca utilizatorii să beneficieze pe deplin de serviciile electronice și să se bazeze în mod conștient pe acestea. În acest scop, ar trebui creată o marcă de încredere a UE cu scopul de a identifica serviciile de încredere calificate prestate de prestatori de servicii de încredere calificați. O astfel de marcă de încredere a UE pentru serviciile de încredere calificate ar diferenția în mod clar serviciile de încredere calificate de alte servicii de încredere, contribuind astfel la transparența pe pieței. Utilizarea unei mărci de încredere a UE de către prestatorii de servicii de încredere calificați ar trebui să fie voluntară și nu ar trebui să conducă la nicio altă cerință decât cele prevăzute în prezentul regulament.
(48)
Deși un nivel ridicat de securitate este necesar pentru a asigura recunoașterea reciprocă a semnăturilor electronice, în cazuri speciale, cum ar fi în contextul Deciziei 2009/767/CE a Comisiei (10), semnăturile electronice cu un nivel mai scăzut de asigurare a securității ar trebui să fie, de asemenea, acceptate.
(49)
Prezentul regulament ar trebui să stabilească principiul conform căruia unei semnături electronice nu ar trebui să i se refuze efectul juridic din motiv că aceasta este în format electronic sau că nu îndeplinește cerințele pentru semnătura electronică calificată. Cu toate acestea, efectul juridic al semnăturilor electronice se definește în dreptul intern, cu excepția cerinței prevăzute în prezentul regulament, conform căreia o semnătură electronică calificată ar trebui să aibă efecte juridice echivalente cu cele ale semnăturii olografe.
(50)
Deoarece autoritățile competente din statele membre utilizează, în prezent, formate diferite de semnături electronice avansate pentru a-și semna documentele în mod electronic, este necesar să se asigure că cel puțin un număr de formate de semnături electronice avansate pot fi procesate tehnic de statele membre atunci când primesc documente semnate în mod electronic. În mod similar, în cazul în care autoritățile competente din statele membre utilizează sigilii electronice avansate, ar fi necesar să se asigure că acestea pot procesa cel puțin un număr de formate de sigilii electronice avansate.
(51)
Ar trebui să fie posibil pentru semnatar să încredințeze dispozitivele de creare a semnăturilor electronice calificate unei părți terțe, cu condiția ca mecanismele și procedurile adecvate să fie puse în aplicare pentru a se asigura că semnatarul are control unic asupra utilizării datelor sale de creare a semnăturilor electronice și cu condiția ca utilizarea dispozitivului să îndeplinească cerințele privind semnătura electronică calificată.
(52)
Crearea semnăturilor electronice la distanță, al căror mediu este gestionat în numele semnatarului de un prestator de servicii de încredere, nu poate decât să se dezvolte având în vedere multiplele sale avantaje economice. Cu toate acestea, pentru a garanta că aceste semnături electronice se bucură de același nivel de recunoaștere juridică de care se bucură semnăturile electronice create cu ajutorul unui mediu care este în totalitate gestionat de utilizator, prestatorii care oferă servicii de semnătură electronică la distanță ar trebui să aplice proceduri de securitate a gestionării și administrării specifice și să utilizeze sisteme și produse fiabile, care să includă canale de comunicare electronică sigure, pentru a garanta fiabilitatea mediului de creare a semnăturii electronice și faptul că acest mediu este utilizat sub controlul exclusiv al semnatarului. În cazul unei semnături electronice calificate create cu ajutorul unui dispozitiv de creare a semnăturilor electronice la distanță, ar trebui să se aplice cerințele aplicabile prestatorilor de servicii de încredere calificați menționate în prezentul regulament.
(53)
Suspendarea certificatelor calificate este o practică operațională consacrată a prestatorilor de servicii de încredere într-o serie de state membre, care este diferită de revocare și atrage după sine pierderea temporară a valabilității unui certificat. Pentru asigurarea securității juridice este necesar ca statutul de suspendat al unui certificat să fie întotdeauna indicat în mod clar. În acest scop, prestatorii de servicii de încredere ar trebui să aibă responsabilitatea de a indica în mod clar statutul certificatului și, în cazul în care acesta este suspendat, perioada, indicată cu precizie, pentru care certificatul a fost suspendat. Prezentul regulament nu ar trebui să impună prestatorilor de servicii de încredere sau statelor membre utilizarea suspendării, ci ar trebui să prevadă norme de transparență în cazul în care o astfel de practică este disponibilă.
(54)
Interoperabilitatea transfrontalieră și recunoașterea certificatelor calificate reprezintă o condiție prealabilă pentru recunoașterea transfrontalieră a semnăturilor electronice calificate. Prin urmare, certificatele calificate nu ar trebui să facă obiectul niciunei cerințe obligatorii în plus față de cerințele prevăzute în prezentul regulament. Cu toate acestea, ar trebui să se permită, la nivel național, includerea unor atribute specifice, precum identificatorii unici, în cadrul certificatelor calificate, cu condiția ca aceste atribute specifice să nu afecteze interoperabilitatea transfrontalieră și recunoașterea certificatelor calificate și a semnăturilor electronice.
(55)
Certificarea de securitate informatică bazată pe standarde internaționale, de exemplu ISO 15408 și metodele de evaluare conexe și acordurile de recunoaștere reciprocă, este un instrument important pentru a verifica siguranța dispozitivelor de creare a semnăturii electronice calificate și ar trebui promovat. Cu toate acestea, soluțiile și serviciile inovatoare, cum ar fi semnarea pe telefonul mobil și semnarea în cloud, se bazează pe soluții tehnice și organizaționale pentru dispozitive de creare a semnăturii electronice calificate pentru care este posibil să nu fie încă disponibile standarde de securitate sau a căror primă certificare de securitate informatică este în curs. Nivelul de securitate al respectivelor dispozitive de creare a semnăturii electronice calificate ar putea fi evaluat prin utilizarea unor procese alternative numai în cazul în care astfel de standarde de securitate nu sunt disponibile sau în cazul în care prima certificare de securitate informatică este în desfășurare. Aceste procese ar trebui să fie comparabile cu standardele pentru certificarea în materie de securitate informatică, în măsura în care nivelurile lor de securitate sunt echivalente. Aceste procese ar putea fi facilitate de o evaluare inter pares.
(56)
Prezentul regulament ar trebui să prevadă cerințe pentru dispozitivele de creare a semnăturii electronice calificate în vederea asigurării funcționalității semnăturilor electronice avansate. Prezentul regulament nu ar trebui să reglementeze întregul mediu al sistemului în care funcționează astfel de dispozitive. Prin urmare, domeniul de aplicare al certificării dispozitivelor de creare a semnăturii calificate ar trebui să se limiteze la componentele hardware și la elementele de software de sistem utilizate pentru gestionarea și protejarea datelor aferente creării semnăturii care sunt create, stocate sau prelucrate în dispozitivul de creare a semnăturii. După cum se detaliază în standardele relevante, domeniul de aplicare al obligației de certificare ar trebui să excludă cererile de creare a semnăturii.
(57)
Pentru a asigura securitatea juridică cu privire la valabilitatea semnăturii, este esențial să se specifice în detaliu componentele unei semnături electronice calificate care ar trebui să fie evaluate de către beneficiarul care efectuează validarea. Mai mult, specificarea cerințelor pentru prestatorii de servicii de încredere calificați care pot presta un serviciu de validare calificat beneficiarilor care nu vor sau care nu pot îndeplini ei înșiși validarea semnăturilor electronice calificate ar trebui să stimuleze sectorul public și privat să investească în astfel de servicii. Ambele elemente ar trebui să facă validarea semnăturilor electronice calificate ușoară și convenabilă pentru toate părțile la nivelul Uniunii.
(58)
Atunci când o tranzacție necesită un sigiliu electronic calificat de la o persoană juridică, o semnătură electronică calificată de la reprezentantul autorizat al persoanei juridice ar trebui să fie, de asemenea, acceptabilă.
(59)
Sigiliile electronice ar trebui să servească drept dovadă că un document electronic a fost emis de către o persoană juridică, asigurând certitudinea originii și integrității documentului.
(60)
Prestatorii de servicii de încredere care eliberează certificate calificate pentru sigiliul electronic ar trebui să pună în aplicare măsurile necesare pentru a putea stabili identitatea persoanei fizice care reprezintă persoana juridică pentru care se eliberează certificatul calificat pentru sigiliul electronic, în cazul în care o astfel de identificare este necesară la nivel național în cadrul procedurilor judiciare sau administrative.
(61)
Prezentul regulament ar trebui să asigure păstrarea pe termen lung a informațiilor, pentru a asigura valabilitatea juridică a semnăturilor și sigiliilor electronice pe perioade lungi de timp și a garanta că acestea pot fi validate indiferent de schimbările tehnologice viitoare.
(62)
Pentru a asigura securitatea mărcilor temporale electronice calificate, prezentul regulament ar trebui să impună utilizarea unui sigiliu electronic avansat sau a unei semnături electronice avansate sau a altor metode echivalente. Se preconizează că inovarea poate conduce la noi tehnologii care ar putea asigura mărcilor temporale un nivel de securitate echivalent. Ori de câte ori este utilizată o altă metodă decât sigiliul electronic avansat sau semnătura electronică avansată, prestatorului de servicii de încredere calificat ar trebui să-i revină obligația să demonstreze, în cadrul raportului de evaluare a conformității, că o astfel de metodă asigură un nivel echivalent de securitate și respectă obligațiile stabilite în prezentul regulament.
(63)
Documentele electronice sunt importante pentru dezvoltarea în continuare a tranzacțiilor electronice transfrontaliere în cadrul pieței interne. Prezentul regulament ar trebui să stabilească principiul conform căruia unui document electronic nu ar trebui să i se refuze efectul juridic din motiv că acesta este în format electronic, pentru a garanta faptul că o tranzacție electronică nu va fi respinsă doar din motivul că un document este în format electronic.
(64)
Atunci când abordează formatele semnăturilor și sigiliilor electronice avansate, Comisia ar trebui să se bazeze pe practicile, standardele și legislația existente, în special pe Decizia 2011/130/UE a Comisiei (11).
(65)
În plus față de autentificarea documentului emis de persoana juridică, sigiliile electronice pot fi utilizate pentru autentificarea oricărui bun digital al persoanei juridice, precum coduri de software sau servere.
(66)
Este esențial să se prevadă un cadru juridic pentru a facilita recunoașterea transfrontalieră între sistemele juridice naționale existente în ceea ce privește serviciile de distribuție electronică înregistrată. Acest cadru ar putea genera, de asemenea, noi oportunități de piață pentru ca prestatorii de servicii de încredere ai Uniunii să ofere noi servicii paneuropene de distribuție electronică înregistrată.
(67)
Serviciile de autentificare a site-urilor internet oferă o modalitate prin care un vizitator al unui site internet poate fi sigur că în spatele site-ului internet se află o entitate autentică și legitimă. Aceste servicii contribuie la construirea încrederii în desfășurarea de activități comerciale online, întrucât utilizatorii vor avea încredere într-un site internet care a fost autentificat. Furnizarea și utilizarea serviciilor de autentificare a unui site internet sunt complet voluntare. Cu toate acestea, pentru ca autentificarea unui site internet să devină un mijloc de a spori încrederea, de a oferi utilizatorului o experiență mai bună și de a stimula creșterea economică pe piața internă, prezentul regulament ar trebui să prevadă obligații minime în materie de securitate și răspundere pentru prestatori și serviciile oferite de aceștia. În acest scop, rezultatele inițiativelor existente coordonate de entitățile din domeniu, de exemplu, Forumul autorităților de certificare/browser-elor - Forumul CA/B, au fost luate în considerare. În plus, prezentul regulament nu ar trebui să împiedice utilizarea altor mijloace sau metode pentru autentificarea unui site internet care nu intră sub incidența prezentului regulament și nici nu ar trebui să împiedice prestatorii de servicii de autentificare a site-urilor internet din țări terțe să își ofere serviciile clienților din Uniune. Cu toate acestea, prestatorii din țări terțe ar trebui să obțină recunoașterea serviciilor lor de autentificare a site-urilor internet drept servicii calificate, în conformitate cu prezentul regulament, numai în cazul în care a fost încheiat un acord internațional între Uniune și țara de stabilire a prestatorului.
(68)
Conceptul de „persoană juridică”, în conformitate cu dispozițiile din Tratatul privind funcționarea Uniunii Europene (TFUE) referitoare la stabilire, le dă operatorilor libertatea de a alege forma juridică pe care ei o consideră potrivită pentru a-și desfășura activitatea. În consecință, „persoană juridică”, în sensul din TFUE, înseamnă toate entitățile constituite în temeiul dreptului unui stat membru sau reglementate de acesta, indiferent de forma lor juridică.
(69)
Instituțiile, organele, oficiile și agențiile Uniunii sunt încurajate să recunoască identificarea electronică și serviciile de încredere reglementate de prezentul regulament în scopul cooperării administrative, bazându-se în special pe bunele practici existente și pe rezultatele proiectelor în curs de desfășurare în domeniile care fac obiectul prezentului regulament.
(70)
Pentru a completa anumite aspecte tehnice detaliate ale prezentului regulament într-o manieră flexibilă și rapidă, competența de a adopta acte în conformitate cu articolul 290 din TFUE ar trebui să fie delegată Comisiei în ceea ce privește criteriile care trebuie respectate de către organismele responsabile de certificarea dispozitivelor de creare a semnăturilor electronice calificate. Este deosebit de important ca, pe parcursul activităților pregătitoare, Comisia să desfășoare consultări adecvate, inclusiv la nivel de experți. Comisia, atunci când pregătește și elaborează acte delegate, ar trebui să asigure o transmitere simultană, în timp util și adecvată a documentelor relevante către Parlamentul European și Consiliu.
(71)
Pentru a se asigura condiții uniforme pentru punerea în aplicare a prezentului regulament, ar trebui conferite competențe de executare Comisiei, în special pentru a specifica numerele de referință ale standardelor a căror utilizare ar oferi o prezumție de conformitate cu anumite cerințe prevăzute în prezentul regulament. Respectivele competențe ar trebui exercitate în conformitate cu Regulamentul (UE) nr. 182/2011 al Parlamentului European și al Consiliului (12).
(72)
Atunci când adoptă acte delegate sau de punere în aplicare, Comisia ar trebui să țină seama în mod corespunzător de standardele și specificațiile tehnice elaborate de organizațiile și organismele de standardizare europene și internaționale, în special de Comitetul European pentru Standardizare (CEN), Institutul European de Standardizare în Telecomunicații (ETSI), Organizația Internațională de Standardizare (ISO) și Uniunea Internațională a Telecomunicațiilor (UIT), cu scopul de a asigura un nivel ridicat de securitate și interoperabilitate a serviciilor electronice de identificare și de încredere.
(73)
Din motive de securitate juridică și claritate, Directiva 1999/93/CE ar trebui abrogată.
(74)
Pentru a se asigura securitatea juridică pentru operatorii de piață care utilizează deja certificate calificate emise persoanelor fizice în conformitate cu Directiva 1999/93/CE, este necesar să se prevadă o perioadă de timp suficientă în scopuri de tranziție. În mod similar, ar trebui să se prevadă măsuri de tranziție pentru dispozitivele sigure de creare a semnăturilor a căror conformitate a fost determinată în conformitate cu Directiva 1999/93/CE, precum și pentru prestatorii de servicii de certificare care emit certificate calificate înainte de 1 iulie 2016. În cele din urmă, este necesar, de asemenea, să se furnizeze Comisiei mijloacele de a adopta actele de punere în aplicare și actele delegate înainte de data respectivă.
(75)
Datele de aplicare prevăzute în prezentul regulament nu aduc atingere obligațiilor existente pe care statele membre le au deja în temeiul dreptului Uniunii, în special în temeiul Directivei 2006/123/CE.
(76)
Deoarece obiectivele prezentului regulament nu pot fi realizate în mod satisfăcător de către statele membre, dar, având în vedere amploarea acțiunii, pot fi realizate mai bine la nivelul Uniunii, aceasta poate adopta măsuri, în conformitate cu principiul subsidiarității, astfel cum este definit la articolul 5 din Tratatul privind Uniunea Europeană. În conformitate cu principiul proporționalității, astfel cum este definit la articolul menționat, prezentul regulament nu depășește ceea ce este necesar pentru realizarea obiectivelor menționate.
(77)
Autoritatea Europeană pentru Protecția Datelor a fost consultată în conformitate cu articolul 28 alineatul (2) din Regulamentul (CE) nr. 45/2001 al Parlamentului European și al Consiliului (13) și a emis un aviz la 27 septembrie 2012 (14),
ADOPTĂ PREZENTUL REGULAMENT:
CAPITOLUL I
DISPOZIȚII GENERALE
Articolul 1
Obiect
În vederea asigurării bunei funcționări a pieței interne, vizând în același timp un nivel adecvat de securitate a mijloacelor de identificare electronică și a serviciilor de încredere, prezentul regulament:
(a)
stabilește condițiile în care statele membre recunosc mijloacele de identificare electronică a persoanelor fizice și juridice care intră sub incidența unui sistem notificat de identificare electronică al unui alt stat membru;
(b)
stabilește norme pentru serviciile de încredere, în special pentru tranzacțiile electronice; și
(c)
stabilește un cadru juridic pentru semnăturile electronice, sigiliile electronice, mărcile temporale electronice, documentele electronice, serviciile de distribuție electronică înregistrate și serviciile de certificare pentru autentificarea unui site internet.
Articolul 2
Domeniul de aplicare
(1) Prezentul regulament se aplică sistemelor de identificare electronică care au fost notificate de către un stat membru și prestatorilor de servicii de încredere cu sediul în Uniune.
(2) Prezentul regulament nu se aplică prestării de servicii de încredere care sunt utilizate exclusiv în sisteme închise care decurg din dreptul intern sau din acordurile încheiate între un set definit de participanți.
(3) Prezentul regulament nu aduce atingere dreptului intern sau al Uniunii privind încheierea și valabilitatea contractelor sau a altor obligații juridice sau procedurale privind forma.
Articolul 3
Definiții
În sensul prezentului regulament, se aplică următoarele definiții:
1.
„identificare electronică” înseamnă procesul de utilizare a datelor de identificare a persoanelor în format electronic, reprezentând în mod unic fie o persoană fizică sau juridică, fie o persoană fizică care reprezintă o persoană juridică;
2.
„mijloace de identificare electronică” înseamnă o unitate materială și/sau imaterială care conține date de identificare personală și care este folosită în scopul autentificării unui serviciu online;
3.
„date de identificare personală” înseamnă un set de date care permit stabilirea identității unei persoane fizice sau juridice sau a unei persoane fizice care reprezintă o persoană juridică;
4.
„sistem de identificare electronică” înseamnă un sistem pentru identificarea electronică în care sunt emise mijloace de identificare electronică pentru persoane fizice sau juridice sau persoane fizice reprezentând persoane juridice;
5.
„autentificare” înseamnă un proces electronic care permite confirmarea identificării electronice a unei persoane fizice sau juridice sau a originii și integrității unor date în format electronic;
6.
„beneficiar” înseamnă o persoană fizică sau juridică care beneficiază de un serviciu de identificare electronică sau de un serviciu de încredere;
7.
„organism din sectorul public” înseamnă un stat, o autoritate regională sau locală, un organism de drept public sau o asociație formată din una sau mai multe astfel de autorități sau din unul sau mai multe astfel de organisme de drept public; sau o entitate privată mandatată de cel puțin una dintre aceste autorități, organisme sau asociații să presteze servicii publice atunci când acționează în temeiul unui astfel de mandat;
8.
„organism de drept public” înseamnă un organism astfel cum este definit la articolul 2 alineatul (1) punctul 4 din Directiva 2014/24/UE a Parlamentului European și a Consiliului (15);
9.
„semnatar” înseamnă o persoană fizică care creează o semnătură electronică;
10.
„semnătură electronică” înseamnă date în format electronic, atașate la sau asociate logic cu alte date în format electronic și care sunt utilizate de semnatar pentru a semna;
11.
„semnătură electronică avansată” înseamnă o semnătură electronică ce îndeplinește cerințele prevăzute la articolul 26;
12.
„semnătură electronică calificată” înseamnă o semnătură electronică avansată care este creată de un dispozitiv de creare a semnăturilor electronice calificat și care se bazează pe un certificat calificat pentru semnăturile electronice;
13.
„date de creare a semnăturilor electronice” înseamnă date unice care sunt utilizate de semnatar pentru a crea o semnătură electronică;
14.
„certificat pentru semnătura electronică” înseamnă o atestare electronică care face legătura între datele de validare a semnăturii electronice și o persoană fizică și care confirmă cel puțin numele sau pseudonimul persoanei respective;
15.
„certificat calificat pentru semnătură electronică” înseamnă un certificat pentru semnăturile electronice care este emis de un prestator de servicii de încredere calificat și care îndeplinește cerințele prevăzute în anexa I;
16.
„serviciu de încredere” înseamnă un serviciu electronic prestat în mod obișnuit în schimbul unei remunerații, care constă în:
(a)
crearea, verificarea și validarea semnăturilor electronice, a sigiliilor electronice sau a mărcilor temporale electronice, a serviciilor de distribuție electronică înregistrată și a certificatelor aferente serviciilor respective; sau
(b)
crearea, verificarea și validarea certificatelor pentru autentificarea unui site internet; sau
(c)
păstrarea semnăturilor electronice, a sigiliilor sau a certificatelor aferente serviciilor respective;
17.
„serviciu de încredere calificat” înseamnă un serviciu de încredere care îndeplinește cerințele aplicabile prevăzute de prezentul regulament;
18.
„organism de evaluare a conformității” înseamnă un organism definit la articolul 2 punctul 13 din Regulamentul (CE) nr. 765/2008, care este acreditat în conformitate cu regulamentul în cauză ca fiind competent să efectueze evaluarea conformității unui prestator de servicii de încredere calificat și a serviciilor de încredere calificate pe care acesta le prestează;
19.
„prestator de servicii de încredere” înseamnă o persoană fizică sau juridică care prestează unul sau mai multe servicii de încredere ca prestator de servicii de încredere calificat sau necalificat;
20.
„prestator de servicii de încredere calificat” înseamnă un prestator de servicii de încredere care prestează unul sau mai multe servicii de încredere calificate și căruia i se acordă statutul de calificat de către organismul de supraveghere;
21.
„produs” înseamnă hardware sau software sau componente relevante de hardware sau software, destinate să fie utilizate pentru prestarea de servicii de încredere;
22.
„dispozitiv de creare a semnăturilor electronice” înseamnă software sau hardware configurat, utilizat pentru a crea o semnătură electronică;
23.
„dispozitiv de creare a semnăturilor electronice calificat” înseamnă un dispozitiv de creare a semnăturilor electronice care îndeplinește cerințele prevăzute în anexa II;
24.
„creatorul unui sigiliu” înseamnă o persoană juridică care creează un sigiliu electronic;
25.
„sigiliu electronic” înseamnă date în format electronic atașate la sau asociate logic cu alte date în format electronic pentru asigurarea originii și integrității acestora din urmă;
26.
„sigiliu electronic avansat” înseamnă un sigiliu electronic care îndeplinește cerințele prevăzute la articolul 36;
27.
„sigiliu electronic calificat” înseamnă un sigiliu electronic avansat care este creat de un dispozitiv de creare a sigiliilor electronice calificat și care se bazează pe un certificat calificat pentru sigiliile electronice;
28.
„date de creare a sigiliilor electronice” înseamnă date unice care sunt utilizate de creatorul sigiliului electronic pentru a crea un sigiliu electronic;
29.
„certificat pentru sigiliul electronic” înseamnă o atestare electronică care face legătura între datele de validare a sigiliului electronic și o persoană juridică și care confirmă numele persoanei respective;
30.
„certificat calificat pentru sigiliul electronic” înseamnă un certificat pentru un sigiliu electronic care este emis de un prestator de servicii de încredere calificat și care îndeplinește cerințele prevăzute în anexa III;
31.
„dispozitiv de creare a sigiliului electronic” înseamnă software sau hardware configurat, utilizat pentru a crea un sigiliu electronic;
32.
„dispozitiv de creare a sigiliului electronic calificat” înseamnă un dispozitiv de creare a sigiliului electronic care îndeplinește mutatis mutandis cerințele prevăzute în anexa II;
33.
„marcă temporală electronică” înseamnă date în format electronic care leagă alte date în format electronic de un anumit moment, stabilind dovezi că acestea din urmă au existat la acel moment;
34.
„marcă temporală electronică calificată” înseamnă o marcă temporală electronică care îndeplinește cerințele prevăzute la articolul 42;
35.
„document electronic” înseamnă orice conținut stocat în format electronic, în special sub formă de text sau de înregistrare sonoră, vizuală sau audiovizuală;
36.
„serviciu de distribuție electronică înregistrată” înseamnă un serviciu care permite transmiterea de date între părți terțe prin mijloace electronice și furnizează dovezi referitoare la manipularea datelor transmise, inclusiv dovezi privind trimiterea și primirea datelor și care protejează datele transmise împotriva riscului de pierdere, furt, deteriorare sau orice modificare neautorizată;
37.
„serviciu de distribuție electronică înregistrată calificat” înseamnă un serviciu de distribuție electronică înregistrată care îndeplinește cerințele prevăzute la articolul 44;
38.
„certificat pentru autentificarea unui site internet” înseamnă o atestare care face posibilă autentificarea unui site internet și face legătura între site-ul internet și persoana fizică sau juridică căreia i s-a emis certificatul;
39.
„certificat calificat pentru autentificarea unui site internet” înseamnă un certificat pentru autentificarea unui site internet care este emis de un prestator de servicii de încredere calificat și care îndeplinește cerințele prevăzute în anexa IV;
40.
„date de validare” înseamnă date care sunt utilizate pentru a valida o semnătură electronică sau un sigiliu electronic;
41.
„validare” înseamnă procesul prin care se verifică și se confirmă dacă o semnătură electronică sau un sigiliu electronic este validă/valid.
Articolul 4
Principiul pieței interne
(1) Nu există nicio restricție privind prestarea de servicii de încredere pe teritoriul unui stat membru de către un prestator de servicii de încredere stabilit în alt stat membru, din motive care se încadrează în domeniile reglementate de prezentul regulament.
(2) Produsele și serviciile de încredere care sunt conforme cu prezentul regulament sunt autorizate pentru a circula liber pe piața internă.
Articolul 5
Prelucrarea și protecția datelor
(1) Prelucrarea datelor cu caracter personal se efectuează în conformitate cu Directiva 95/46/CE.
(2) Fără a aduce atingere efectului juridic aferent pseudonimelor în temeiul dreptului intern, utilizarea pseudonimelor în cadrul tranzacțiilor electronice nu este interzisă.
CAPITOLUL II
IDENTIFICARE ELECTRONICĂ
Articolul 6
Recunoașterea reciprocă
(1) Atunci când este necesară o identificare electronică care utilizează un mijloc de identificare electronică și o autentificare în temeiul dreptului intern sau al practicii administrative naționale pentru a accesa un serviciu prestat online de un organism din sectorul public într-un stat membru, mijloacele de identificare electronică emise într-un alt stat membru sunt recunoscute în primul stat membru în scopul autentificării transfrontaliere a respectivului serviciu online, cu condiția să fie îndeplinite următoarele condiții:
(a)
mijloacele de identificare electronică să fie emise în cadrul unui sistem de identificare electronică inclus în lista publicată de Comisie în temeiul articolului 9;
(b)
nivelul de asigurare al respectivelor mijloace de identificare electronică să corespundă unui nivel de asigurare egal sau mai ridicat decât nivelul de asigurare impus de organismul din sectorul public relevant pentru a accesa respectivul serviciu online în primul stat membru, cu condiția ca nivelul de asigurare al mijloacelor de identificare electronică respective să corespundă nivelului de asigurare substanțial sau ridicat;
(c)
organismul din sectorul public relevant utilizează nivelul de asigurare „substanțial” sau „ridicat” în legătură cu accesarea online a serviciului respectiv.
Această recunoaștere trebuie să aibă loc în termen de cel mult 12 luni de la publicarea de către Comisie a listei menționate la primul paragraf litera (a).
(2) Mijloacele de identificare electronică eliberate în temeiul unui sistem de identificare electronică inclus în lista publicată de Comisie în conformitate cu articolul 9 și care corespund nivelului de asigurare scăzut pot fi recunoscute de către organismele din sectorul public în scopul autentificării transfrontaliere pentru serviciul furnizat online de către organismele respective.
Articolul 7
Eligibilitatea pentru notificarea sistemelor de identificare electronică
Un sistem de identificare electronică este eligibil pentru notificare în temeiul articolului 9 alineatul (1) în cazul în care sunt îndeplinite toate condițiile de mai jos:
(a)
mijloacele de identificare electronică din cadrul sistemului de identificare electronică sunt emise:
(i)
de statul membru care notifică;
(ii)
pe baza unui mandat din partea statului membru care notifică; sau
(iii)
independent de statul membru care notifică și sunt recunoscute de respectivul stat membru;
(b)
mijloacele de identificare electronică din cadrul sistemului de identificare electronică pot fi utilizate pentru a accesa cel puțin un serviciu care este prestat de un organism din sectorul public și care necesită identificarea electronică în statul membru care notifică;
(c)
sistemul de identificare electronică și mijloacele de identificare electronică emise în temeiul acestuia îndeplinesc cerințele aferente cel puțin unuia dintre nivelurile de asigurare prevăzute în actul de punere în aplicare menționat la articolul 8 alineatul (3);
(d)
statul membru care notifică se asigură că datele de identificare personală, reprezentând în mod unic persoana în cauză, sunt atribuite, în conformitate cu specificațiile, standardele și procedurile tehnice aferente nivelului de asigurare relevant prevăzut în actul de punere în aplicare menționat la articolul 8 alineatul (3), persoanei fizice sau juridice menționate la articolul 3 punctul 1 la momentul emiterii mijloacelor de identificare electronică din cadrul sistemului respectiv;
(e)
partea care emite mijloacele de identificare electronică din cadrul respectivului sistem se asigură că mijloacele de identificare electronică sunt atribuite persoanelor menționate la litera (d) de la prezentul articol, în conformitate cu specificațiile tehnice, standardele și procedurile aferente nivelului de asigurare corespunzător prevăzut în actul de punere în aplicare menționat la articolul 8 alineatul (3);
(f)
statul membru care notifică asigură disponibilitatea autentificării online, astfel încât orice beneficiar stabilit pe teritoriul altui stat membru să poată confirma datele de identificare personală primite în format electronic.
În cazul altor beneficiari decât organismele din sectorul public, statul membru care notifică poate defini condițiile de acces la mijlocul respectiv de autentificare. Autentificarea transfrontalieră este furnizată gratuit atunci când este efectuată în legătură cu un serviciu online prestat de un organism din sectorul public.
Statele membre nu impun nicio cerință tehnică specifică disproporționată beneficiarilor care intenționează să efectueze o astfel de autentificare, atunci când astfel de cerințe împiedică sau afectează semnificativ interoperabilitatea sistemelor de identificare electronică notificate;
(g)
cu cel puțin șase luni înaintea notificării în conformitate cu articolul 9 alineatul (1), statul membru care notifică furnizează celorlalte state membre, în scopul îndeplinirii obligației prevăzute la articolul 12 alineatul (5), o descriere a sistemului respectiv în conformitate cu modalitățile prevăzute în actele de punere în aplicare menționate la articolul 12 alineatul (7);
(h)
sistemul de identificare electronică îndeplinește cerințele prevăzute în actul de punere în aplicare menționat la articolul 12 alineatul (8).
Articolul 8
Niveluri de asigurare ale mijloacelor de identificare electronică
(1) Un sistem de identificare electronică notificat în temeiul articolului 9 alineatul (1) specifică nivelurile de asigurare scăzut, substanțial și/sau ridicat pentru mijloacele de identificare electronică emise în cadrul sistemului respectiv.
(2) Nivelurile de asigurare scăzut, substanțial și ridicat îndeplinesc următoarele criterii, respectiv:
(a)
nivelul de asigurare scăzut se referă la un mijloc de identificare electronică în contextul unui sistem de identificare electronică, care asigură un grad substanțial de încredere în legătură cu identitatea pretinsă sau declarată a unei persoane și care este caracterizat prin trimitere la specificațiile tehnice, la standardele și la procedurile corespunzătoare respectivului mijloc de identificare, inclusiv controalele tehnice, al căror scop este de a reduce substanțial riscul unei utilizări frauduloase sau al modificării frauduloase a identității;
(b)
nivelul de asigurare substanțial se referă la un mijloc de identificare electronică în contextul unui sistem de identificare electronică, care asigură un grad substanțial de încredere în legătură cu identitatea pretinsă sau declarată a unei persoane și care este caracterizat prin trimitere la specificațiile tehnice, la standardele și la procedurile corespunzătoare respectivului mijloc de identificare, inclusiv controalele tehnice, al căror scop este de a reduce substanțial riscul unei utilizări frauduloase sau al modificării frauduloase a identității;
(c)
nivelul de asigurare ridicat se referă la un mijloc de identificare electronică în contextul unui sistem de identificare electronică, care asigură un grad mai ridicat de încredere în legătură cu identitatea pretinsă sau declarată a unei persoane decât mijloacele de identificare electronică cu nivel de asigurare substanțial și care este caracterizat prin trimitere la specificațiile tehnice, la standardele și la procedurile corespunzătoare respectivului mijloc de identificare, inclusiv controalele tehnice, al căror scop este de a împiedica utilizarea frauduloasă sau modificarea frauduloasă a identității.
(3) Până la 18 septembrie 2015, ținând cont de standardele internaționale relevante și sub rezerva alineatului (2), Comisia, prin intermediul unor acte de punere în aplicare, stabilește specificații tehnice, standarde și proceduri minime, în raport cu care sunt specificate nivelurile de asigurare scăzut, substanțial și ridicat pentru mijloacele de identificare electronică în sensul alineatului (1).
Aceste specificații tehnice, standarde și proceduri minime se stabilesc prin trimitere la fiabilitatea și calitatea următoarelor elemente:
(a)
procedura de dovedire și de verificare a identității persoanelor fizice sau juridice care solicită emiterea mijloacelor de identificare electronică;
(b)
procedura pentru emiterea mijloacelor de identificare electronică solicitate;
(c)
mecanismul de autentificare, prin care persoana fizică sau juridică utilizează mijloacele de identificare electronică pentru a confirma identitatea sa unui beneficiar;
(d)
entitatea care emite mijloacele de identificare electronică;
(e)
oricare alt organism implicat în solicitarea emiterii mijloacelor de identificare electronică; și
(f)
specificațiile tehnice și de securitate ale mijloacelor de identificare electronică emise.
Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 9
Notificarea
(1) Statul membru care notifică înaintează Comisiei următoarele informații și, fără întârzieri nejustificate, orice modificări ulterioare ale acestora:
(a)
o descriere a sistemului de identificare electronică notificat, incluzând nivelurile sale de asigurare și emitentul sau emitenții mijloacelor de identificare electronică din cadrul sistemului;
(b)
regimul de supraveghere aplicabil și informații privind regimul de răspundere referitor la următoarele aspecte:
(i)
partea care emite mijloacele de identificare electronică; și
(ii)
partea care desfășoară procedura de autentificare;
(c)
autoritatea sau autoritățile responsabile pentru sistemul de identificare electronică;
(d)
informații privind entitatea sau entitățile care gestionează înregistrarea datelor unice de identificare personală;
(e)
o descriere a modului în care sunt îndeplinite cerințele prevăzute în actele de punere în aplicare menționate la articolul 12 alineatul (8);
(f)
o descriere a autentificării menționate la articolul 7 litera (f);
(g)
dispoziții pentru suspendarea sau revocarea sistemului de identificare electronică notificat, a autentificării sau a părților compromise în cauză.
(2) La un an de la data aplicării actelor de punere în aplicare menționate la articolul 8 alineatul (3) și la articolul 12 alineatul (8), Comisia publică în Jurnalul Oficial al Uniunii Europene o listă a sistemelor de identificare electronică care au fost notificate în temeiul alineatului (1) de la prezentul articol și informațiile de bază cu privire la acestea.
(3) În cazul în care Comisia primește o notificare după expirarea perioadei menționate la alineatul (2), aceasta publică în Jurnalul Oficial al Uniunii Europene modificările la lista menționată la alineatul (2) în termen de două luni de la data primirii respectivei notificări.
(4) Un stat membru poate înainta Comisiei o cerere de eliminare a unui sistem de identificare electronică notificat de respectivul stat membru din lista menționată la alineatul (2). Comisia publică în Jurnalul Oficial al Uniunii Europene modificările corespunzătoare aduse listei, în termen de o lună de la primirea cererii statului membru.
(5) Comisia poate, prin intermediul unor acte de punere în aplicare, să definească circumstanțele, formatele și procedurile pentru notificările în temeiul alineatului (1). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 10
Încălcarea securității
(1) În cazul în care fie sistemul de identificare electronică notificat în conformitate cu articolul 9 alineatul (1), fie autentificarea menționată la articolul 7 litera (f) este încălcată sau parțial compromisă într-un mod care afectează fiabilitatea autentificării transfrontaliere a sistemului respectiv, statul membru care notifică suspendă sau revocă, fără întârziere, respectiva autentificare transfrontalieră sau părțile compromise în cauză și informează celelalte state membre și Comisia.
(2) În cazul în care încălcarea sau compromiterea menționată la alineatul (1) este remediată, statul membru care notifică reinstituie autentificarea transfrontalieră și informează celelalte state membre și Comisia fără întârzieri nejustificate.
(3) În cazul în care încălcarea sau compromiterea menționată la alineatul (1) nu este remediată în termen de trei luni de la suspendare sau revocare, statul membru care notifică comunică celorlalte state membre și Comisiei retragerea sistemului de identificare electronică.
Comisia publică în Jurnalul Oficial al Uniunii Europene, fără întârzieri nejustificate, modificările corespunzătoare aduse listei menționate la articolul 9 alineatul (2).
Articolul 11
Răspunderea
(1) Statul membru care notifică este răspunzător pentru prejudiciul cauzat în mod intenționat sau din neglijență oricărei persoane fizice sau juridice în cadrul unei tranzacții transfrontaliere ca urmare a nerespectării obligațiilor care îi revin în temeiul articolului 7 literele (d) și (f).
(2) Partea care emite mijloacele de identificare electronică este răspunzătoare pentru prejudiciul cauzat în mod intenționat sau din neglijență oricărei persoane fizice sau juridice în cadrul unei tranzacții transfrontaliere ca urmare a nerespectării obligației menționate la articolul 7 litera (e).
(3) Partea care execută procedura de autentificare este răspunzătoare pentru prejudiciul cauzat în mod intenționat sau din neglijență oricărei persoane fizice sau juridice în cadrul unei tranzacții transfrontaliere pentru neasigurarea executării corecte a autentificării menționate la articolul 7 litera (f).
(4) Alineatele (1), (2) și (3) se aplică în conformitate cu normele de drept intern privind răspunderea.
(5) Alineatele (1), (2) și (3) nu aduc atingere răspunderii care revine, în conformitate cu dreptul intern, părților la o tranzacție în care sunt utilizate mijloace de identificare electronică care intră sub incidența sistemului de identificare electronică notificat în temeiul articolului 9 alineatul (1).
Articolul 12
Cooperarea și interoperabilitatea
(1) Sistemele naționale de identificare electronică notificate în temeiul articolului 9 alineatul (1) sunt interoperabile.
(2) În sensul alineatului (1), se stabilește un cadru de interoperabilitate.
(3) Cadrul de interoperabilitate îndeplinește următoarele criterii:
(a)
urmărește să fie neutru din punctul de vedere al tehnologiei și nu acordă prioritate niciuneia dintre soluțiile tehnice naționale specifice pentru identificarea electronică pe teritoriul statului membru;
(b)
respectă standardele europene și internaționale, atunci când este posibil;
(c)
facilitează punerea în aplicare a principiului luării în considerare a vieții private începând cu momentul conceperii (privacy by design); și
(d)
garantează că datele cu caracter personal sunt prelucrate în conformitate cu Directiva 95/46/CE.
(4) Cadru de interoperabilitate este alcătuit din următoarele elemente:
(a)
o trimitere la cerințele tehnice minime aferente nivelurilor de asigurare menționate la articolul 8;
(b)
o clasificare a nivelurilor naționale de asigurare aferente sistemelor de identificare electronică notificate în funcție de nivelurile de asigurare menționate la articolul 8;
(c)
o trimitere la cerințele tehnice minime referitoare la interoperabilitate;
(d)
o trimitere la un set minim de date de identificare personală, reprezentând în mod unic o persoană fizică sau juridică, care sunt disponibile din sistemele de identificare electronică;
(e)
regulamentul de procedură;
(f)
dispoziții referitoare la soluționarea litigiilor; și
(g)
standarde de securitate operaționale comune.
(5) Statele membre cooperează cu privire la următoarele aspecte:
(a)
interoperabilitatea sistemelor de identificare electronică notificate în conformitate cu articolul 9 alineatul (1) și a sistemelor de identificare electronică pe care statele membre intenționează să le notifice; și
(b)
securitatea sistemelor de identificare electronică.
(6) Cooperarea dintre statele membre constă în:
(a)
schimbul de informații, de experiență și de bune practici privind sistemele de identificare electronică și, în special, cerințele tehnice referitoare la interoperabilitate și la nivelurile de asigurare;
(b)
schimbul de informații, de experiență și de bune practici cu privire la modul de lucru cu nivelurile de asigurare ale sistemelor de identificare electronică menționate la articolul 8;
(c)
evaluarea inter pares privind sistemele de identificare electronică care fac obiectul prezentului regulament; și
(d)
analiza evoluțiilor relevante din domeniul identificării electronice.
(7) Până la 18 martie 2015, Comisia stabilește, prin intermediul actelor de punere în aplicare, modalitățile procedurale necesare pentru a facilita cooperarea între statele membre menționate la alineatele (5) și (6), în vederea stimulării unui nivel ridicat de încredere și securitate corespunzător gradului de risc.
(8) Până la 18 septembrie 2015, în vederea stabilirii de condiții uniforme pentru punerea în aplicare a cerinței menționate la alineatul (1), sub rezerva criteriilor stabilite la alineatul (3) și luând în considerare rezultatele cooperării dintre statele membre, Comisia adoptă acte de punere în aplicare privind cadrul de interoperabilitate, astfel cum este prevăzut la alineatul (4).
(9) Actele de punere în aplicare menționate la alineatele (7) și (8) de la prezentul articol se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
CAPITOLUL III
SERVICII DE ÎNCREDERE
SECȚIUNEA 1
Dispoziții generale
Articolul 13
Răspunderea și sarcina probei
(1) Fără a aduce atingere alineatului (2), prestatorii de servicii de încredere sunt răspunzători pentru prejudiciile cauzate în mod intenționat sau din neglijență oricărei persoane fizice sau juridice ca urmare a nerespectării obligațiilor prevăzute în prezentul regulament.
Sarcina de a proba intenția sau neglijența unui prestator de servicii de încredere necalificat revine persoanei fizice sau juridice care introduce o acțiune în despăgubiri pentru prejudiciul menționat la primul paragraf.
Prezumția de intenție sau de neglijență se aplică unui prestator de servicii de încredere calificat, cu excepția cazului în care acesta dovedește că prejudiciul menționat la primul paragraf nu a intervenit din intenția sau din neglijența prestatorului de servicii de încredere calificat.
(2) În cazul în care prestatorii de servicii de încredere își informează clienții în prealabil în mod corespunzător cu privire la restricțiile privind utilizarea serviciilor pe care aceștia le prestează și în cazul în care aceste restricții pot fi recunoscute de părțile terțe, prestatorii de servicii de încredere nu sunt răspunzători pentru prejudiciile rezultate din utilizarea serviciilor care depășesc restricțiile indicate.
(3) Alineatele (1) și (2) se aplică în conformitate cu normele de drept intern privind răspunderea.
Articolul 14
Aspecte internaționale
(1) Serviciile de încredere prestate de prestatori de servicii de încredere stabiliți într-o țară terță sunt recunoscute ca fiind echivalente din punct de vedere juridic cu serviciile electronice de încredere calificate prestate de prestatori de servicii de încredere calificați stabiliți în Uniune dacă serviciile de încredere care provin din țara terță sunt recunoscute în temeiul unui acord încheiat între Uniune și țara terță în cauză sau o organizație internațională în conformitate cu articolul 218 din TFUE.
(2) Acordurile menționate la alineatul (1) garantează, în special, că:
(a)
cerințele aplicabile prestatorilor de servicii de încredere calificați stabiliți în Uniune și serviciilor de încredere calificate pe care aceștia le prestează sunt îndeplinite de prestatorii de servicii de încredere din țara terță sau de organizațiile internaționale cu care a fost încheiat acordul, precum și de serviciile de încredere pe care aceștia le prestează;
(b)
serviciile de încredere calificate prestate de prestatori de servicii de încredere calificați stabiliți în Uniune sunt recunoscute ca echivalente din punct de vedere juridic cu serviciile de încredere prestate de prestatorii de servicii de încredere din țara terță sau de organizația internațională cu care a fost încheiat acordul.
Articolul 15
Accesibilitatea pentru persoanele cu handicap
Dacă este posibil, serviciile de încredere prestate și produsele destinate utilizatorului final utilizate pentru prestarea serviciilor respective sunt accesibile persoanelor cu handicap.
Articolul 16
Sancțiuni
Statele membre stabilesc normele referitoare la sancțiunile aplicabile în cazul încălcării prezentului regulament. Sancțiunile prevăzute sunt eficace, proporționale și disuasive.
SECȚIUNEA 2
Supravegherea
Articolul 17
Organismul de supraveghere
(1) Statele membre desemnează un organism de supraveghere stabilit pe teritoriul lor sau, de comun acord cu un alt stat membru, un organism de supraveghere stabilit în acel stat membru. Organismul respectiv este responsabil de sarcinile de supraveghere în statul membru care l-a desemnat.
Organismelor de supraveghere li se conferă competențele necesare și resursele adecvate pentru exercitarea sarcinilor lor.
(2) Statele membre notifică Comisiei denumirile și adresele organismelor lor de supraveghere desemnate.
(3) Rolul organismului de supraveghere constă în:
(a)
supravegherea prestatorilor de servicii de încredere calificați stabiliți pe teritoriul statului membru care l-a desemnat pentru a se asigura, prin intermediul activităților de supraveghere ex ante și ex post, că respectivii prestatori de servicii de încredere calificați, precum și serviciile de încredere calificate pe care le prestează, îndeplinesc cerințele stabilite în prezentul regulament;
(b)
luarea de măsuri, după caz, în legătură cu prestatorii de servicii de încredere necalificați stabiliți pe teritoriul statului membru care l-a desemnat, prin intermediul activităților de supraveghere ex post, atunci când este informat că există presupunerea că respectivii prestatori de servicii de încredere calificați sau serviciile de încredere pe care le prestează nu îndeplinesc cerințele stabilite în prezentul regulament.
(4) În sensul alineatului (3) și sub rezerva restricțiilor prevăzute de acesta, sarcinile organismului de supraveghere includ, în special:
(a)
să coopereze cu alte organisme de supraveghere și să acorde asistență acestora, în conformitate cu articolul 18;
(b)
să efectueze analiza rapoartelor de evaluare a conformității menționate la articolul 20 alineatul (1) și la articolul 21 alineatul (1);
(c)
să informeze celelalte organisme de supraveghere și publicul cu privire la încălcarea securității sau la pierderea integrității, în conformitate cu articolul 19 alineatul (2);
(d)
să raporteze Comisiei cu privire la activitățile sale principale, în conformitate cu alineatul (6) de la prezentul articol;
(e)
să realizeze audituri sau să solicite unui organism de evaluare a conformității să efectueze o evaluare a conformității prestatorilor de servicii de încredere calificați, în conformitate cu articolul 20 alineatul (2);
(f)
să coopereze cu autoritățile de protecție a datelor, în special prin informarea acestora, fără întârzieri nejustificate, cu privire la rezultatele auditurilor prestatorilor de servicii de încredere calificați, în cazul în care se presupune că normele de protecție a datelor cu caracter personal au fost încălcate;
(g)
să acorde statutul de calificat prestatorilor de servicii de încredere, precum și serviciilor pe care aceștia le prestează și să retragă statutul respectiv, în conformitate cu articolele 20 și 21;
(h)
să informeze organismul responsabil cu lista sigură națională menționată la articolul 22 alineatul (3) cu privire la deciziile sale de acordare sau de retragere a statutului de calificat, cu excepția cazului în care respectivul organism este și organism de supraveghere;
(i)
să verifice existența și aplicarea corectă a dispozițiilor privind planurile de încetare a serviciului în cazurile în care prestatorul de servicii de încredere calificat își încetează activitățile, inclusiv modul în care informațiile sunt păstrate accesibile, în conformitate cu articolul 24 alineatul (2) litera (h);
(j)
să solicite prestatorilor de servicii de încredere să remedieze orice neîndeplinire a cerințelor prevăzute în prezentul regulament.
(5) Statele membre pot să solicite organismului de supraveghere să stabilească, să mențină și să actualizeze o infrastructură de asigurare a încrederii în conformitate cu condițiile stabilite de dreptul intern.
(6) În fiecare an, până la 31 martie, fiecare organism de supraveghere înaintează Comisiei un raport privind principalele activități desfășurate în anul calendaristic anterior, însoțit de un rezumat al notificărilor încălcărilor primit de la prestatorii de servicii de încredere, în conformitate cu articolul 19 alineatul (2).
(7) Comisia pune la dispoziția statelor membre raportul anual menționat la alineatul (6).
(8) Comisia poate, prin intermediul unor acte de punere în aplicare, să definească formatele și procedurile pentru raportul menționat la alineatul (6). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 18
Asistență reciprocă
(1) Organismele de supraveghere cooperează cu scopul de a face schimb de bune practici.
Pe baza unei solicitări justificate din partea unui alt organism de supraveghere, un organism de supraveghere acordă respectivului organism asistență astfel încât activitățile organismelor de supraveghere să poată fi desfășurate în mod coerent. Asistența reciprocă poate viza, în special, solicitările de informații și măsurile de supraveghere, cum ar fi solicitările de a desfășura inspecții legate de rapoartele de evaluare a conformității menționate la articolele 20 și 21.
(2) Un organism de supraveghere căruia i se adresează o solicitare de asistență poate respinge respectiva solicitare din oricare dintre următoarele motive:
(a)
organismul de supraveghere nu are competența de a acorda asistența solicitată;
(b)
asistența solicitată nu este proporțională cu activitățile de supraveghere ale organismului de supraveghere desfășurate în conformitate cu articolul 17;
(c)
acordarea asistenței solicitate ar contraveni prezentului regulament.
(3) După caz, statele membre pot autoriza organismele lor de supraveghere să efectueze anchete comune în care este implicat personalul din organismele de supraveghere ale celorlalte state membre. Mecanismele și procedurile pentru astfel de acțiuni în comun sunt convenite și stabilite de către statele membre în cauză, în conformitate cu dreptul lor intern.
Articolul 19
Cerințe de securitate aplicabile prestatorilor de servicii de încredere
(1) Prestatorii de servicii de încredere calificați și necalificați iau măsurile tehnice și organizaționale corespunzătoare pentru gestionarea riscurilor la adresa securității serviciilor de încredere pe care le prestează. Ținând cont de cele mai recente evoluții tehnologice, aceste măsuri garantează că nivelul securității este proporțional cu gradul de risc. În special, se iau măsuri pentru a preveni și minimiza impactul incidentelor legate de securitate și pentru a informa părțile interesate cu privire la efectele negative ale oricăror incidente de acest tip.
(2) Prestatorii de servicii de încredere calificați și necalificați notifică, fără întârzieri nejustificate, însă, în orice caz, în termen de 24 de ore după ce au aflat, organismului de supraveghere competent și, dacă este cazul, altor organisme relevante, cum sunt organismul național competent pentru securitatea informațiilor sau autoritatea pentru protecția datelor, orice încălcare a securității sau pierdere a integrității care are un impact semnificativ asupra serviciului de încredere prestat sau asupra datelor cu caracter personal păstrate de acesta.
Atunci când încălcarea securității sau pierderea integrității este de natură să afecteze în mod negativ o persoană fizică sau juridică căreia i-a fost prestat serviciul de încredere, prestatorul de servicii de încredere notifică, de asemenea, persoanei fizice sau juridice încălcarea securității sau pierderea integrității fără întârzieri nejustificate.
După caz, în special dacă o încălcare a securității sau o pierdere a integrității se referă la două sau mai multe state membre, organismul de supraveghere notificat informează organismele de supraveghere vizate din alte state membre și ENISA.
Organismul de supraveghere notificat informează publicul sau solicită prestatorului de servicii de încredere să facă acest lucru, în cazul în care consideră că dezvăluirea încălcării securității sau pierderea integrității servește interesului public.
(3) Organismul de supraveghere furnizează ENISA, o dată pe an, un rezumat al notificărilor privind încălcarea securității sau pierderea integrității primite de la prestatorii de servicii de încredere.
(4) Prin intermediul unor acte de punere în aplicare, Comisia poate:
(a)
elabora specificații suplimentare referitoare la măsurile menționate la alineatul (1); și
(b)
defini formatele și procedurile, inclusiv termenele, aplicabile în sensul alineatului (2).
Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
SECȚIUNEA 3
Servicii de încredere calificate
Articolul 20
Supravegherea prestatorilor de servicii de încredere calificați
(1) Prestatorii de servicii de încredere calificați sunt auditați, pe propria cheltuială, cel puțin o dată la 24 de luni, de către un organism de evaluare a conformității. Scopul auditului este de a confirma că prestatorii de servicii de încredere calificați și serviciile de încredere calificate pe care le prestează îndeplinesc cerințele prevăzute în prezentul regulament. Prestatorii de servicii de încredere calificați transmit raportul de evaluare a conformității care a rezultat organismului de supraveghere în termen de trei zile lucrătoare de la primirea lui.
(2) Fără a aduce atingere alineatului (1), organismul de supraveghere poate, în orice moment, să efectueze un audit sau să solicite unui organism de evaluare a conformității să efectueze o evaluare a conformității privind prestatorii de servicii de încredere calificați, pe cheltuiala prestatorilor de servcii de încredere respectivi, pentru a confirma că aceștia și serviciile de încredere calificate pe care le prestează îndeplinesc cerințele prevăzute în prezentul regulament. În cazul în care normele de protecție a datelor cu caracter personal par să fi fost încălcate, organismul de supraveghere informează autoritățile pentru protecția datelor cu privire la rezultatele auditurilor sale.
(3) În cazul în care organismul de supraveghere solicită prestatorului de servicii de încredere calificat să remedieze neîndeplinirea obligațiilor care îi revin în temeiul prezentului regulament, iar respectivul prestator nu acționează în consecință și, după caz, într-un termen stabilit de organismul de supraveghere, organismul de supraveghere, ținând seama în special de amploarea, de durata și de consecințele respectivei neîndepliniri, poate retrage statutul de calificat al respectivului prestator sau al serviciului prestat de acesta care este afectat și informează organismul menționat la articolul 22 alineatul (3) în scopul actualizării listelor sigure menționate la articolul 22 alineatul (1). Organismul de supraveghere informează prestatorul de servicii de încredere calificat cu privire la retragerea statutului de calificat, al său sau al serviciului în cauză.
(4) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință ale următoarelor standarde:
(a)
pentru acreditarea organismelor de evaluare a conformității și pentru raportul de evaluare a conformității menționat la alineatul (1);
(b)
privind normele de audit în temeiul cărora organismele de evaluare a conformității își vor desfășura evaluarea conformității prestatorilor de servicii de încredere calificați, astfel cum se menționează la alineatul (1).
Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 21
Inițierea unui serviciu de încredere calificat
(1) În cazul în care prestatorii de servicii de încredere care nu au statutul de calificat intenționează să înceapă să presteze servicii de încredere calificate, aceștia transmit organismului de supraveghere o notificare a intenției lor, împreună cu un raport de evaluare a conformității emis de un organism de evaluare a conformității.
(2) Organismul de supraveghere verifică dacă prestatorul de servicii de încredere și serviciile de încredere prestate de acesta respectă cerințele prevăzute în prezentul regulament și, în special, cerințele pentru prestatorii de servicii de încredere calificați și pentru serviciile de încredere calificate prestate de aceștia.
În cazul în care organismul de supraveghere ajunge la concluzia că prestatorul de servicii de încredere și serviciile de încredere prestate de acesta respectă cerințele menționate în primul paragraf, organismul de supraveghere acordă statutul de calificat prestatorului de servicii de încredere și serviciilor de încredere prestate de acesta și informează organismul menționat la articolul 22 alineatul (3) în scopul actualizării listelor sigure menționate la articolul 22 alineatul (1), în termen de maximum trei luni de la notificare în conformitate cu alineatul (1) de la prezentul articol.
În cazul în care verificarea nu este încheiată în termen de trei luni de la notificare, organismul de supraveghere informează prestatorul de servicii de încredere, specificând motivele întârzierii și termenul în care se încheie verificarea.
(3) Prestatorii de servicii de încredere calificați pot începe furnizarea serviciului de încredere calificat după ce statutul de calificat a fost indicat în listele sigure menționate la articolul 22 alineatul (1).
(4) Comisia poate, prin intermediul unor acte de punere în aplicare, să definească formatele și procedurile în sensul alineatelor (1) și (2). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 22
Listele sigure
(1) Fiecare stat membru instituie, menține și publică liste care includ informații referitoare la prestatorii de servicii de încredere calificați pentru care este responsabil, împreună cu informații referitoare la serviciile de încredere calificate prestate de aceștia.
(2) Statele membre instituie, mențin și publică, în mod securizat, listele sigure semnate sau sigilate electronic menționate la alineatul (1), într-o formă adecvată pentru prelucrarea automată.
(3) Statele membre notifică Comisiei, fără întârzieri nejustificate, informații cu privire la organismul responsabil pentru instituirea, menținerea și publicarea listelor sigure naționale și detalii despre locul unde sunt publicate aceste liste, certificatele utilizate pentru semnarea sau sigilarea listelor sigure și orice modificări ale acestora.
(4) Comisia pune la dispoziția publicului, printr-un canal sigur, informațiile menționate la alineatul (3) într-o formă purtând o semnătură electronică sau un sigiliu electronic adecvate pentru prelucrarea automată.
(5) Până la 18 septembrie 2015, Comisia specifică, prin intermediul unor acte de punere în aplicare, informațiile menționate la alineatul (1) și definește specificațiile tehnice și formatele pentru listele sigure aplicabile în sensul alineatelor (1)-(4). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 23
Marca de încredere a UE pentru serviciile de încredere calificate
(1) După indicarea statutului de calificat menționat la articolul 21 alineatul (2) al doilea paragraf pe lista sigură menționată la articolul 22 alineatul (1), prestatorii de servicii de încredere calificați pot utiliza o marcă de încredere a UE pentru a indica într-un mod simplu, ușor de recunoscut și clar serviciile de încredere calificate pe care le prestează.
(2) În cazul utilizării mărcii de încredere a UE pentru serviciile de încredere calificate menționate la alineatul (1), prestatorii de servicii de încredere calificați se asigură că pe site-ul lor internet este disponibil un link către lista sigură relevantă.
(3) Până la 1 iulie 2015, Comisia, prin intermediul unor acte de punere în aplicare, stabilește specificațiile referitoare la forma și, în special, prezentarea, componența, mărimea și designul mărcii de încredere a UE pentru serviciile de încredere calificate. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 24
Cerințe pentru prestatorii de servicii de încredere calificați
(1) Atunci când emite un certificat calificat pentru un serviciu de încredere, un prestator de servicii de încredere calificat verifică, prin mijloace corespunzătoare și în conformitate cu legislația națională, identitatea și, atunci când este cazul, atributele specifice ale persoanei fizice sau juridice căreia i s-a emis un certificat calificat.
Informațiile menționate la primul paragraf sunt verificate de prestatorul de servicii de încredere calificat, fie direct, fie prin intermediul unei părți terțe, în conformitate cu dreptul intern:
(a)
de către persoana fizică sau de către un reprezentant autorizat al persoanei juridice, în persoană; sau
(b)
de la distanță, utilizând mijloace de identificare electronică pentru care, înainte de eliberarea certificatului calificat, a fost asigurată prezența fizică a persoanei fizice sau a unui reprezentant autorizat al persoanei juridice și care îndeplinesc cerințele stabilite la articolul 8 în ceea ce privește nivelurile de asigurare „substanțial” sau „ridicat”; sau
(c)
prin intermediul unui certificat, al unei semnături electronice calificate sau al unui sigiliu electronic calificat emis în conformitate cu dispozițiile de la litera (a) sau (b); sau
(d)
prin utilizarea altor metode de identificare recunoscute la nivel național, care oferă un nivel de asigurare echivalent din perspectiva fiabilității cu prezența fizică. Nivelul de asigurare echivalent este confirmat de un organism de evaluare a conformității.
(2) Un prestator de servicii de încredere calificat care prestează servicii de încredere calificate:
(a)
informează organismul de supraveghere cu privire la orice schimbare survenită în prestarea sa de servicii de încredere calificate și cu privire la vreo intenție de a își înceta activitatea respectivă;
(b)
angajează personal și, după caz, subcontractanți care dețin cunoștințele, credibilitatea, experiența și calificările necesare și care au beneficiat de formare adecvată în ceea ce privește normele de siguranță și protecție a datelor cu caracter personal și aplică proceduri administrative și de gestiune care corespund standardelor europene sau internaționale;
(c)
în ceea ce privește riscul de răspundere pentru daune în conformitate cu articolul 13, menține suficiente resurse financiare și/sau obține o asigurare de răspundere adecvată, în conformitate cu dreptul intern;
(d)
înainte de stabilirea unei relații contractuale, informează, în mod clar și cuprinzător, orice persoană care dorește să utilizeze un serviciu de încredere calificat de clauzele și condițiile exacte privind utilizarea acelui serviciu, inclusiv orice restricție privind utilizarea acestuia;
(e)
utilizează sisteme și produse demne de încredere care sunt protejate împotriva modificărilor și asigură siguranța tehnică și fiabilitatea proceselor susținute de acestea;
(f)
utilizează sisteme demne de încredere pentru a stoca datele care îi sunt furnizate, într-o formă care poate fi verificată, astfel încât:
(i)
acestea să fie disponibile publicului pentru cercetări numai în cazul în care a fost obținut consimțământul persoanei la care se referă datele;
(ii)
numai persoanele autorizate să poată introduce și modifica datele stocate;
(iii)
autenticitatea datelor să poată fi controlată;
(g)
ia măsuri adecvate împotriva falsificării și furtului de date;
(h)
înregistrează și menține accesibile pentru o perioadă de timp corespunzătoare, inclusiv ulterior încetării activității prestatorului de servicii de încredere calificat, toate informațiile relevante referitoare la datele emise și primite de către prestatorul de servicii de încredere calificat, în special în scopul de a furniza dovezi în procedurile judiciare și în scopul asigurării continuității serviciului. Aceste înregistrări pot fi efectuate în mod electronic;
(i)
are un plan actualizat, în cazul încetării serviciului, pentru a asigura continuitatea serviciului conform dispozițiilor verificate de către organismul de supraveghere, în conformitate cu articolul 17 alineatul (4) litera (i);
(j)
asigură prelucrarea legală a datelor cu caracter personal în conformitate cu Directiva 95/46/CE;
(k)
în cazul prestatorilor de servicii de încredere calificați care eliberează certificate calificate, instituie și actualizează permanent o bază de date a certificatelor.
(3) Dacă un prestator de servicii de încredere calificat care eliberează certificate calificate decide să revoce un certificat, acesta înregistrează respectiva revocare în baza sa de date privind certificatele și publică statutul de revocat al certificatului în timp util și în orice caz în termen de 24 de ore de la primirea cererii. Revocarea intră în vigoare imediat după publicare.
(4) Cu privire la alineatul (3), prestatorii de servicii de încredere calificați care emit certificate calificate furnizează oricărui beneficiar informații cu privire la valabilitatea sau revocarea statutului de certificate calificate emise de aceștia. Aceste informații sunt puse la dispoziție cel puțin pentru fiecare certificat în parte, în orice moment și după expirarea perioadei de valabilitate a certificatului, în mod automat, fiabil, gratuit și eficient.
(5) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numerele de referință ale standardelor pentru sisteme și produse demne de încredere, care respectă cerințele prevăzute la alineatul (2) literele (e) și (f) de la prezentul articol. În cazul în care sistemele și produsele demne de încredere respectă standardele respective, se presupune că acestea respectă cerințele prevăzute la prezentul articol. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
SECȚIUNEA 4
Semnătura electronică
Articolul 25
Efectele juridice ale semnăturilor electronice
(1) Unei semnături electronice nu i se refuză efectul juridic și posibilitatea de a fi acceptată ca probă în procedurile judiciare doar din motiv că aceasta este în format electronic sau că nu îndeplinește cerințele pentru semnăturile electronice calificate.
(2) O semnătură electronică calificată are efectul juridic echivalent al unei semnături olografe.
(3) O semnătură electronică calificată bazată pe un certificat calificat eliberat de un stat membru este recunoscută drept semnătură electronică calificată în toate celelalte state membre.
Articolul 26
Cerințe pentru semnături electronice avansate
O semnătura electronică avansată îndeplinește următoarele cerințe:
(a)
face trimitere exclusiv la semnatar;
(b)
permite identificarea semnatarului;
(c)
este creată utilizând date de creare a semnăturilor electronice pe care semnatarul le poate utiliza, cu un nivel ridicat de încredere, exclusiv sub controlul său; și
(d)
este legată de datele utilizate la semnare astfel încât orice modificare ulterioară a datelor poate fi detectată.
Articolul 27
Semnăturile electronice în cadrul serviciilor publice
(1) În cazul în care un stat membru solicită o semnătură electronică avansată pentru utilizarea în cadrul unui serviciu online prestat de către un organism din sectorul public sau în numele acestuia, respectivul stat membru recunoaște semnăturile electronice avansate, semnăturile electronice avansate bazate pe un certificat calificat pentru semnături electronice și semnăturile electronice calificate care întrebuințează cel puțin formatele sau metodele definite în actele de punere în aplicare menționate la alineatul (5).
(2) În cazul în care un stat membru solicită o semnătură electronică avansată bazată pe un certificat calificat pentru utilizarea în cadrul unui serviciu online prestat de către un organism din sectorul public sau în numele acestuia, respectivul stat membru recunoaște semnăturile electronice avansate bazate pe un certificat calificat și semnăturile electronice calificate care întrebuințează cel puțin formatele sau metodele definite în actele de punere în aplicare menționate la alineatul (5).
(3) Statele membre nu solicită o semnătură electronică la un nivel de securitate mai ridicat decât cel al semnăturii electronice calificate pentru utilizarea transfrontalieră a unui serviciu online prestat de un organism din sectorul public.
(4) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință ale standardelor pentru semnături electronice avansate. În cazul în care o semnătură electronică avansată îndeplinește respectivele standarde, se presupune că aceasta respectă cerințele referitoare la semnăturile electronice avansate menționate în prezentul articol alineatele (1) și (2) și la articolul 26. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
(5) Până la 18 septembrie 2015 și ținând cont de practicile, standardele și actele juridice ale Uniunii existente, Comisia definește, prin intermediul unor acte de punere în aplicare, formate de referință ale semnăturilor electronice avansate sau metode de referință, în cazul în care sunt utilizate formate alternative. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 28
Certificate calificate pentru semnăturile electronice
(1) Certificatele calificate pentru semnăturile electronice îndeplinesc cerințele prevăzute în anexa I.
(2) Certificatele calificate pentru semnăturile electronice nu fac obiectul niciunei cerințe obligatorii în plus față de cerințele prevăzute în anexa I.
(3) Certificatele calificate pentru semnăturile electronice pot include atribute specifice suplimentare facultative. Aceste atribute nu afectează interoperabilitatea și recunoașterea semnăturilor electronice calificate.
(4) În cazul în care un certificat calificat pentru semnăturile electronice a fost revocat după activarea inițială, acesta își pierde valabilitatea din momentul în care a fost revocat și nu se revine în niciun caz la statutul său anterior.
(5) Sub rezerva următoarelor condiții, statele membre pot să stabilească norme interne cu privire la suspendarea temporară a unui certificat calificat pentru semnătura electronică:
(a)
în cazul în care un certificat calificat pentru semnătura electronică a fost suspendat temporar, acest certificat își pierde valabilitatea pe parcursul perioadei de suspendare;
(b)
perioada de suspendare este clar indicată în baza de date privind certificatele și statutul de suspendat este vizibil, pe perioada suspendării, din serviciul care oferă informații privind statutul certificatului.
(6) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință ale standardelor pentru certificatele calificate pentru semnătura electronică. În cazul în care un certificat calificat pentru semnătura electronică îndeplinește standardele respective, se presupune că acesta respectă cerințele prevăzute în anexa I. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 29
Cerințe pentru dispozitivele de creare a semnăturilor electronice calificate
(1) Dispozitivele de creare a semnăturilor electronice calificate îndeplinesc cerințele prevăzute în anexa II.
(2) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință ale standardelor pentru dispozitivele de creare a semnăturilor electronice calificate. În cazul în care un dispozitiv de creare a semnăturilor electronice calificat îndeplinește standardele respective, se presupune că acesta respectă cerințele prevăzute în anexa II. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 30
Certificarea dispozitivelor de creare a semnăturilor electronice calificate
(1) Conformitatea dispozitivelor de creare a semnăturii electronice calificate cu cerințele prevăzute în anexa II este certificată de organisme publice sau private adecvate desemnate de statele membre.
(2) Statele membre notifică Comisiei denumirile și adresele organismului public sau privat menționat la alineatul (1). Comisia pune informațiile respective la dispoziția statelor membre.
(3) Certificarea menționată la alineatul (1) se bazează pe unul dintre următoarele elemente:
(a)
un proces de evaluare de securitate efectuat în conformitate cu unul dintre standardele pentru evaluarea securității produselor din domeniul tehnologiei informației incluse în lista instituită în conformitate cu al doilea paragraf; sau
(b)
un alt proces decât procesul prevăzut la litera (a), cu condiția ca acest proces să utilizeze niveluri de securitate comparabile și ca organismul public sau privat menționat la alineatul (1) să notifice Comisiei respectivul proces. Procesul respectiv poate fi utilizat numai în absența standardelor menționate la litera (a) sau dacă un proces de evaluare de securitate menționat la litera (a) este în curs de desfășurare.
Comisia stabilește, prin intermediul unor acte de punere în aplicare, lista standardelor pentru evaluarea de securitate a produselor din domeniul tehnologiei informației menționate la litera (a). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
(4) Comisia este împuternicită să adopte acte delegate în conformitate cu articolul 47 privind stabilirea de criterii specifice care urmează să fie îndeplinite de către organismele desemnate menționate la alineatul (1) de la prezentul articol.
Articolul 31
Publicarea unei liste a dispozitivelor de creare a semnăturilor electronice certificate și calificate
(1) Statele membre notifică Comisiei, fără întârzieri nejustificate și în termen de maximum o lună de la încheierea certificării, informații cu privire la dispozitivele de creare a semnăturilor electronice calificate care au fost certificate de către organismele menționate la articolul 30 alineatul (1). De asemenea, statele membre notifică Comisiei, fără întârziere și în termen de maximum o lună de la anularea certificării, informații cu privire la dispozitivele de creare a semnăturii electronice care nu mai sunt certificate.
(2) Pe baza informațiilor primite, Comisia stabilește, publică și menține o listă a dispozitivelor de creare a semnăturilor electronice certificate și calificate.
(3) Comisia poate, prin intermediul unor acte de punere în aplicare, să definească formatele și procedurile aplicabile în sensul alineatului (1). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 32
Cerințe pentru validarea semnăturilor electronice calificate
(1) Procesul de validare a unei semnături electronice calificate confirmă validitatea unei semnături electronice calificate cu următoarele condiții:
(a)
certificatul care stă la baza semnăturii a fost, la momentul semnării, un certificat calificat pentru semnătura electronică în conformitate cu anexa I;
(b)
certificatul calificat a fost emis de un prestator de servicii de încredere calificat și a fost valabil în momentul semnării;
(c)
datele de validare a semnăturilor corespund datelor furnizate de beneficiar;
(d)
setul unic de date care reprezintă semnatarul în certificat este furnizat corect beneficiarului;
(e)
utilizarea vreunui pseudonim este indicată clar beneficiarului în cazul în care la momentul semnării s-a folosit un pseudonim;
(f)
semnătura electronică a fost creată printr-un dispozitiv de creare a semnăturilor electronice calificat;
(g)
integritatea datelor semnate nu a fost compromisă;
(h)
cerințele prevăzute la articolul 26 au fost îndeplinite la momentul semnării.
(2) Sistemul utilizat pentru validarea semnăturii electronice calificate furnizează beneficiarului rezultatul corect al procesului de validare și permite beneficiarului să detecteze orice aspect relevant pentru securitate.
(3) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință ale standardelor pentru validarea semnăturilor electronice calificate. În cazul în care validarea semnăturilor electronice calificate îndeplinește standardele respective, se presupune că aceasta respectă cerințele prevăzute la alineatul (1). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 33
Serviciul calificat de păstrare a semnăturilor electronice calificate
(1) Un serviciu de validare calificat pentru semnături electronice calificate poate fi prestat numai de către un prestator de servicii de încredere calificat care:
(a)
realizează validarea în conformitate cu articolul 32 alineatul (1); și
(b)
permite beneficiarilor să primească rezultatul procesului de validare în mod automat, fiabil, eficient și care poartă semnătura electronică avansată sau sigiliul electronic avansat al prestatorului care oferă serviciul de validare calificat.
(2) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință pentru standardele referitoare la serviciul de validare calificat menționat la alineatul (1). În cazul în care serviciul de validare a semnăturilor electronice calificate îndeplinește standardele respective, se prezumă că acesta respectă cerințele prevăzute la alineatul (1). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 34
Serviciul calificat de păstrare a semnăturilor electronice calificate
(1) Un serviciu calificat de păstrare a semnăturilor electronice calificate poate fi prestat numai de către un prestator de servicii de încredere calificat care utilizează proceduri și tehnologii capabile să extindă fiabilitatea semnăturilor electronice calificate dincolo de perioada de validitate tehnologică.
(2) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință ale standardelor pentru serviciul calificat de păstrare a semnăturilor electronice calificate. În cazul în care dispozițiile privind serviciul calificat de păstrare a semnăturilor electronice calificate îndeplinesc standardele respective, se presupune că acestea respectă cerințele prevăzute la alineatul (1). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
SECȚIUNEA 5
Sigiliile electronice
Articolul 35
Efectele juridice ale sigiliilor electronice
(1) Unui sigiliu electronic nu i se refuză efectul juridic și posibilitatea de a fi acceptat ca probă în procedurile judiciare doar din motiv că acesta este sub formă electronică sau că nu îndeplinește cerințele pentru sigiliile electronice calificate.
(2) Un sigiliu electronic calificat beneficiază de prezumția integrității datelor și a corectitudinii originii respectivelor date la care se referă sigiliul electronic calificat.
(3) Un sigiliu electronic calificat bazat pe un certificat calificat eliberat de un stat membru este recunoscut drept sigiliu electronic calificat în toate celelalte state membre.
Articolul 36
Cerințele pentru sigiliile electronice avansate
Un sigiliu electronic avansat îndeplinește următoarele cerințele:
(a)
face trimitere exclusiv la creatorul sigiliului;
(b)
permite identificarea creatorului sigiliului;
(c)
este creat cu ajutorul datelor de creare a sigiliilor electronice pe care creatorul sigiliului le poate utiliza sub controlul său, cu un nivel ridicat de încredere, pentru crearea sigiliilor electronice; și
(d)
este legat de datele la care se raportează astfel încât orice modificare ulterioară a datelor poate fi detectată.
Articolul 37
Sigiliile electronice în cadrul serviciilor publice
(1) În cazul în care un stat membru solicită un sigiliu electronic avansat pentru utilizarea în cadrul unui serviciu online prestat de către un organism din sectorul public sau în numele acestuia, respectivul stat membru recunoaște sigiliile electronice avansate, sigiliile electronice avansate bazate pe un certificat calificat pentru sigilii electronice și sigiliile electronice calificate care întrebuințează cel puțin formatele sau metodele definite în actele de punere în aplicare menționate la alineatul (5).
(2) În cazul în care un stat membru solicită un sigiliu electronic bazat pe un certificat calificat pentru utilizarea în cadrul unui serviciu online prestat de către un organism din sectorul public sau în numele acestuia, respectivul stat membru recunoaște sigiliile electronice avansate bazate pe un certificat calificat și sigiliile electronice calificate care întrebuințează cel puțin formatele sau metodele definite în actele de punere în aplicare menționate la alineatul (5).
(3) Statele membre nu solicită un sigiliu electronic la un nivel de securitate mai ridicat decât cel al sigiliului electronic calificat pentru utilizarea transfrontalieră a unui serviciu online prestat de un organism din sectorul public.
(4) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință ale standardelor pentru sigilii electronice avansate. În cazul în care un sigiliu electronic avansat îndeplinește standardele respective, se presupune că acesta respectă cerințele referitoare la sigiliile electronice avansate menționate la alineatele (1) și (2) de la prezentul articol și la articolul 36. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
(5) Până la 18 septembrie 2015 și ținând cont de practicile, standardele și actele juridice ale Uniunii existente, Comisia definește, prin intermediul unor acte de punere în aplicare, formate de referință ale sigiliilor electronice avansate sau metode de referință, în cazul în care sunt utilizate formate alternative. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 38
Certificate calificate pentru sigiliul electronic
(1) Certificatele calificate pentru sigiliile electronice îndeplinesc cerințele prevăzute în anexa III.
(2) Certificatele calificate pentru sigiliile electronice nu fac obiectul niciunei cerințe obligatorii în plus față de cerințele prevăzute în anexa III.
(3) Certificatele calificate pentru sigiliile electronice pot include atribute specifice suplimentare facultative. Aceste atribute nu afectează interoperabilitatea și recunoașterea sigiliilor electronice calificate.
(4) În cazul în care un certificat calificat pentru un sigiliu electronic a fost revocat după activarea inițială, acesta își pierde valabilitatea din momentul în care a fost revocat și nu se revine în niciun caz la statutul său anterior.
(5) Sub rezerva următoarelor condiții, statele membre pot să stabilească norme interne cu privire la suspendarea temporară a certificatelor calificate pentru sigiliile electronice:
(a)
în cazul în care un certificat calificat pentru sigilii electronice a fost suspendat temporar, respectivul certificat își pierde valabilitatea pe parcursul perioadei de suspendare;
(b)
perioada de suspendare este clar indicată în baza de date privind certificatele și statutul de suspendat este vizibil, pe perioada suspendării, din serviciul care oferă informații privind statutul certificatului.
(6) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință ale standardelor pentru certificatele calificate pentru sigiliile electronice. În cazul în care un certificat calificat pentru sigiliul electronic îndeplinește standardele respective, se presupune că acesta respectă cerințele prevăzute în anexa III. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
Articolul 39
Dispozitive de creare a sigiliilor electronice calificate
(1) Articolul 29 se aplică mutatis mutandis cerințelor pentru dispozitivele de creare a sigiliilor electronice calificate.
(2) Articolul 30 se aplică mutatis mutandis certificării dispozitivelor de creare a sigiliilor electronice calificate.
(3) Articolul 31 se aplică mutatis mutandis publicării unei liste a dispozitivelor de creare a sigiliilor electronice certificate și calificate.
Articolul 40
Validarea și păstrarea sigiliilor electronice calificate
Articolele 32, 33 și 34 se aplică mutatis mutandis validării și păstrării sigiliilor electronice calificate.
SECȚIUNEA 6
Mărcile temporale electronice
Articolul 41
Efectul juridic al mărcilor temporale electronice
(1) Unei mărci temporale electronice nu i se refuză efectul juridic și posibilitatea de a fi acceptată ca probă în procedurile judiciare doar din motiv că aceasta este sub formă electronică sau că nu îndeplinește cerințele pentru marca temporală electronică calificată.
(2) O marcă temporală electronică calificată beneficiază de prezumția corectitudinii datei și orei pe care le indică și a integrității datelor la care se raportează data și ora indicate.
(3) O marcă temporală electronică calificată emisă într-un stat membru este recunoscută drept marcă temporală electronică calificată în toate statele membre.
Articolul 42
Cerințe pentru mărcile temporale electronice calificate
(1) O marcă temporală electronică calificată îndeplinește următoarele cerințe:
(a)
asigură o legătură între dată și oră și date astfel încât să excludă în mod rezonabil posibilitatea ca datele să fie schimbate fără ca acest lucru să fie detectat;
(b)
se bazează pe o sursă de timp precisă, legată de ora universală coordonată; și
(c)
este semnată utilizând o semnătură electronică avansată sau sigilată cu un sigiliu electronic avansat al prestatorului de servicii de încredere calificat sau printr-o metodă echivalentă.
(2) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință ale standardelor pentru legătura între dată și oră și date și pentru exactitatea surselor orei indicate. În cazul în care legătura între dată și oră și date și exactitatea surselor orei indicate îndeplinesc standardele respective, se presupune că se respectă cerințele prevăzute la alineatul (1). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
SECȚIUNEA 7
Serviciul de distribuție electronică înregistrată
Articolul 43
Efectul juridic al unui serviciu de distribuție electronică înregistrată
(1) Datelor trimise și primite prin utilizarea unui serviciu de distribuție electronică înregistrată nu li se refuză efectul juridic și posibilitatea de a fi acceptate ca dovadă în procedurile judiciare doar din motiv că acesta este sub formă electronică sau că nu îndeplinește cerințele pentru serviciul de distribuție electronică înregistrată.
(2) Datele trimise și primite utilizând un serviciu de distribuție electronică înregistrată beneficiază de prezumția integrității datelor, a trimiterii datelor respective de către expeditorul identificat și a primirii acestora de către destinatarul identificat și a preciziei datei și orei trimiterii și primirii datelor indicate de serviciul de distribuție electronică înregistrată.
Articolul 44
Cerințe pentru serviciile de distribuție electronică înregistrată calificate
(1) Serviciile de distribuție electronică înregistrată calificate îndeplinesc următoarele cerințe:
(a)
sunt prestate de către unul sau mai mulți prestatori de servicii de încredere calificați;
(b)
asigură identificarea expeditorului cu un nivel de încredere ridicat;
(c)
asigură identificarea destinatarului înainte de furnizarea datelor;
(d)
trimiterea și primirea datelor este securizată printr-o semnătură electronică avansată sau un sigiliu electronic avansat al prestatorului de servicii de încredere calificat astfel încât să se excludă posibilitatea ca datele să fie schimbate fără ca acest lucru să fie detectat;
(e)
orice modificare a datelor necesare în scopul de a trimite sau primi datele este clar indicată expeditorului și destinatarului datelor;
(f)
data și ora trimiterii, primirii și ale oricărei modificări a datelor este indicată printr-o marcă temporală electronică calificată.
În cazul datelor transferate între doi sau mai mulți prestatori de servicii de încredere, cerințele de la literele (a)-(f) se aplică tuturor prestatorilor de servicii de încredere calificați.
(2) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință ale standardelor pentru procesele de trimitere și primire de date. În cazul în care procesul de trimitere și primire de date îndeplinește standardele respective, se presupune că se respectă cerințele prevăzute la alineatul (1). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
SECȚIUNEA 8
Autentificarea unui site internet
Articolul 45
Cerințe pentru certificatele calificate pentru autentificarea unui site internet
(1) Certificatele calificate pentru autentificarea unui site internet îndeplinesc cerințele prevăzute în anexa IV.
(2) Comisia poate, prin intermediul unor acte de punere în aplicare, să stabilească numere de referință ale standardelor pentru certificatele calificate pentru autentificarea unui site internet. În cazul în care un certificat calificat pentru autentificarea unui site internet îndeplinește standardele respective, se presupune că respectă cerințele prevăzute în anexa IV. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).
CAPITOLUL IV
DOCUMENTE ELECTRONICE
Articolul 46
Efectele juridice ale documentelor electronice
Unui document electronic nu i se refuză efectul juridic și posibilitatea de a fi acceptat ca dovadă în procedurile judiciare doar din motiv că este sub formă electronică.
CAPITOLUL V
DELEGAREA DE COMPETENȚE ȘI MĂSURI DE PUNERE ÎN APLICARE
Articolul 47
Exercitarea delegării
(1) Competența de a adopta acte delegate este conferită Comisiei în condițiile prevăzute la prezentul articol.
(2) Se conferă Comisiei, pentru o perioadă de timp nedeterminată de la 17 septembrie 2014, competența de a adopta actele delegate menționate la articolul 30 alineatul (4).
(3) Delegarea competențelor menționată la articolul 30 alineatul (4) poate fi revocată în orice moment de către Parlamentul European sau de către Consiliu. Decizia de revocare pune capăt delegării competenței menționate în decizia respectivă. Aceasta produce efecte începând cu ziua următoare datei publicării în Jurnalul Oficial al Uniunii Europene sau la o dată ulterioară specificată în decizie. Aceasta nu aduce atingere valabilității actelor delegate aflate deja în vigoare.
(4) De îndată ce adoptă un act delegat, Comisia îl notifică simultan Parlamentului European și Consiliului.
(5) Un act delegat adoptat în conformitate cu articolul 30 alineatul (4) intră în vigoare numai în cazul în care nici Parlamentul European și nici Consiliul nu au formulat obiecții în termen de două luni de la notificarea actului respectiv Parlamentului European și Consiliului sau în cazul în care, înainte de expirarea termenului respectiv, Parlamentul European și Consiliul au informat Comisia cu privire la faptul că nu vor formula obiecții. La inițiativa Parlamentului European sau a Consiliului, termenul respectiv se prelungește cu două luni.
Articolul 48
Procedura comitetului
(1) Comisia este asistată de un comitet. Comitetul respectiv este un comitet în sensul Regulamentului (UE) nr. 182/2011.
(2) În cazul în care se face trimitere la prezentul alineat, se aplică articolul 5 din Regulamentul (UE) nr. 182/2011.
CAPITOLUL VI
DISPOZIȚII FINALE
Articolul 49
Revizuire
Comisia evaluează modul de aplicare a prezentului regulament și prezintă un raport în acest sens Parlamentului European și Consiliului cel mai târziu la 1 iulie 2020. Comisia evaluează, în special, dacă este oportun să se modifice domeniul de aplicare al prezentului regulament sau dispozițiile sale specifice, inclusiv articolul 6, articolul 7 litera (f), articolele 34, 43, 44 și 45, ținând seama de experiența dobândită în aplicarea prezentului regulament, precum și de evoluțiile tehnologice, ale pieței și juridice.
Raportul menționat la primul paragraf este însoțit, după caz, de propuneri legislative.
În plus, Comisia prezintă un raport Parlamentului European și Consiliului, o dată la patru ani, ulterior raportului menționat la primul paragraf, cu privire la progresele realizate în vederea atingerii obiectivelor prezentului regulament.
Articolul 50
Abrogare
(1) Directiva 1999/93/CE se abrogă cu efect de la 1 iulie 2016.
(2) Trimiterile la directiva abrogată se interpretează ca trimiteri la prezentul regulament.
Articolul 51
Măsuri tranzitorii
(1) Dispozitivele sigure de creare a semnăturilor a căror conformitate a fost determinată în conformitate cu articolul 3 alineatul (4) din Directiva 1999/93/CE sunt considerate dispozitive de creare a semnăturilor electronice calificate în temeiul prezentului regulament.
(2) Certificatele calificate emise pentru persoane fizice în conformitate cu Directiva 1999/93/CE sunt considerate drept certificate calificate pentru semnături electronice în temeiul prezentului regulament, până la expirarea lor.
(3) Un prestator de servicii de certificare care eliberează certificate calificate în temeiul Directivei 1999/93/CE prezintă un raport de evaluare a conformității către organismul de supraveghere cât mai curând posibil, dar nu mai târziu de 1 iulie 2017. Până la prezentarea unui astfel de raport de evaluare a conformității și până la finalizarea de către organismul de supraveghere a evaluării sale, prestatorul de servicii de certificare respectiv este considerat ca fiind prestator de servicii de încredere calificat în temeiul prezentului regulament.
(4) În cazul în care un prestator de servicii de certificare care eliberează certificate calificate în temeiul Directivei 1999/93/CE nu prezintă un raport de evaluare a conformității către organismul de supraveghere în termenul prevăzut la alineatul (3), respectivul prestator de servicii de certificare nu este considerat ca fiind prestator de servicii de încredere calificat în temeiul prezentului regulament începând cu data de 2 iulie 2017.
Articolul 52
Intrarea în vigoare
(1) Prezentul regulament intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.
(2) Prezentul regulament se aplică de la 1 iulie 2016, cu excepția următoarelor dispoziții:
(a)
articolul 8 alineatul (3), articolul 9 alineatul (5), articolul 12 alineatele (2)-(9), articolul 17 alineatul (8), articolul 19 alineatul (4), articolul 20 alineatul (4), articolul 21 alineatul (4), articolul 22 alineatul (5), articolul 23 alineatul (3), articolul 24 alineatul (5), articolul 27 alineatele (4) și (5), articolul 28 alineatul (6), articolul 29 alineatul (2), articolul 30 alineatele (3) și (4), articolul 31 alineatul (3), articolul 32 alineatul (3), articolul 33 alineatul (2), articolul 34 alineatul (2), articolul 37 alineatele (4) și (5), articolul 38 alineatul (6), articolul 42 alineatul (2), articolul 44 alineatul (2), articolul 45 alineatul (2) și articolele 47 și 48 se aplică de la 17 septembrie 2014;
(b)
articolul 7, articolul 8 alineatele (1) și (2), articolele 9, 10, 11 și articolul 12 alineatul (1) se aplică de la data aplicării actelor de punere în aplicare menționate la articolul 8 alineatul (3) și la articolul 12 alineatul (8);
(c)
articolul 6 se aplică după trei ani de la data aplicării actelor de punere în aplicare menționate la articolul 8 alineatul (3) și la articolul 12 alineatul (8).
(3) În cazul în care sistemul de identificare electronică notificat este inclus în lista publicată de Comisie în conformitate cu articolul 9 înainte de data menționată la alineatul (2) litera (c) de la prezentul articol, recunoașterea mijloacelor de identificare electronică din cadrul sistemului respectiv în temeiul articolului 6 are loc cel târziu în termen de 12 luni de la publicarea respectivului sistem, dar nu înainte de data menționată la alineatul (2) litera (c) de la prezentul articol.
(4) Fără a aduce atingere alineatului (2) litera (c) de la prezentul articol, un stat membru poate decide ca mijloacele de identificare electronică din cadrul unui sistem de identificare electronică notificat în temeiul articolului 9 alineatul (1) de către un alt stat membru să fie recunoscute de primul stat membru de la data aplicării actelor de punere în aplicare menționate la articolul 8 alineatul (3) și la articolul 12 alineatul (8). Statele membre vizate informează Comisia. Comisia publică aceste informații.
Prezentul regulament este obligatoriu în toate elementele sale și se aplică direct în toate statele membre.
Adoptat la Bruxelles, 23 iulie 2014.