Agence d'État Bulletin Officiel de l'État

(1)

El marco europeo de identidad digital establecido por el Reglamento (UE) n.o 910/2014 es un componente crucial para la creación de un ecosistema de identidad digital seguro e interoperable en toda la Unión. El objetivo de este marco, con las carteras europeas de identidad digital (en lo sucesivo, las «carteras») como piedra angular, es facilitar el acceso a los servicios en todos los Estados miembros, garantizando al mismo tiempo la protección de los datos personales y de la privacidad.

(2)

El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (2), o el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (3), y, en su caso, la Directiva 2002/58/CE del Parlamento Europeo y del Consejo (4) se aplican a todas las actividades de tratamiento de datos personales en virtud del presente Reglamento.

(3)

El artículo 5 bis, apartado 23, del Reglamento (UE) n.o 910/2014 encomienda a la Comisión que, en caso necesario, establezca las especificaciones y los procedimientos pertinentes. Este mandato se lleva a cabo mediante cuatro Reglamentos de Ejecución, que tratan respectivamente de los protocolos y las interfaces: Reglamento de Ejecución (UE) 2024/2982 de la Comisión (5), la integridad y las funcionalidades básicas: Reglamento de Ejecución (UE) 2024/2979 de la Comisión (6), los datos de identificación de la persona y la declaración electrónica de atributos: Reglamento de Ejecución (UE) 2024/2977 de la Comisión (7), y las notificaciones a la Comisión: Reglamento de Ejecución (UE) 2024/2980 de la Comisión (8). El presente Reglamento establece los requisitos pertinentes aplicables a las notificaciones por los Estados miembros de las entidades de confianza que establecen la fiabilidad del marco europeo de identidad digital.

(4)

La Comisión evalúa periódicamente las nuevas tecnologías, prácticas, normas y especificaciones técnicas. Con el fin de garantizar el máximo nivel de armonización entre los Estados miembros para el desarrollo y la certificación de las carteras, las especificaciones técnicas establecidas en el presente Reglamento se basan en el trabajo realizado con arreglo a la Recomendación (UE) 2021/946 de la Comisión, de 3 de junio de 2021, sobre un conjunto de instrumentos común de la Unión para adoptar un enfoque coordinado de cara a un Marco para una Identidad Digital Europea (9), y en particular la arquitectura y el marco de referencia. De conformidad con el considerando 75 del Reglamento (UE) 2024/1183 del Parlamento Europeo y del Consejo (10), la Comisión debe revisar y, en caso necesario, actualizar el presente Reglamento de Ejecución, para mantenerlo en consonancia con la evolución mundial, la arquitectura y el marco de referencia, y seguir las mejores prácticas en el mercado interior.

(5)

A fin de cumplir el objetivo de establecer una fuente de información transparente y fiable para las entidades autenticadoras en el ecosistema de la cartera europea de identidad digital, como los proveedores de carteras, los proveedores de datos de identificación de la persona y las partes usuarias de la cartera, los Estados miembros deben notificar la información exigida al sistema electrónico proporcionado por la Comisión. En consonancia con el enfoque adoptado por la Decisión de Ejecución (UE) 2015/1984 (11) de la Comisión, por la que se definen las circunstancias, formatos y procedimientos de notificación con respecto a los sistemas de identificación electrónica aplicables a los medios de identificación electrónica, los Estados miembros deben facilitar la información a la Comisión en inglés. De este modo, las descripciones de los sistemas de identificación electrónica están disponibles en inglés para todos estos sistemas, con independencia de que se refieran a medios de identificación electrónica o a carteras.

(6)

Con el mismo objetivo de establecer fuentes de información que permitan la autenticación de las entidades en el ecosistema de la cartera europea de identidad digital, la Comisión debe establecer una infraestructura para poner la información a disposición del público de manera segura, legible por el ser humano, clara y fácilmente accesible, y en una forma firmada o sellada electrónicamente adecuada para el tratamiento automatizado, en particular ofreciendo una interfaz de programación de aplicaciones.

(7)

(8)

El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725, emitió su dictamen el 30 de septiembre de 2024.

Las medidas previstas en el presente Reglamento se ajustan al dictamen del comité contemplado en el artículo 48 del Reglamento (UE) n.o 910/2014.

1)

«proveedor de cartera»: persona física o jurídica que proporciona soluciones de cartera;

2)

«proveedor de datos de identificación de la persona»: persona física o jurídica responsable de la expedición y la revocación de los datos de identificación de la persona y de garantizar que los datos de identificación de la persona de un usuario estén vinculados criptográficamente a una unidad de cartera;

3)

«parte usuaria de la cartera»: parte que tiene la intención de utilizar unidades de cartera para la prestación de servicios públicos o privados mediante interacción digital;

4)

«registro de partes usuarias de la cartera»: registro electrónico utilizado por un Estado miembro para poner a disposición del público la información sobre las partes usuarias de la cartera que están registradas en dicho Estado miembro, tal como se establece en el artículo 5 ter, apartado 5, del Reglamento (UE) n.o 910/2014;

5)

«registrador de partes usuarias de la cartera»: el organismo, designado por un Estado miembro, responsable de establecer y mantener la lista de las partes usuarias de la cartera registradas establecidas en su territorio;

6)

«unidad de cartera»: configuración única de una solución de cartera que incluye instancias de cartera, aplicaciones criptográficas seguras de cartera y dispositivos criptográficos seguros de cartera proporcionados por un proveedor de cartera a un usuario particular de una cartera;

7)

«solución de cartera»: combinación de software, hardware, servicios, ajustes y configuraciones, que incluye instancias de cartera, una o más aplicaciones criptográficas seguras de cartera y uno o más dispositivos criptográficos seguros de cartera;

8)

«instancia de cartera»: aplicación instalada y configurada en el dispositivo o el entorno de un usuario de una cartera, que forma parte de una unidad de cartera y que el usuario de la cartera utiliza para interactuar con la unidad de cartera;

9)

«aplicación criptográfica segura de cartera»: aplicación que gestiona activos críticos al estar vinculada a las funciones criptográficas y no criptográficas proporcionadas por el dispositivo criptográfico seguro de cartera y utilizarlas;

10)

«dispositivo criptográfico seguro de cartera»: dispositivo resistente a las manipulaciones fraudulentas que proporciona un entorno vinculado a la aplicación criptográfica segura de cartera y utilizado por esta para proteger activos críticos y proporcionar funciones criptográficas para la ejecución segura de operaciones críticas;

11)

«activos críticos»: activos contenidos en una unidad de cartera o relacionados con ella, de tan extraordinaria importancia que si su disponibilidad, confidencialidad o integridad se vieran comprometidas, el efecto sobre la capacidad para utilizar la unidad de cartera sería muy grave y debilitante;

12)

«usuario de una cartera»: usuario que tiene el control sobre la unidad de cartera;

13)

«proveedor de certificados de acceso de partes usuarias de la cartera»: persona física o jurídica a la que un Estado miembro ha encomendado expedir certificados de acceso de parte usuaria a las partes usuarias de la cartera registradas en ese Estado miembro;

14)

«certificado de acceso de partes usuarias de la cartera»: certificado para sellos o firmas electrónicos, expedido por un proveedor de certificados de acceso de partes usuarias de la cartera, que autentica y valida a la parte usuaria de la cartera.

a)

permitir a los Estados miembros presentar la misma información una sola vez, reutilizando, en su caso, información presentada anteriormente;

b)

permitir que la información se presente a través de interfaces procesables por máquina e interfaces utilizables por personas;

c)

admitir unos controles de acceso y una gestión del control de acceso adecuados, delegando en los Estados miembros la facultad de conceder acceso a los representantes competentes en lo que respecta a las notificaciones;

d)

admitir las notificaciones de la información especificada en el anexo II;

e)

permitir que los Estados miembros vean la información notificada;

f)

acusar recibo de las notificaciones de información por medios electrónicos;

g)

conservar y permitir que los Estados miembros vean un registro histórico de todo cambio en la información notificada.

a)

el nombre del registro;

b)

al menos una URL, que utilizará cifrado de la capa de transporte de última generación, que dé acceso al registro;

c)

el nombre del registrador responsable de ese registro;

d)

en su caso, el número de registro del registrador;

e)

el Estado miembro en el que el registrador está establecido;

f)

la dirección de correo electrónico de contacto y el número de teléfono de contacto del registrador, para las cuestiones relacionadas con el registro;

g)

cuando proceda, la URL de una página web en la que obtener más información sobre el registrador y el registro;

h)

la URL de la página web en la que se encuentra la política de registro aplicable y la información conexa;

i)

uno o más certificados que cumplan el estándar RFC 3647 del IETF que puedan utilizarse para verificar la firma o el sello creados por el registrador sobre los datos del registro y en los que entre los datos de identidad certificados figuren el nombre del registrador y, cuando proceda, su número de registro, según lo establecido en las letras (c) y (d), respectivamente.

a)

el nombre del proveedor de cartera;

b)

en su caso, el número de registro del proveedor de cartera;

c)

en su caso, el nombre del organismo responsable de que se proporcione la solución de cartera;

d)

el Estado miembro en el que el proveedor de cartera está establecido;

e)

la dirección de correo electrónico de contacto y el número de teléfono de contacto del proveedor de cartera, para las cuestiones relacionadas con las soluciones de cartera que proporciona;

f)

cuando proceda, la URL de la página web en la que obtener más información sobre el proveedor de cartera y la solución de cartera;

g)

la URL de la página web en la que se encuentran las políticas y las condiciones que el proveedor de cartera aplica al suministro y la utilización de la solución de cartera que proporciona;

h)

uno o más certificados que cumplan el estándar RFC 3647 del IETF que puedan utilizarse para autenticar y validar los componentes de la unidad de cartera que la cartera proporciona, y en los que entre los datos de identidad certificados figuren el nombre y, cuando proceda, el número de registro del proveedor de cartera, según lo especificado en las letras a) y b), respectivamente;

i)

para cada solución de cartera proporcionada por el proveedor de la cartera, el nombre y el número de referencia de la solución de cartera que proporciona, ya que la Comisión publicará esta información en el Diario Oficial de la Unión Europea de conformidad con el artículo 5 quinquies del Reglamento (UE) n.o 910/2014.

a)

el nombre del proveedor de datos de identificación de la persona;

b)

en su caso, un número de registro del proveedor de datos de identificación de la persona;

c)

cuando proceda, el nombre del organismo responsable de garantizar que los datos de identificación de la persona estén asociados a la unidad de cartera;

d)

el Estado miembro en el que el proveedor de datos de identificación de la persona está establecido;

e)

la dirección de correo electrónico de contacto y el número de teléfono de contacto del proveedor de datos de identificación de la persona, para las cuestiones relacionadas con los datos de identificación de la persona que proporciona;

f)

cuando proceda, la URL de la página web que contenga información adicional sobre el proveedor de datos de identificación de la persona;

g)

la URL de la página web que contenga las políticas y las condiciones que el proveedor de datos de identificación de la persona aplica al suministro y la utilización de los datos de identificación de la persona que proporciona;

h)

uno o más certificados que cumplan el estándar RFC 3647 del IEFT que puedan utilizarse para verificar la firma o el sello creados por el proveedor de datos de identificación de la persona sobre los datos de identificación de la persona que proporciona, y en los que entre los datos de identidad certificados figuren el nombre y, cuando proceda, el número de registro del proveedor de datos de identificación de la persona, según lo especificado en las letras (a) y (b), respectivamente.

a)

el nombre del proveedor de certificados de acceso de partes usuarias de la cartera;

b)

cuando proceda, un número de registro del proveedor de certificados de acceso de partes usuarias de la cartera;

c)

el Estado miembro en el que esté establecido el proveedor de certificados de acceso de partes usuarias de la cartera;

d)

el correo electrónico de contacto y el número de teléfono de contacto del proveedor de certificados de acceso de partes usuarias de la cartera, para las cuestiones relacionadas con los certificados de acceso que proporciona a dichas partes;

e)

cuando proceda, la URL de la página web del proveedor de certificados de acceso de partes usuarias de la cartera que contenga información adicional sobre el proveedor y los certificados de acceso que proporciona a las partes usuarias de la cartera;

f)

la URL de la página web que contenga las políticas y condiciones aplicables al suministro y a la utilización de los certificados de acceso que proporciona a las partes usuarias de la cartera;

g)

uno o más certificados que cumplan el estándar RFC 3647 del IEFT que puedan utilizarse para verificar la firma o el sello creados por el proveedor de certificados de acceso de partes usuarias de la cartera sobre el certificado de acceso que proporciona a las partes usuarias de la cartera, acompañados, cuando proceda, de la información necesaria para distinguir los certificados de acceso de partes usuarias de la cartera de otros certificados.