Considerandos do Regulamento (UE) 2024/1183

Os considerandos explicam a fundamentação do legislador. Não constam do texto consolidado, pelo que se reproduzem a partir dos atos originais publicados no Jornal Oficial.

Considerandos do Regulamento (UE) n.º 910/2014Ver no EUR-Lex ↗

1. (1)

   A Comunicação da Comissão de 19 de fevereiro de 2020, intitulada «Construir o futuro digital da Europa», anuncia uma revisão do Regulamento (UE) n.º 910/2014 do Parlamento Europeu e do Conselho para melhorar a sua eficácia, alargar as suas vantagens ao setor privado e promover a utilização de identidades digitais fiáveis por todos os europeus.

2. (2)

   Nas suas conclusões de 1 e 2 de outubro de 2020, o Conselho Europeu apelou à Comissão para que apresentasse uma proposta de desenvolvimento de um quadro relativo à identificação eletrónica pública segura em toda a União, incluindo assinaturas digitais interoperáveis, a fim de dar às pessoas o controlo sobre a sua identidade e os seus dados em linha, bem como de permitir o acesso a serviços digitais públicos, privados e transfronteiriços.

3. (3)

   O Programa Década Digital para 2030, criado pela Decisão (UE) 2022/2481 do Parlamento Europeu e do Conselho, estabelece os objetivos e as metas digitais de um quadro da União que, até 2030, se destinam a conduzir à implantação generalizada de uma identidade digital fiável, voluntária e controlada pelo utente, reconhecida em toda a União e que permita a todos os utentes controlar os seus dados nas interações em linha.

4. (4)

   A «Declaração Europeia sobre os direitos e princípios digitais para a Década Digital», proclamada pelo Parlamento Europeu, pelo Conselho e pela Comissão (a «Declaração»), sublinha o direito de todas as pessoas a acederem a tecnologias, produtos e serviços digitais que sejam seguros e protegidos e que protejam a privacidade desde a conceção. Tal inclui a garantia de que todas as pessoas que vivem na União têm a possibilidade de utilizar uma identidade digital acessível, segura e de confiança que dê acesso a uma vasta gama de serviços em linha e fora de linha e protegida contra riscos de cibersegurança e a cibercriminalidade, incluindo violações de dados e a usurpação ou manipulação da identidade. A Declaração estabelece ainda que todas as pessoas têm direito à proteção dos seus dados pessoais. Este direito inclui o controlo da forma como os seus dados pessoais são utilizados e com quem são partilhados.

5. (5)

   Os cidadãos e as pessoas residentes na União têm direito a uma identidade digital que esteja sob o seu controlo exclusivo e que lhes permita exercer os seus direitos no ambiente digital e participar na economia digital. A fim de alcançar esse objetivo, deverá ser estabelecido um regime europeu para a identidade digital que permita aos cidadãos e aos residentes na União aceder a serviços públicos e privados em linha e fora de linha em toda a União.

6. (6)

   Um regime de identidade digital harmonizado deverá contribuir para a criação de uma União mais integrada do ponto de vista digital, ao reduzir as barreiras digitais entre os Estados-Membros e capacitar os cidadãos da União e os residentes na União para usufruírem dos benefícios da digitalização e reforçar simultaneamente a transparência e a proteção dos seus direitos.

7. (7)

   Uma abordagem mais harmonizada da identificação eletrónica deverá reduzir os riscos e custos da atual fragmentação, causada pela utilização de soluções nacionais divergentes ou, em alguns Estados-Membros, pela ausência de tais soluções de identificação eletrónica. Essa abordagem deverá reforçar o mercado interno, permitindo que os cidadãos da União, os residentes na União, na aceção do direito nacional, e as empresas se identifiquem e autentiquem a sua identidade em linha e fora de linha de forma segura, fiável, de fácil utilização, conveniente, acessível e harmonizada, em toda a União. A carteira europeia de identidade digital deverá proporcionar às pessoas singulares e coletivas em toda a União um meio de identificação eletrónica harmonizado que lhes permita autenticar e partilhar dados relacionados com a sua identidade. Todas as pessoas deverão poder aceder a serviços públicos e privados de forma segura, podendo contar com um ecossistema melhorado de serviços de confiança e provas verificadas de identidade e certificados eletrónicos de atributos, tais como habilitações académicas, incluindo diplomas universitários ou outras qualificações educativas ou profissionais. O Regime Europeu para a Identidade Digital destina-se a alcançar uma transição da dependência exclusiva de soluções de identidade digital nacionais para o fornecimento de certificados eletrónicos de atributos válidos e legalmente reconhecidos em toda a União. Os fornecedores de certificados eletrónicos de atributos deverão beneficiar de um conjunto claro e uniforme de regras, ao passo que as administrações públicas deverão poder confiar em documentos eletrónicos num determinado formato.

8. (8)

   Vários Estados-Membros implementaram e utilizam meios de identificação eletrónica que são aceites pelos prestadores de serviços na União. Além disso, foram realizados investimentos em soluções nacionais e transfronteiriças com base no Regulamento (UE) n.º 910/2014, nomeadamente a interoperabilidade dos sistemas de identificação eletrónica notificados nos termos desse regulamento. A fim de garantir a complementaridade e a rápida adoção das carteiras europeias de identidade digital pelos atuais utentes de meios de identificação eletrónica notificados e de minimizar o impacto nos prestadores de serviços existentes, espera-se que as carteiras europeias de identidade digital tirem partido da experiência adquirida com os meios de identificação eletrónica existentes e das infraestruturas de sistemas de identificação eletrónica notificados implantadas a nível nacional e da União.

9. (9)

   O Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho e, se for caso disso, a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho aplicam-se a todas as atividades de tratamento de dados pessoais ao abrigo do Regulamento (UE) n.º 910/2014. As soluções no âmbito do quadro de interoperabilidade previsto no presente regulamento também obedecem a essas regras. O direito da União em matéria de proteção de dados prevê princípios de proteção de dados, como o princípio da minimização dos dados e da limitação das finalidades e obrigações, como a proteção de dados desde a conceção e por defeito.

10. (10)

    Para apoiar a competitividade das empresas da União, os prestadores de serviços em linha e fora de linha deverão poder contar com soluções de identidade digital reconhecidas em toda a União, independentemente do Estado-Membro em que essas soluções tenham sido fornecidas, beneficiando assim de uma abordagem da União harmonizada em matéria de confiança, segurança e interoperabilidade. Tanto os utentes como os prestadores de serviços deverão poder beneficiar do mesmo valor jurídico conferido aos certificados eletrónicos de atributos na União. Um regime harmonizado para a identidade digital destina-se a criar valor económico ao permitir um acesso facilitado a bens e serviços, ao reduzir significativamente os custos operacionais associados aos procedimentos de identificação e autenticação eletrónicas, por exemplo, durante a adesão de novos clientes, ao diminuir as potencialidades para cibercrimes, como a usurpação da identidade, o roubo de dados e a fraude em linha, promovendo assim ganhos de eficiência e uma transformação digital segura das micro, pequenas e médias empresas (PME) da União.

11. (11)

    As carteiras europeias de identidade digital deverão facilitar a aplicação do princípio «uma só vez», reduzindo assim os encargos administrativos, apoiando a mobilidade transfronteiriça dos cidadãos e residentes na União e das empresas em toda a União e promovendo o desenvolvimento de serviços de administração pública em linha interoperáveis em toda a União.

12. (12)

    O Regulamento (UE) 2016/679, o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho e a Diretiva 2002/58/CE aplicam-se ao tratamento dos dados pessoais realizado em aplicação do presente regulamento. Por conseguinte, o presente regulamento deverá estabelecer garantias específicas para impedir que os fornecedores de meios de identificação eletrónica e de certificados eletrónicos de atributos combinem dados pessoais obtidos ao prestar outros serviços com dados pessoais tratados para prestar os serviços abrangidos pelo âmbito de aplicação do presente regulamento. Os dados pessoais relacionados com o fornecimento de carteiras europeias de identidade digital deverão ser conservados logicamente separados de quaisquer outros dados detidos pelo fornecedor da carteira europeia de identidade digital. O presente regulamento não deverá impedir os fornecedores de carteiras europeias de identidade digital de aplicarem medidas técnicas adicionais que contribuam para a proteção dos dados pessoais, como a separação física dos dados pessoais relacionados com o fornecimento de carteiras europeias de identidade digital em relação a quaisquer outros dados detidos pelo fornecedor. Sem prejuízo do Regulamento (UE) 2016/679, o presente regulamento especifica ainda a aplicação dos princípios da limitação das finalidades, da minimização dos dados e da proteção de dados desde a conceção e por defeito.

13. (13)

    As carteiras europeias de identidade digital deverão ter incorporada na sua conceção a função de um painel comum, a fim de garantir aos utentes um nível mais elevado de transparência, privacidade e controlo dos seus dados pessoais. Essa função deverá oferecer ao utente uma interface simples de utilizar e intuitiva com uma panorâmica de todos os utilizadores com os quais partilha dados, incluindo os atributos, e o tipo de dados partilhados com cada utilizador. Deverá permitir aos utentes rastrear todas as transações executadas por meio da carteira europeia de identidade digital com base, pelo menos, nos seguintes dados: a hora e a data da operação, a identificação da contraparte, os dados pessoais solicitados e os dados partilhados. Estas informações deverão ser armazenadas mesmo que a transação não seja concluída. Não deverá ser possível contestar a autenticidade das informações contidas no historial da transação. Tal função deverá estar ativada por defeito. Deverá permitir que os utentes facilmente solicitem o apagamento imediato por parte de um utilizador de dados pessoais nos termos do artigo 17.º do Regulamento (UE) 2016/679 e que facilmente denunciem o utilizador à autoridade nacional competente em matéria de proteção de dados caso seja recebido um pedido de dados pessoais alegadamente ilícito ou suspeito, diretamente através da carteira europeia de identidade digital.

14. (14)

    Os Estados-Membros deverão integrar diferentes tecnologias de preservação da privacidade, como a prova de conhecimento zero, na carteira europeia de identidade digital. Esses métodos criptográficos deverão permitir ao utente validar a veracidade de determinada declaração baseada nos dados de identificação e no certificado de atributos da pessoa, sem revelar quaisquer dados em que essa declaração se baseia, preservando assim a privacidade do utente.

15. (15)

    O presente regulamento estabelece condições harmonizadas para a criação de um regime para as carteiras europeias de identidade digital a fornecer pelos Estados-Membros. Todos os cidadãos da União, e residentes na União na aceção do direito nacional, deverão estar habilitados a solicitar, selecionar, combinar, armazenar, apagar, partilhar e apresentar, de forma segura, dados relacionados com a sua identidade e solicitar o apagamento dos seus dados pessoais de uma forma de fácil utilização e conveniente, sob o controlo exclusivo do utente, permitindo simultaneamente a divulgação seletiva de dados pessoais. O presente regulamento reflete os valores europeus comuns e respeita os direitos fundamentais, as garantias jurídicas e a responsabilidade, protegendo assim as sociedades democráticas, os cidadãos da União e os residentes na União. As tecnologias utilizadas para alcançar esses objetivos deverão ser desenvolvidas visando o mais elevado nível de segurança, privacidade, conveniência para o utente, acessibilidade, uma ampla usabilidade e uma interoperabilidade sem descontinuidade. Os Estados-Membros deverão assegurar a igualdade de acesso à identificação eletrónica a todos os seus cidadãos e residentes. Os Estados-Membros não deverão restringir, direta ou indiretamente, o acesso a serviços públicos ou privados a pessoas singulares ou coletivas que optem por não utilizar carteiras europeias de identidade digital e deverão disponibilizar soluções alternativas adequadas.

16. (16)

    Os Estados-Membros deverão recorrer às possibilidades previstas no presente regulamento para fornecer, sob a sua responsabilidade, carteiras europeias de identidade digital para utilização pelas pessoas singulares e coletivas residentes no seu território. A fim de proporcionar flexibilidade aos Estados-Membros e alavancar a tecnologia de ponta, o presente regulamento deverá permitir a disponibilização de carteiras europeias de identidade digital diretamente por um Estado-Membro, nos termos de um mandato de um Estado-Membro, ou independentemente do Estado-Membro, mas reconhecida pelo mesmo.

17. (17)

    Para efeitos de registo, os utilizadores deverão fornecer as informações necessárias para permitir a sua identificação e autenticação eletrónicas relativamente às carteiras europeias de identidade digital. Ao declararem a utilização que preveem fazer da carteira europeia de identidade digital, os utilizadores deverão fornecer informações sobre os dados que irão solicitar, se for caso disso, a fim de prestarem os seus serviços, bem como o motivo para solicitar os dados. O registo do utilizador facilita a verificação dos Estados-Membros no que diz respeito à legalidade das atividades dos utilizadores, em conformidade com o direito da União. A obrigação de registo prevista no presente regulamento não deverá prejudicar as obrigações estabelecidas noutros atos legislativos da União ou nacionais, tais como as informações a fornecer aos titulares dos dados nos termos do Regulamento (UE) 2016/679. Os utilizadores deverão respeitar as garantias previstas nos artigos 35.º e 36.º do referido regulamento, nomeadamente mediante a realização de avaliações de impacto sobre a proteção de dados e de consultas às autoridades competentes em matéria de proteção de dados antes do tratamento de dados, sempre que as avaliações de impacto sobre a proteção de dados indiquem que o tratamento implicaria um risco elevado. Essas garantias deverão apoiar o tratamento lícito de dados pessoais pelos utilizadores, em especial no que respeita a categorias especiais de dados, como os dados de saúde. O registo dos utilizadores destina-se a reforçar a transparência e a confiança na utilização das carteiras europeias de identidade digital. O registo deverá ser eficaz em termos de custos e proporcionado em relação aos riscos conexos, a fim de assegurar a adesão dos prestadores de serviços. Nesse contexto, o registo deverá prever a utilização de procedimentos automatizados, incluindo o recurso aos registos existentes e a sua utilização pelos Estados-Membros, e não deverá implicar processos de autorização prévia. O processo de registo deverá permitir uma variedade de tipos de utilização, que podem diferir em termos de modo de funcionamento, em linha ou fora de linha, ou em termos do requisito de autenticação de dispositivos com o objetivo de servir de interface para a carteira europeia de identidade digital. O registo deverá aplicar-se exclusivamente aos utilizadores que prestam serviços por meio da interação digital.

18. (18)

    A proteção dos cidadãos da União e residentes na União contra a utilização não autorizada ou fraudulenta de carteiras europeias de identidade digital é de grande importância para garantir a confiança e a ampla adesão às carteiras europeias de identidade digital. Os utentes deverão beneficiar de proteção eficaz contra essa utilização abusiva. Em especial, quando os factos que constituem a base da utilização fraudulenta ou ilegal de uma carteira europeia de identidade digital são estabelecidos por uma autoridade judicial nacional no contexto de outro procedimento, os organismos de supervisão responsáveis pelos emitentes de carteiras europeias de identidade digital deverão, após notificação, tomar as medidas necessárias para assegurar que o registo do utilizador e a inclusão de utilizadores no mecanismo de autenticação são retirados ou suspensos até que a autoridade notificadora confirme que as irregularidades identificadas foram corrigidas.

19. (19)

    Todas as carteiras europeias de identidade digital deverão permitir aos utentes identificarem-se por via eletrónica e autenticarem-se em linha e em modo fora de linha além-fronteiras para aceder a um vasto leque de serviços públicos e privados. Sem prejuízo das prerrogativas dos Estados-Membros no que diz respeito à identificação dos seus cidadãos e residentes, as carteiras europeias de identidade digital podem também servir as necessidades institucionais das administrações públicas, das organizações internacionais e das instituições, órgãos e organismos da União. A autenticação em modo fora de linha será importante em muitos setores, nomeadamente o setor da saúde onde os serviços são amiúde prestados através de uma interação presencial e onde a verificação da autenticidade das receitas eletrónicas deverá poder basear-se em códigos QR ou tecnologias similares. Graças ao nível de garantia elevado no que toca aos sistemas de identificação eletrónica, as carteiras europeias de identidade digital deverão beneficiar do potencial oferecido por soluções à prova de manipulações, como elementos seguros, para cumprir os requisitos de segurança previstos no presente regulamento. As carteiras europeias de identidade digital deverão também permitir aos utentes criar e utilizar assinaturas e selos eletrónicos qualificados que sejam aceites em toda a União. Uma vez tendo aderido a uma carteira europeia de identidade digital, as pessoas singulares deverão poder utilizá-la para assinar com assinaturas eletrónicas qualificadas, por defeito e gratuitamente, sem necessidade de quaisquer procedimentos administrativos adicionais. Os utentes deverão ser capazes de assinar ou selar autodeclarações ou atributos por si declarados. No intuito de simplificar e de reduzir custos em prol das pessoas e empresas na União, nomeadamente ao permitir poderes de representação e mandatos eletrónicos, os Estados-Membros deverão fornecer carteiras europeias de identidade digital que recorram a normas e especificações técnicas comuns a fim de assegurar uma interoperabilidade sem descontinuidade e aumentar adequadamente o nível de segurança informática, reforçar a robustez contra ciberataques e, assim, reduzir significativamente os potenciais riscos da digitalização em curso para os cidadãos da União, os residentes na União e as empresas. Apenas as autoridades competentes dos Estados-Membros podem oferecer um elevado nível de confiança na determinação da identidade de uma pessoa e, portanto, assegurar que a pessoa que reivindica ou declara ter uma determinada identidade é efetivamente a pessoa que alega ser. Por conseguinte, o fornecimento de carteiras europeias de identidade digital deverá assentar na identidade jurídica dos cidadãos da União, residentes na União ou pessoas coletivas. O recurso à identidade jurídica não deverá impedir os utentes das carteiras europeias de identidade digital de acederem a serviços sob pseudónimo, sempre que não exista qualquer requisito jurídico de recorrer à identidade jurídica para fins de autenticação. A confiança nas carteiras europeias de identidade digital será reforçada se as partes emitentes e gestoras forem obrigadas a implementar medidas técnicas e organizacionais adequadas para garantir o máximo nível de segurança proporcional aos riscos criados para os direitos e liberdades das pessoas singulares, em consonância com o Regulamento (UE) 2016/679.

20. (20)

    A utilização de assinaturas eletrónicas qualificadas deverá ser gratuita para todas as pessoas singulares para fins não profissionais. Os Estados-Membros deverão ter a possibilidade de prever medidas destinadas a impedir a utilização gratuita de assinaturas eletrónicas qualificadas para fins profissionais por pessoas singulares, assegurando simultaneamente que tais medidas sejam proporcionais aos riscos identificados e sejam justificadas.

21. (21)

    É vantajoso facilitar a adoção e a utilização das carteiras europeias de identidade digital, integrando-as sem descontinuidade no ecossistema de serviços digitais públicos e privados já implementados a nível nacional, local ou regional. Para alcançar este objetivo, os Estados-Membros deverão ter a possibilidade prever medidas jurídicas e organizacionais para dotar os fornecedores de carteiras europeias de identidade digital de maior flexibilidade e para permitir funcionalidades adicionais das carteiras europeias de identidade digital além das previstas no presente regulamento, nomeadamente através de uma maior interoperabilidade com os meios nacionais de identificação eletrónica existentes. Tais funcionalidades adicionais não deverão, de modo algum, prejudicar a prestação de funções essenciais das carteiras europeias de identidade digital, tal como previstas no presente regulamento, nem promover soluções nacionais existentes em detrimento das carteiras europeias de identidade digital. Uma vez que vão além do âmbito do presente regulamento, tais funcionalidades adicionais não beneficiam das disposições relativas ao recurso transfronteiriço às carteiras europeias de identidade digital estabelecidas no presente regulamento.

22. (22)

    As carteiras europeias de identidade digital deverão incluir uma funcionalidade que permita gerar pseudónimos escolhidos e geridos pelo utente, a fim de autenticar-se quando aceder a serviços em linha.

23. (23)

    A fim de alcançar um elevado nível de segurança e confiança, o presente regulamento estabelece os requisitos aplicáveis às carteiras europeias de identidade digital. A conformidade das carteiras europeias de identidade digital com esses requisitos deverá ser certificada por organismos de avaliação de conformidade acreditados designados pelos Estados-Membros.

24. (24)

    A fim de evitar divergências nas abordagens e de harmonizar a aplicação dos requisitos estabelecidos no presente regulamento, a Comissão deverá, para fins de certificação de carteiras europeias de identidade digital, adotar atos de execução a fim de definir uma lista de normas de referência e, se necessário, estabelecer especificações e procedimentos com o objetivo de formular especificações técnicas pormenorizadas desses requisitos. Se a certificação da conformidade das carteiras europeias de identidade digital com os requisitos de cibersegurança pertinentes não estiver abrangida pelos sistemas de certificação da cibersegurança existentes a que se refere o presente regulamento, e no que diz respeito aos requisitos não relacionados com a cibersegurança, mas que sejam pertinentes para as carteiras europeias de identidade digital, os Estados-Membros deverão estabelecer sistemas nacionais de certificação em conformidade com os requisitos harmonizados estabelecidos e adotados nos termos do presente regulamento. Os Estados Membros deverão transmitir os seus projetos de sistemas nacionais de certificação ao Grupo de Cooperação Europeia para a Identidade Digital, que deverá poder emitir pareceres e recomendações.

25. (25)

    A certificação da conformidade com os requisitos de cibersegurança estabelecidos no presente regulamento deverá basear-se, sempre que possível, nos sistemas europeus de certificação da cibersegurança pertinentes criados nos termos do Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho, que estabelece um enquadramento europeu de certificação voluntária da cibersegurança para produtos, processos e serviços de TIC.

26. (26)

    A fim de avaliar e atenuar continuamente os riscos associados à segurança, as carteiras europeias de identidade digital certificadas deverão ser sujeitas a avaliações periódicas da vulnerabilidade destinadas a detetar qualquer vulnerabilidade nos componentes certificados do produto, dos processos e dos serviços da carteira europeia de identidade digital.

27. (27)

    Ao proteger os utentes e as empresas contra os riscos de cibersegurança, os requisitos essenciais de cibersegurança estabelecidos no presente regulamento contribuem também para reforçar a proteção dos dados pessoais e da privacidade das pessoas. Importa ponderar o desenvolvimento de sinergias, tanto em matéria de normalização como de certificação dos aspetos de cibersegurança, através da cooperação entre a Comissão, as organizações europeias de normalização, a Agência da União Europeia para a Cibersegurança (ENISA), o Comité Europeu para a Proteção de Dados criado pelo Regulamento (UE) 2016/679, e as autoridades nacionais de controlo da proteção de dados.

28. (28)

    A adesão dos cidadãos da União e residentes na União à carteira europeia de identidade digital deverá ser facilitada com base em meios de identificação eletrónica emitidos com um nível de garantia elevado. Os meios de identificação eletrónica emitidos com um nível de garantia substancial só deverão ser utilizados nos casos em que as especificações e os procedimentos técnicos harmonizados que utilizam meios de identificação eletrónica emitidos com esse nível, em combinação com meios suplementares de verificação da identidade, permitam o cumprimento dos requisitos estabelecidos no presente regulamento no que diz respeito ao nível de garantia elevado. Esses meios suplementares deverão ser fiáveis e de fácil utilização e poderão basear-se na possibilidade de utilizar procedimentos de adesão à distância, certificados qualificados por assinaturas eletrónicas qualificadas, certificados eletrónicos qualificados de atributos ou uma combinação dos mesmos. A fim de assegurar a adoção suficiente das carteiras europeias de identidade digital, deverão ser estabelecidos, por meio de atos de execução, especificações e procedimentos técnicos harmonizados para a adesão dos utentes através de meios de identificação eletrónica, incluindo os emitidos com um nível de garantia substancial.

29. (29)

    O objetivo do presente regulamento é proporcionar ao utente uma carteira europeia de identidade digital totalmente móvel, segura e de fácil utilização. Como medida transitória enquanto se aguardam soluções certificadas à prova de manipulações, tais como elementos seguros nos dispositivos dos utentes, as carteiras europeias de identidade digital deverão poder basear-se em elementos seguros externos certificados para a proteção do material criptográfico e de outros dados sensíveis ou em meios de identificação eletrónica notificadas com um nível de garantia elevado, a fim de demonstrar a conformidade com os requisitos pertinentes do presente regulamento no que diz respeito ao nível de garantia da carteira europeia de identidade digital. O presente regulamento não deverá prejudicar as condições nacionais no que diz respeito à emissão e utilização de um elemento de segurança externo certificado, caso a medida transitória dependa desse elemento.

30. (30)

    As carteiras europeias de identidade digital deverão garantir o mais elevado nível de proteção e segurança dos dados para efeitos de identificação eletrónica e autenticação, a fim de facilitar o acesso a serviços públicos e privados, independentemente de esses dados serem armazenados localmente ou por soluções em nuvem, tendo em devida conta os diferentes níveis de risco.

31. (31)

    As carteiras europeias de identidade digital deverão ser seguras desde a conceção e deverão assentar em dispositivos de segurança avançados que protejam contra a usurpação de identidade e de outros dados, a recusa de serviço e qualquer outra ciberameaça. Tais dispositivos deverão incluir métodos de cifragem e de armazenamento de ponta, apenas acessíveis ao utente e que apenas o próprio possa decifrar, assentes numa comunicação cifrada de extremo a extremo com outras carteiras europeias de identidade digital e utilizadores. Além disso, as carteiras europeias de identidade digital deverão exigir uma confirmação segura, explícita e ativa do utente para as operações realizadas por meio de carteiras europeias de identidade digital.

32. (32)

    A utilização gratuita de carteiras europeias de identidade digital não deverá implicar o tratamento de dados para além dos dados necessários para a prestação de serviços de carteira europeia de identidade digital. O presente regulamento não deverá permitir que os dados pessoais armazenados ou resultantes da utilização da carteira europeia de identidade digital sejam tratados pelo fornecedor da carteira europeia de identidade digital para outros fins que não a prestação de serviços de carteira europeia de identidade digital. A fim de salvaguardar a privacidade, os fornecedores de carteiras europeias de identidade digital deverão garantir a não observabilidade, abstendo-se de recolher dados e de ter conhecimento das transações dos utentes da carteira europeia de identidade digital. Tal não observabilidade significa que os fornecedores não podem ver os pormenores das transações efetuadas pelo utente. Contudo, em casos específicos, com base no consentimento prévio explícito do utente para cada caso, e em plena conformidade com o Regulamento (UE) 2016/679, os fornecedores de carteiras europeias de identidade digital podem ser autorizados a aceder às informações necessárias para a prestação de um serviço específico relacionado com a carteira europeia de identidade digital.

33. (33)

    A transparência das carteiras europeias de identidade digital e a responsabilização dos seus fornecedores constituem elementos essenciais para gerar confiança social e motivar a aceitação do regime. Por conseguinte, o funcionamento das carteiras europeias de identidade digital deverá ser transparente e, em especial, permitir o tratamento verificável dos dados pessoais. Para o efeito, os Estados-Membros deverão divulgar o código-fonte dos componentes de software da aplicação do utente das carteiras europeias de identidade digital, incluindo os componentes relacionados com o tratamento de dados pessoais e de dados de pessoas coletivas. A publicação deste código-fonte ao abrigo de uma licença de código aberto deverá permitir à sociedade, incluindo os utentes e os programadores, compreender o seu funcionamento, auditar e rever o código. Tal aumentará também a confiança dos utentes no ecossistema e contribuirá para a segurança das carteiras europeias de identidade digital, dando a qualquer pessoa a possibilidade de assinalar vulnerabilidades e erros no código, o que, em termos globais, deverá incentivar os fornecedores a proporcionar e manter um produto altamente seguro. No entanto, em determinados casos, por razões devidamente justificadas, especialmente para fins de segurança pública, a divulgação do código-fonte para as bibliotecas utilizadas, o canal de comunicação ou outros elementos não alojados no dispositivo do utente pode ser restringida pelos Estados-Membros.

34. (34)

    O direito e a escolha de utilizar as carteiras europeias de identidade digital, bem como de interromper a sua utilização, deverão caber exclusivamente aos utentes. Os Estados-Membros deverão desenvolver procedimentos simples e seguros para que os utentes possam pedir a revogação imediata da validade das carteiras europeias de identidade digital, inclusive em caso de perda ou roubo. Em caso de morte do utente ou de cessação da atividade de uma pessoa coletiva, deverá existir um mecanismo que permita à autoridade responsável pelo processo de sucessão da pessoa singular ou pela liquidação dos ativos da pessoa coletiva pedir a revogação imediata da carteira europeia de identidade digital.

35. (35)

    A fim de promover a adoção de carteiras europeias de identidade digital e uma utilização mais generalizada das identidades digitais, os Estados-Membros deverão não só promover os benefícios dos serviços pertinentes, mas deverão também, em cooperação com o setor privado, os investigadores e o meio académico, desenvolver programas de formação destinados a reforçar as competências digitais dos seus cidadãos e residentes, em especial os grupos vulneráveis, como as pessoas com deficiência e os idosos. Os Estados-Membros deverão também sensibilizar para os benefícios e riscos das carteiras europeias de identidade digital através de campanhas de comunicação.

36. (36)

    A fim de garantir que o Regime Europeu para a Identidade Digital está aberto à inovação, ao desenvolvimento tecnológico e preparado para o futuro, os Estados-Membros são encorajados a criar conjuntamente espaços de experimentação para testar soluções inovadoras num ambiente controlado e seguro, em especial, para melhorar a funcionalidade, a proteção dos dados pessoais, a segurança e a interoperabilidade das soluções e contribuir para futuras atualizações de referências técnicas e requisitos legais. Este ambiente deverá promover a inclusão de pequenas e médias empresas, empresas em fase de arranque e de inovadores e investigadores, bem como das partes interessadas do setor. Essas iniciativas deverão contribuir e reforçar a conformidade regulamentar e a robustez técnica das carteiras europeias de identidade digital a fornecer aos cidadãos da União e residentes na União, impedindo assim o desenvolvimento de soluções que não cumpram o direito da União em matéria de proteção de dados ou que estejam sujeitas a vulnerabilidades no que toca à segurança.

37. (37)

    O Regulamento (UE) 2019/1157 do Parlamento Europeu e do Conselho reforça a segurança dos bilhetes de identidade com dispositivos de segurança melhorados até agosto de 2021. Os Estados-Membros deverão ponderar a viabilidade de os notificar ao abrigo dos sistemas de identificação eletrónica para alargar a disponibilidade transfronteiriça de meios de identificação eletrónica.

38. (38)

    O processo de notificação dos sistemas de identificação eletrónica deverá ser simplificado e acelerado para promover o acesso a soluções de autenticação e identificação convenientes, de confiança, seguras e inovadoras e, quando pertinente, para encorajar os fornecedores de identidade privados a oferecer sistemas de identificação eletrónica às autoridades dos Estados-Membros para notificação enquanto sistemas nacionais de identificação eletrónica ao abrigo do Regulamento (UE) n.º 910/2014.

39. (39)

    A simplificação dos procedimentos atuais de notificação e avaliação pelos pares evitará abordagens heterogéneas no que respeita à avaliação dos vários sistemas de identificação eletrónica notificados e facilitará o reforço da confiança entre Estados-Membros. Os mecanismos novos e simplificados destinam-se a promover a cooperação entre Estados-Membros em matéria de segurança e interoperabilidade dos seus sistemas de identificação eletrónica notificados.

40. (40)

    Os Estados-Membros deverão beneficiar de ferramentas novas e flexíveis para garantir a conformidade com os requisitos do presente regulamento e dos atos de execução pertinentes adotados nos termos do mesmo. O presente regulamento deverá permitir aos Estados-Membros utilizar relatórios e avaliações, realizados por organismos de avaliação da conformidade acreditados, tal como previsto no contexto dos sistemas de certificação que deverão ser criados a nível da União nos termos do Regulamento (UE) 2019/881, para fundamentar as suas alegações sobre o alinhamento dos sistemas ou parte dos mesmos com o Regulamento (UE) n.º 910/2014.

41. (41)

    Os prestadores de serviços públicos utilizam os dados de identificação pessoal disponíveis a partir de meios de identificação eletrónica nos termos do Regulamento (UE) n.º 910/2014 para fazer corresponder a identidade eletrónica dos utentes de outros Estados-Membros aos dados de identificação pessoal fornecidos a esses utentes no Estado-Membro que executa o processo transfronteiriço de correspondência de identidade. No entanto, em muitos casos, apesar da utilização do conjunto mínimo de dados fornecido ao abrigo dos sistemas de identificação eletrónica notificados, a garantia de uma correspondência exata da identidade quando os Estados-Membros atuam como utilizadores exige informações adicionais sobre o utente, bem como procedimentos complementares específicos de identificação única a realizar a nível nacional. A fim de reforçar a usabilidade dos meios de identificação eletrónica, proporcionar melhores serviços públicos em linha e aumentar a segurança jurídica em relação à identidade eletrónica dos utentes, o Regulamento (UE) n.º 910/2014 deverá exigir que os Estados-Membros tomem medidas específicas em linha para assegurar a correspondência inequívoca da identidade quando os utentes pretendam aceder a serviços públicos transfronteiriços em linha.

42. (42)

    Ao desenvolver carteiras europeias de identidade digital, é essencial ter em conta as necessidades dos utentes. Deverão estar disponíveis casos de utilização e serviços em linha significativos que recorrem às carteiras europeias de identidade digital. Por razões de conveniência dos utentes e a fim de assegurar a disponibilidade transfronteiriça desses serviços, é importante tomar medidas para facilitar uma abordagem semelhante quanto à conceção, desenvolvimento e implementação de serviços em linha em todos os Estados-Membros. Orientações não vinculativas sobre a forma de conceber, desenvolver e implementar serviços em linha que recorrem às carteiras europeias de identidade digital poderão revelar-se um instrumento útil para alcançar esse objetivo. Tais orientações deverão ser elaboradas tendo em conta o quadro de interoperabilidade da União. Os Estados-Membros deverão desempenhar um papel de liderança ao adotarem essas orientações.

43. (43)

    Em consonância com a Diretiva (UE) 2019/882 do Parlamento Europeu e do Conselho, as pessoas com deficiência deverão poder utilizar as carteiras europeias de identidade digital, os serviços de confiança e os produtos destinados ao utente final utilizados na prestação desses serviços em condições iguais às dos restantes utentes.

44. (44)

    A fim de assegurar uma aplicação eficaz do presente regulamento, deverá ser estabelecido um nível mínimo para o valor máximo das coimas impostas aos prestadores qualificados e não qualificados de serviços de confiança. Os Estados-Membros deverão prever sanções efetivas, proporcionadas e dissuasivas. Ao determinar as sanções, deverão ser devidamente tidos em conta a dimensão das entidades afetadas, os seus modelos de negócio e a gravidade das infrações.

45. (45)

    Os Estados-Membros deverão estabelecer regras em matéria de sanções aplicáveis às infrações, tais como práticas diretas ou indiretas que conduzam a confusão entre serviços de confiança não qualificados e qualificados ou à utilização abusiva da marca de confiança «UE» por prestadores não qualificados de serviços de confiança. A marca de confiança «UE» não deverá ser utilizada em condições que, direta ou indiretamente, levem a crer que quaisquer serviços de confiança não qualificados oferecidos por estes prestadores sejam qualificados.

46. (46)

    O presente regulamento não deverá abranger os aspetos relacionados com a celebração e a validade de contratos ou outras obrigações legais quando estes estabeleçam requisitos de caráter formal previstos no direito da União ou nacional. Além disso, não deverá afetar os requisitos nacionais de caráter formal aplicáveis aos registos públicos, em particular, registos comerciais e prediais.

47. (47)

    A prestação e a utilização de serviços de confiança e os benefícios em termos de conveniência e segurança jurídica no contexto das transações transfronteiriças, em especial quando são utilizados serviços de confiança qualificados, estão a tornar-se cada vez mais importantes para o comércio e a cooperação internacionais. Os parceiros internacionais da União estão a criar regimes de confiança inspirados no Regulamento (UE) n.º 910/2014. A fim de facilitar o reconhecimento dos serviços de confiança qualificados e dos respetivos fornecedores, a Comissão pode adotar atos de execução para estabelecer as condições que permitem considerar os regimes de confiança de países terceiros equivalentes ao regime de confiança para os serviços de confiança qualificados e os seus prestadores previsto no presente regulamento. Tal abordagem deverá complementar a possibilidade de reconhecimento mútuo de serviços de confiança e dos seus prestadores estabelecidos na União e em países terceiros nos termos do artigo 218.º do Tratado sobre o Funcionamento da União Europeia (TFUE). Ao estabelecer as condições para considerar que os regimes de confiança de países terceiros são equivalentes ao regime de confiança para os serviços de confiança qualificados e os seus prestadores nos termos do Regulamento (UE) n.º 910/2014, deverá também ser assegurada a conformidade com as disposições pertinentes da Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho e do Regulamento (UE) 2016/679, bem como a utilização de listas de confiança como elementos essenciais para criar confiança.

48. (48)

    O presente regulamento deverá promover a escolha e a possibilidade de optar entre várias carteiras europeias de identidade digital sempre que um Estado-Membro tenha aprovado mais do que uma solução de carteiras europeias de identidade digital para o seu território. A fim de evitar efeitos de dependência nessas situações, sempre que tal seja tecnicamente viável, os fornecedores de carteiras europeias de identidade digital deverão assegurar a portabilidade efetiva dos dados a pedido dos utentes de carteiras europeias de identidade digital, e não deverão ser autorizados a levantar obstáculos contratuais, económicos ou técnicos para impedir ou desincentivar a mudança efetiva entre diferentes carteiras europeias de identidade digital.

49. (49)

    A fim de assegurar o bom funcionamento das carteiras europeias de identidade digital, os fornecedores de carteiras europeias de identidade digital necessitam de uma interoperabilidade efetiva e de condições justas, razoáveis e não discriminatórias para que as carteiras europeias de identidade digital tenham acesso a funcionalidades específicas do hardware e do software dos dispositivos móveis. Esses componentes podem incluir, em especial, antenas de campo próximo e elementos seguros, incluindo cartões universais com circuito integrado, elementos seguros incorporados, cartões microSD e Bluetooth de baixa energia. O acesso a esses componentes poderá estar sob o controlo dos operadores de redes móveis e dos fabricantes de equipamentos. Por conseguinte, sempre que necessário para prestar os serviços das carteiras europeias de identidade digital, os fabricantes de equipamentos de origem de dispositivos móveis ou os prestadores de serviços de comunicações eletrónicas não deverão recusar o acesso a esses componentes. Além disso, as empresas designadas como controladores de acesso para serviços essenciais de plataforma enumerados pela Comissão nos termos do Regulamento (UE) 2022/1925 do Parlamento Europeu e do Conselho deverão continuar sujeitas às disposições específicas desse regulamento, com base no seu artigo 6.º, n.º 7.

50. (50)

    A fim de simplificar as obrigações em matéria de cibersegurança impostas aos prestadores de serviços de confiança, bem como de permitir a esses prestadores e às respetivas autoridades competentes beneficiarem do regime jurídico instituído pela Diretiva (UE) 2022/2555, os serviços de confiança são obrigados a adotar medidas técnicas e organizacionais adequadas nos termos da dessa diretiva, nomeadamente medidas que respondam a falhas do sistema, erro humano, ações maliciosas ou fenómenos naturais para gerir os riscos colocados à segurança da rede e aos sistemas de informação que esses prestadores utilizam na prestação dos seus serviços, bem como para notificar incidentes significativos e ciberameaças de acordo com essa diretiva. No que diz respeito à comunicação de incidentes, os prestadores de serviços de confiança deverão notificar todos os incidentes com um impacto significativo na prestação dos seus serviços, nomeadamente os causados por roubo ou perda de dispositivos, danos nos cabos da rede ou ocorridos no contexto da identificação de pessoas. Os requisitos de gestão dos riscos de cibersegurança e as obrigações de notificação previstos na Diretiva (UE) 2022/2555 deverão ser considerados complementares em relação aos requisitos impostos aos prestadores de serviços de confiança no âmbito do presente regulamento. Sempre que adequado, as práticas ou orientações nacionais estabelecidas em relação à implementação de requisitos de segurança e prestação de informações e à supervisão da conformidade com esses requisitos nos termos do Regulamento (UE) n.º 910/2014 deverão continuar a ser aplicadas pelas autoridades competentes designadas ao abrigo da Diretiva (UE) 2022/2555. O presente regulamento não afeta a obrigação de notificar violações de dados pessoais nos termos do Regulamento (UE) 2016/679.

51. (51)

    Importa prestar a devida atenção à garantia de uma cooperação eficaz entre as entidades supervisoras designadas nos termos do artigo 46.º-B do Regulamento (UE) n.º 910/2014 e as autoridades competentes designadas ou criadas nos termos do artigo 8.º, n.º 1, da Diretiva (UE) 2022/2555. Caso essa entidade supervisora seja diferente dessa autoridade competente, as duas deverão cooperar estreitamente, em tempo útil, por meio do intercâmbio das informações pertinentes, a fim de assegurar uma supervisão eficaz e o cumprimento pelos prestadores de serviços de confiança dos requisitos estabelecidos no Regulamento (UE) n.º 910/2014 e na Diretiva (UE) 2022/2555. Em especial, as entidades supervisoras designadas nos termos do Regulamento (UE) n.º 910/2014 deverão estar habilitadas a pedir à autoridade competente designada ou criada nos termos da Diretiva (UE) 2022/2555 que preste as informações pertinentes necessárias para conceder o estatuto de qualificado e para levar a cabo as ações de supervisão destinadas a verificar se os prestadores de serviços de confiança cumprem os requisitos pertinentes previstos na Diretiva (UE) 2022/2555 ou a exigir-lhes que corrijam as situações de incumprimento.

52. (52)

    É essencial prever um regime jurídico para facilitar o reconhecimento transfronteiriço entre os sistemas jurídicos nacionais vigentes no que diz respeito aos serviços de envio registado eletrónico. Esse regime também pode abrir novas oportunidades aos prestadores de serviços de confiança da União para oferecerem novos serviços de envio registado eletrónico à escala da União. A fim de assegurar que os dados que utilizam um serviço de envio registado eletrónico qualificado são entregues ao destinatário correto, os serviços qualificados de envio registado eletrónico deverão assegurar com total certeza a identificação do destinatário, ao passo que para a identificação do remetente é suficiente um elevado nível de confiança. Os Estados-Membros deverão incentivar os prestadores de serviços qualificados de envio registado eletrónico a tornar os seus serviços interoperáveis com os serviços de envio registado eletrónico qualificados prestados por outros prestadores qualificados de serviços de confiança, a fim de transferir facilmente os dados registados eletrónicos entre dois ou mais prestadores qualificados de serviços de confiança e de promover práticas leais no mercado interno.

53. (53)

    Na maioria dos casos, os cidadãos da União e os residentes na União não podem trocar, além-fronteiras, informações digitais relacionadas com a sua identidade, tais como o seu endereço, idade e habilitações profissionais, carta de condução e outras licenças e dados de pagamento, de forma segura e com um elevado nível de proteção dos dados.

54. (54)

    Deverá ser possível emitir e tratar atributos eletrónicos fiáveis e contribuir para reduzir os encargos administrativos, permitindo que os cidadãos da União e os residentes na União os utilizem nas suas transações privadas e públicas. Os cidadãos da União e os residentes na União deverão poder, por exemplo, comprovar a titularidade de uma carta de condução válida emitida por uma autoridade de um Estado-Membro, que as autoridades competentes de outros Estados-Membros possam verificar e corroborar, e utilizar as suas credenciais de segurança social ou os futuros documentos de viagem digitais num contexto transfronteiriço.

55. (55)

    Qualquer prestador de serviços que emita atributos certificados em formato eletrónico, tais como diplomas, licenças, certidões de nascimento ou habilitações e mandatos para representar ou agir em nome de pessoas singulares ou coletivas deverá ser considerada um prestador de serviços de confiança de certificados eletrónicos de atributos. Não podem ser negados efeitos legais a um certificado eletrónico de atributos pelo facto de se apresentar em formato eletrónico ou de não cumprir os requisitos do certificado eletrónico qualificado de atributos. Deverão ser estabelecidos requisitos gerais que garantam que um certificado eletrónico qualificado de atributos tem um efeito legal equivalente ao dos certificados emitidos legalmente em suporte de papel. Contudo, esses requisitos deverão aplicar-se sem prejuízo do direito da União ou nacional que defina requisitos setoriais específicos suplementares no tocante ao formato com efeitos legais subjacentes e, em especial, ao reconhecimento transfronteiriço de certificados eletrónicos qualificados de atributos, se for caso disso.

56. (56)

    A ampla disponibilidade e usabilidade das carteiras europeias de identidade digital deverão reforçar a sua aceitação e confiança nas mesmas, tanto por particulares como por prestadores de serviços privados. Por conseguinte, os utilizadores privados que prestem serviços, por exemplo, nos domínios dos transportes, da energia, dos serviços bancários e financeiros, da segurança social, da saúde, da água potável, dos serviços postais, das infraestruturas digitais, das telecomunicações ou da educação deverão aceitar a utilização das carteiras europeias de identidade digital para a prestação de serviços sempre que o direito da União ou nacional ou uma obrigação contratual exijam a autenticação forte do utente. Qualquer pedido efetuado por um utilizador relativo a informações do utente de uma carteira europeia de identidade digital deverá ser necessário e proporcionado à utilização prevista num determinado caso, deverá estar em conformidade com o princípio da minimização dos dados e deverá assegurar a transparência no que diz respeito aos dados que são partilhados e aos respetivos fins. A fim de facilitar a utilização e a aceitação da carteira europeia de identidade digital, deverão ser tidas em conta na sua implantação as normas e especificações do setor amplamente aceites.

57. (57)

    Sempre que plataformas em linha de muito grande dimensão, na aceção do artigo 33.º, n.º 1, do Regulamento (UE) 2022/2065 do Parlamento Europeu e do Conselho, exijam que os utentes estejam autenticados para aceder a serviços em linha, deverão ser obrigadas a aceitar a utilização de carteiras europeias de identidade digital mediante pedido voluntário do utente. Os utentes não deverão ser obrigados a utilizar uma carteira europeia de identidade digital para aceder a serviços privados e não deverão sofrer restrições ou dificuldades para aceder aos serviços por não utilizarem uma carteira europeia de identidade digital. No entanto, se os utentes o desejarem, as plataformas em linha de muito grande dimensão deverão aceitá-las para esse efeito, respeitando simultaneamente o princípio da minimização dos dados e o direito de os utentes utilizarem pseudónimos livremente escolhidos. Atendendo à importância das plataformas em linha de muito grande dimensão, devido ao seu alcance, expresso, nomeadamente, em termos de número de destinatários do serviço e de transações económicas, a obrigação de aceitar as carteiras europeias de identidade digital é necessária para aumentar a proteção dos utentes contra fraudes e garantir um elevado nível de proteção dos dados.

58. (58)

    Deverão ser elaborados códigos de conduta a nível da União com vista a contribuir para a disponibilidade e usabilidade generalizadas de meios de identificação eletrónica, nomeadamente as carteiras europeias de identidade digital, no âmbito do presente regulamento. Os códigos de conduta deverão facilitar a aceitação generalizada dos meios de identificação eletrónica, incluindo das carteiras europeias de identidade digital, pelos prestadores de serviços que não são considerados plataformas de muito grande dimensão e que recorrem a serviços de identificação eletrónica de terceiros para a autenticação dos utentes.

59. (59)

    A divulgação seletiva é um conceito que habilita o proprietário dos dados a divulgar apenas determinadas partes de um conjunto de dados mais vasto, a fim de que a entidade recetora obtenha apenas as informações necessárias à prestação de um serviço solicitado pelo utente. A carteira europeia de identidade digital deverá permitir tecnicamente a divulgação seletiva de atributos aos utilizadores. Deverá ser tecnicamente possível aos utentes divulgar seletivamente atributos, inclusive a partir de vários certificados eletrónicos distintos, e combiná-los e apresentá-los aos utilizadores sem descontinuidade. Esta funcionalidade deverá tornar-se uma funcionalidade da conceção de base das carteiras europeias de identidade digital, permitindo assim reforçar a conveniência e a proteção de dados pessoais, incluindo a minimização de dados.

60. (60)

    A menos que regras específicas do direito da União ou nacional exijam que os utentes se identifiquem, o acesso aos serviços por intermédio da utilização de um pseudónimo não deverá ser proibido.

61. (61)

    Os atributos fornecidos pelos prestadores qualificados de serviços de confiança no âmbito do certificado qualificado de atributos deverão ser verificados por confronto com as fontes autênticas diretamente pelo prestador qualificado de serviço de confiança ou através de intermediários designados reconhecidos a nível nacional em conformidade com o direito da União ou nacional para efeitos de intercâmbio seguro de atributos certificados entre prestadores de serviços de identidade ou de certificados de atributos e utilizadores. Os Estados-Membros deverão estabelecer mecanismos adequados a nível nacional para assegurar que os prestadores qualificados de serviços de confiança que emitem certificados eletrónicos qualificados de atributos possam, com base no consentimento da pessoa a quem o certificado é emitido, verificar a autenticidade dos atributos com base em fontes autênticas. Os mecanismos adequados deverão poder incluir a utilização de intermediários específicos ou soluções técnicas em conformidade com o direito nacional que permitam o acesso a fontes autênticas. Assegurar a disponibilidade de um mecanismo que permita a verificação de atributos por confronto com fontes autênticas destina-se a facilitar o cumprimento pelos prestadores qualificados de serviços de confiança de certificados eletrónicos qualificados de atributos das obrigações que lhes incumbem por força do Regulamento (UE) n.º 910/2014. Um novo anexo desse regulamento deverá conter uma lista de categorias de atributos relativamente às quais os Estados-Membros devem assegurar que são tomadas medidas para permitir que os fornecedores qualificados de certificados eletrónicos de atributos verifiquem, por via eletrónica, a pedido do utente, a sua autenticidade por confronto com a fonte autêntica pertinente.

62. (62)

    A identificação eletrónica segura e o fornecimento de certificados de atributos deverão oferecer flexibilidade e soluções adicionais ao setor dos serviços financeiros, a fim de permitir a identificação de clientes e o intercâmbio de atributos específicos necessários para cumprir, por exemplo, os requisitos do dever de diligência relativo à clientela ao abrigo de um futuro regulamento que criará a Autoridade para o Combate ao Branqueamento de Capitais, os requisitos de adequação decorrentes da legislação em matéria de proteção dos investidores, ou para apoiar o cumprimento dos requisitos de autenticação forte dos clientes para a identificação em linha no início de sessão ou início de transações no domínio dos serviços de pagamento.

63. (63)

    Os efeitos legais de uma assinatura eletrónica não devem ser postos em causa pelo simples facto de se apresentar em formato eletrónico ou de não cumprir os requisitos da assinatura eletrónica qualificada. No entanto, cabe ao direito nacional estabelecer o efeito jurídico das assinaturas eletrónicas, exceto no que diz respeito aos requisitos previstos no presente regulamento segundo os quais o efeito legal de uma assinatura qualificada eletrónica deva ser considerado equivalente ao de uma assinatura manuscrita. Ao determinar os efeitos legais das assinaturas eletrónicas, os Estados-Membros deverão ter em conta o princípio da proporcionalidade entre o valor jurídico de um documento a assinar e o nível de segurança e o custo que a assinatura eletrónica exige. Para aumentar a acessibilidade e a utilização das assinaturas eletrónicas, os Estados-Membros são incentivados a ponderar a utilização de assinaturas eletrónicas avançadas nas transações quotidianas, para as quais proporcionam um nível suficiente de segurança e de confiança.

64. (64)

    A fim de assegurar a coerência das práticas de certificação em toda a União, a Comissão deverá emitir orientações sobre a certificação e a recertificação dos dispositivos qualificados de criação de assinaturas eletrónicas e dos dispositivos de criação de selos eletrónicos qualificados, incluindo a sua validade e limitações temporais. O presente regulamento não impede os organismos públicos ou privados que disponham de dispositivos qualificados de criação de assinaturas eletrónicas certificados de recertificar temporariamente tais dispositivos durante um curto período de certificação válido, com base nos resultados dos processos de certificação prévios, caso tal recertificação não possa ser efetuada dentro do prazo legalmente estabelecido por um motivo que não seja uma violação ou um incidente de segurança, sem prejuízo da obrigação de realizar uma avaliação da vulnerabilidade e sem prejuízo da prática de certificação aplicável.

65. (65)

    A emissão de certificados para autenticação de sítios Web visa dar aos utentes uma garantia, com um elevado nível de confiança na identidade da entidade responsável pelo sítio Web, independentemente da plataforma utilizada para a visualização dessa identificação. Esses certificados deverão contribuir para a criação de confiança na realização de negócios em linha, pois os utilizadores terão confiança nos sítios Web que tenham sido autenticados. A utilização de tais certificados pelos sítios Web deverá ser voluntária. Para que a autenticação de sítios Web venha a constituir um meio de reforçar a confiança, proporcionar uma melhor experiência ao utilizador e incentivar o crescimento no mercado interno, o presente regulamento estabelece um regime de confiança que inclui obrigações mínimas em matéria de segurança e responsabilidade a cumprir pelos fornecedores de certificados qualificados para autenticação de sítios Web e requisitos para a emissão desses certificados. As listas de confiança nacionais deverão confirmar o estatuto qualificado dos serviços de autenticação de sítios Web e dos seus prestadores de serviços de confiança, incluindo a sua plena conformidade com os requisitos do presente regulamento no que diz respeito à emissão de certificados qualificados de autenticação de sítios Web. O reconhecimento de certificados qualificados de autenticação de sítios Web, significa que os fornecedores de navegadores Web não deverão recusar a autenticidade dos certificados qualificados de autenticação de sítios Web com o objetivo único de atestar a ligação entre o nome de domínio do sítio Web e a pessoa singular ou coletiva a quem o certificado é emitido ou de confirmar a identidade dessa pessoa. Os fornecedores de navegadores Web deverão apresentar os dados de identificação certificados e os outros atributos certificados ao utente final de forma que seja de fácil utilização no ambiente do navegador, através dos meios técnicos da sua escolha. Para o efeito, os fornecedores de navegadores Web deverão assegurar apoio e interoperabilidade com certificados qualificados de autenticação de sítios Web emitidos em plena conformidade com o presente regulamento. A obrigação de reconhecimento e interoperabilidade de certificados qualificados de autenticação de sítios Web, bem como o apoio aos mesmos, não afeta a liberdade dos fornecedores de navegadores Web de garantirem a segurança na Web, a autenticação de domínios e a cifragem do tráfego na Web da forma e com a tecnologia que considerem mais adequada. A fim de contribuir para a segurança em linha dos utentes finais, os fornecedores de navegadores Web deverão, em circunstâncias excecionais, poder tomar medidas de precaução que sejam necessárias e proporcionadas em resposta a preocupações fundamentadas relativas a violações da segurança ou à perda de integridade de um certificado ou conjunto de certificados identificados. Caso tomem essas medidas de precaução, os fornecedores de navegadores Web deverão notificar, sem demora indevida, a Comissão, a entidade supervisora nacional a entidade à qual o certificado foi emitido e o prestador qualificado de serviços de confiança que emitiu esse certificado ou conjunto de certificados, qualquer suspeita no que diz respeito a tal violação da segurança ou perda de integridade, bem como as medidas tomadas relativamente ao certificado único ou conjunto de certificados. Essas medidas não deverão prejudicar a obrigação de os fornecedores de navegadores Web reconhecerem certificados qualificados de autenticação de sítios Web em conformidade com as listas de confiança nacionais. Para proteger melhor os cidadãos da União e os residentes na União e promover a utilização de certificados qualificados para autenticação de sítios Web, as autoridades públicas dos Estados-Membros deverão equacionar incorporar certificados qualificados de autenticação de sítios Web nos respetivos sítios Web. As medidas previstas no presente regulamento que visam aumentar a coerência entre as abordagens e práticas divergentes dos Estados-Membros em matéria de procedimentos de supervisão destinam-se a contribuir para aumentar a confiança na segurança, qualidade e disponibilidade de certificados qualificados para autenticação de sítios Web.

66. (66)

    Muitos Estados-Membros introduziram requisitos nacionais para os serviços que asseguram um arquivo eletrónico seguro e fiável, a fim de permitir a conservação a longo prazo de dados e documentos eletrónicos, e serviços de confiança associados. No intuito de garantir a segurança jurídica, a confiança e a harmonização entre os Estados-Membros, deverá ser estabelecido um regime jurídico para os serviços de arquivo eletrónico qualificados, inspirado no regime dos outros serviços de confiança estabelecido no presente regulamento. O regime jurídico para os serviços de arquivo eletrónico qualificados deverá proporcionar aos prestadores de serviços de confiança e aos utentes um conjunto de instrumentos eficiente que inclua requisitos funcionais para o serviço de arquivo eletrónico, bem como efeitos jurídicos claros quando é utilizado um serviço de arquivo eletrónico qualificado. Essas disposições deverão aplicar-se aos dados eletrónicos e aos documentos eletrónicos criados em formato eletrónico, bem como aos documentos em papel que tenham sido digitalizados. Se for necessário, estas disposições deverão permitir que os dados eletrónicos e documentos eletrónicos conservados sejam transferidos em diferentes suportes ou formatos, a fim de alargar a sua durabilidade e legibilidade para além do período de validade tecnológica, evitando ao mesmo tempo, tanto quanto possível, a perda e a alteração. Se os dados e documentos eletrónicos apresentados ao serviço de arquivo eletrónico contiverem uma ou mais assinaturas eletrónicas qualificadas ou selos eletrónicos qualificados, o serviço deverá utilizar procedimentos e tecnologias capazes de alargar a sua fiabilidade durante o período de conservação desses dados, eventualmente com base na utilização de outros serviços de confiança qualificados estabelecidos pelo presente regulamento. A fim de se criar provas de conservação em caso de utilização de assinaturas eletrónicas, selos eletrónicos ou selos temporais eletrónicos, deverão ser utilizados serviços de confiança qualificados. Na medida em que os serviços de arquivo eletrónico não estejam harmonizados pelo presente regulamento, os Estados-Membros deverão poder manter ou introduzir disposições nacionais, em conformidade com o direito da União, relativas a esses serviços, tais como disposições específicas para serviços integrados numa organização e utilizados apenas para arquivos internos dessa organização. O presente regulamento não deverá distinguir entre os dados eletrónicos e os documentos eletrónicos criados em formato eletrónico e documentos físicos que tenham sido digitalizados.

67. (67)

    As atividades dos arquivos e das instituições da memória nacionais, na sua qualidade de organizações dedicadas à preservação do património documental de interesse público, são geralmente reguladas pelo direito nacional e não prestam necessariamente serviços de confiança na aceção do presente regulamento. Na medida em que estas instituições não prestem tais serviços de confiança, o presente regulamento não prejudica o seu funcionamento.

68. (68)

    Os livros-razão eletrónicos são uma sequência de registos eletrónicos de dados que deverão assegurar a sua integridade e a exatidão da sua ordem cronológica. Os livros-razão eletrónicos deverão estabelecer uma sequência cronológica de registos de dados. Em conjugação com outras tecnologias, deverão contribuir para soluções para serviços públicos mais eficientes e transformadores, tais como a votação eletrónica, a cooperação transfronteiriça das autoridades aduaneiras, a cooperação transfronteiriça das instituições académicas e o registo da propriedade de bens imóveis em registos prediais descentralizados. Os livros-razão eletrónicos qualificados deverão estabelecer uma presunção legal para a ordem sequencial única e precisa e para a integridade dos registos de dados no livro-razão. Devido às suas especificidades, como a ordem cronológica sequencial de registos de dados, os livros-razão eletrónicos deverão ser distinguidos de outros serviços de confiança, como os selos temporais eletrónicos e os serviços de envio registado eletrónico. Para garantir a segurança jurídica e promover a inovação, há que criar um regime jurídico ao nível da União que preveja o reconhecimento transfronteiriço de serviços de confiança para o registo de dados em livros-razão eletrónicos. Tal deverá impedir suficientemente que o mesmo ativo digital seja copiado e vendido mais do que uma vez a diferentes partes. O processo de criação e atualização de um livro-razão eletrónico depende do tipo utilizado, nomeadamente se é centralizado ou distribuído. O presente regulamento deverá assegurar a neutralidade tecnológica, nomeadamente não favorecendo nem discriminando qualquer tecnologia utilizada para implementar o novo serviço de confiança para os livros-razão eletrónicos. Além disso, aquando da elaboração dos atos de execução que especifiquem os requisitos aplicáveis aos livros-razão eletrónicos qualificados, a Comissão deverá ter em conta os indicadores de sustentabilidade relativos a quaisquer impactos negativos no clima ou outros impactos negativos relacionados com o ambiente, utilizando metodologias adequadas.

69. (69)

    O papel dos prestadores de serviços de confiança de livros-razão eletrónicos deverá consistir em verificar o registo sequencial dos dados no livro-razão. O presente regulamento não prejudica quaisquer obrigações legais dos utentes de livros-razão eletrónicos ao abrigo do direito da União ou nacional. Por exemplo, os casos de utilização que envolvam o tratamento de dados pessoais deverão cumprir o disposto no Regulamento (UE) 2016/679 e os casos de utilização relacionados com serviços financeiros deverão cumprir a legislação aplicável da União em matéria de serviços financeiros.

70. (70)

    A fim de evitar a fragmentação e os entraves no mercado interno, decorrentes da existência de normas divergentes e de restrições técnicas, e com vista a assegurar um processo coordenado para evitar afetar a execução do Regime Europeu para a Identidade Digital, afigura-se necessário um processo de cooperação estreita e estruturada entre a Comissão, os Estados-Membros, a sociedade civil, o meio académico e o setor privado. Para alcançar este objetivo, os Estados-Membros e a Comissão deverão cooperar no âmbito do quadro estabelecido na Recomendação (UE) 2021/946 da Comissão, a fim de identificar um conjunto de instrumentos comuns a nível da União para um Regime Europeu para a Identidade Digital. Nesse contexto, os Estados-Membros deverão chegar a acordo relativamente a uma arquitetura técnica abrangente e um regime de referência, um conjunto de normas comuns e referências técnicas, incluindo normas reconhecidas em vigor e um conjunto de orientações e descrições de boas práticas que contemplem, pelo menos, todas as funcionalidades e a interoperabilidade das carteiras europeias de identidade digital, incluindo as assinaturas eletrónicas, e dos prestadores qualificados de certificados eletrónicos de atributos conforme estabelecido no presente regulamento. Neste contexto, os Estados-Membros deverão também chegar a acordo sobre elementos comuns de um modelo de negócio e a estrutura de taxas para as carteiras europeias de identidade digital, a fim de facilitar a adesão, em especial pelas PME num contexto transfronteiriço. O conteúdo do conjunto de instrumentos deverá evoluir em paralelo e refletir o resultado do debate e do processo de adoção do Regime Europeu para a Identidade Digital.

71. (71)

    O presente regulamento proporciona um nível harmonizado de qualidade, fiabilidade e segurança dos serviços de confiança qualificados, independentemente do local onde as operações são realizadas. Por conseguinte, um prestador qualificado de serviços de confiança deverá ser autorizado a externalizar as suas operações relacionadas com a prestação de um serviço de confiança qualificado num país terceiro, caso esse país terceiro forneça garantias adequadas, assegurando que as atividades de supervisão e as auditorias possam ser executadas como se fossem realizadas na União. Se o cumprimento do presente regulamento não puder ser plenamente assegurado, as entidades supervisoras deverão poder adotar medidas proporcionadas e justificadas, incluindo a retirada do estatuto de qualificado do serviço de confiança prestado.

72. (72)

    Para garantir a segurança jurídica no que respeita à validade de assinaturas eletrónicas avançadas com base em certificados qualificados, é essencial especificar a avaliação pelo utilizador que efetua a validação dessa assinatura eletrónica avançada com base em certificados qualificados.

73. (73)

    Os prestadores de serviços de confiança deverão utilizar métodos criptográficos que reflitam as boas práticas atuais e aplicações fiáveis desses algoritmos, a fim de garantir a segurança e a fiabilidade dos seus serviços de confiança.

74. (74)

    O presente regulamento estabelece para os prestadores qualificados de serviços de confiança a obrigação de verificarem a identidade de uma pessoa singular ou coletiva a quem o certificado qualificado ou o certificado eletrónico qualificado de atributos é emitido com base em vários métodos harmonizados em toda a União. A fim de assegurar que os certificados qualificados e os certificados eletrónicos qualificados de atributos são emitidos à pessoa a que pertencem e que atestam o conjunto correto e único de dados que representam a identidade dessa pessoa, os prestadores qualificados de serviços de confiança que emitem certificados qualificados ou emitem certificados eletrónicos qualificados de atributos deverão, no momento da emissão desses certificados e atestados, assegurar com total certeza a identificação dessa pessoa. Além disso, para além da verificação obrigatória da identidade da pessoa, se for caso disso para a emissão de certificados qualificados e aquando da emissão de um certificado eletrónico qualificado de atributos, os prestadores qualificados de serviços de confiança deverão assegurar com total certeza a correção e a exatidão dos atributos certificados da pessoa a quem o certificado qualificado ou o certificado eletrónico qualificado de atributos é emitido. Essas obrigações de resultados e de total certeza na verificação dos dados certificados deverão ser suportadas por meios adequados, nomeadamente utilizando um ou, se necessário, uma combinação de métodos específicos previstos pelo presente regulamento. Deverá ser possível combinar esses métodos para fornecer uma base adequada para a verificação da identidade da pessoa a quem é emitido o certificado qualificado ou um certificado eletrónico qualificado de atributos. Deverá ser possível incluir nessa combinação o recurso a meios de identificação eletrónica que cumpram os requisitos do nível de garantia substancial, associados a outros meios de verificação da identidade que permitam o cumprimento dos requisitos harmonizados estabelecidos no presente regulamento no que diz respeito ao nível de garantia elevado no âmbito de procedimentos adicionais harmonizados à distância, assegurando a identificação com um elevado nível de certeza. Esses métodos deverão incluir a possibilidade de o prestador qualificado de serviços de confiança que emite um certificado eletrónico qualificado de atributos verificar os atributos a atestar por meios eletrónicos a pedido do utente, em conformidade com o direito da União ou nacional, nomeadamente por confronto com fontes autênticas.

75. (75)

    A fim de assegurar que o presente regulamento acompanha a evolução mundial e de seguir as boas práticas no mercado interno, os atos delegados e de execução adotados pela Comissão deverão ser revistos e, se necessário, atualizados regularmente. A avaliação da necessidade dessas atualizações deverá ter em conta as novas tecnologias, práticas, normas ou especificações técnicas.

76. (76)

    Atendendo a que os objetivos do presente regulamento, a saber, o desenvolvimento do Regime Europeu para a Identidade Digital e de um regime para os serviços de confiança a nível da União, não podem ser suficientemente alcançados pelos Estados-Membros, mas podem, devido à dimensão ou aos efeitos da ação, ser mais bem alcançados ao nível da União, a União pode tomar medidas, em conformidade com o princípio da subsidiariedade consagrado no artigo 5.º do Tratado da União Europeia. Em conformidade com o princípio da proporcionalidade consagrado no mesmo artigo, o presente regulamento não excede o necessário para alcançar esses objetivos.

77. (77)

    A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do artigo 42.º, n.º 1, do Regulamento (UE) 2018/1725.

78. (78)

    Por conseguinte, o Regulamento (UE) n.º 910/2014 deverá ser alterado em conformidade,