Agencia Estatal Boletín Oficial del Estado

(1)

A efectos del registro de las partes usuarias que tengan previsto utilizar carteras europeas de identidad digital (en lo sucesivo, «carteras») para prestar servicios públicos o privados digitales, tal como lo exige el Reglamento (UE) n.o 910/2014, los Estados miembros deben establecer y mantener registros nacionales de las partes usuarias de las carteras establecidas en su territorio.

(2)

La Comisión evalúa periódicamente las nuevas tecnologías, prácticas, normas y especificaciones técnicas. Con el fin de garantizar el máximo nivel de armonización entre los Estados miembros para el desarrollo y la certificación de las carteras, las especificaciones técnicas establecidas en el presente Reglamento se basan en el trabajo realizado en virtud de la Recomendación (UE) 2021/946 de la Comisión (2) y en particular la arquitectura y el marco de referencia que forman parte de él. De conformidad con el considerando 75 del Reglamento (UE) 2024/1183 del Parlamento Europeo y del Consejo (3), la Comisión debe revisar y, en caso necesario, actualizar el presente Reglamento, para mantenerlo en consonancia con la evolución mundial, la arquitectura y el marco de referencia y seguir las mejores prácticas en el mercado interior.

(3)

Para garantizar un amplio acceso a los registros y lograr la interoperabilidad, los Estados miembros deben establecer interfaces legibles tanto por el ser humano como por máquina que cumplan las especificaciones técnicas establecidas en el presente Reglamento. Es preciso que los proveedores de certificados de acceso de parte usuaria de la cartera y de certificados de registro de parte usuaria de la cartera, cuando se disponga de ellos, puedan utilizar también estas interfaces para la expedición de dichos certificados.

(4)

Dado que las políticas de registro proporcionan a las partes usuarias de las carteras una orientación clara sobre el proceso de registro, los Estados miembros deben establecer y publicar las políticas de registro aplicables a los registros nacionales establecidos en su territorio.

(5)

La finalidad del registro de las partes usuarias de las carteras es generar confianza en el uso de las carteras gracias a una mayor transparencia. Por consiguiente, los Estados miembros deben poner a disposición del público la información pertinente de manera legible tanto por el ser humano como por máquina. A tal fin, las partes usuarias de las carteras deben facilitar la información necesaria, incluida la relativa a su habilitación o habilitaciones, a los registros nacionales.

(6)

Además, para mayor transparencia, las partes usuarias de las carteras deben declarar si tienen intención de recurrir a la identificación electrónica de personas físicas.

(7)

Para garantizar que el proceso de registro sea eficaz en relación con los costes y proporcionado al riesgo, los registradores deben establecer procesos de registro en línea y, cuando proceda, automatizados que sean fáciles de utilizar para las partes usuarias de las carteras. Es preciso que los registradores verifiquen las solicitudes de registro sin demora indebida.

(8)

Los Estados miembros deben garantizar que las carteras puedan autenticar a las partes usuarias de las carteras, con independencia del lugar de la Unión en el que estén establecidas. Para ello, las partes usuarias de las carteras deben utilizar certificados de acceso de parte usuaria de la cartera cuando se identifiquen en unidades de cartera. A fin de garantizar la interoperabilidad de esos certificados entre todas las carteras proporcionadas dentro de la Unión, los certificados de acceso de parte usuaria de la cartera deben ajustarse a unos requisitos comunes establecidos en el anexo. La Comisión debe elaborar políticas de certificación y declaraciones de prácticas de certificación armonizadas que deben aplicar los Estados miembros. La Comisión, en colaboración con los Estados miembros, debe supervisar de cerca la elaboración de normas nuevas o alternativas que puedan servir de base para implementar los certificados de acceso de las partes usuarias. En particular, deben evaluarse los modelos de confianza cuya eficacia y seguridad hayan quedado comprobadas en los Estados miembros.

(9)

Tal como se establece en el Reglamento (UE) n.o 910/2014, las partes usuarias de las carteras no deben solicitar a los usuarios que faciliten otros datos que no sean los indicados para el uso previsto de las carteras durante el proceso de registro. Es preciso que los usuarios de una cartera puedan verificar los datos de registro de las partes usuarias de la cartera. Para que los usuarios de una cartera puedan verificar que los atributos solicitados por la parte usuaria de la cartera entran en el ámbito de sus atributos registrados, los Estados miembros pueden exigir que se expidan certificados de registro de parte usuaria de la cartera a las partes usuarias registradas. A fin de garantizar la interoperabilidad de los certificados de registro de parte usuaria de la cartera, los Estados miembros deben garantizar que dichos certificados cumplan los requisitos y las normas establecidos en el anexo. En particular, las partes usuarias de las carteras deben declarar si tienen intención de recurrir a la identificación electrónica de personas físicas para cumplir alguno de los requisitos establecidos en el artículo 6, apartado 1, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (4) con fines de transparencia. Además, las partes usuarias no deben rechazar el uso de seudónimos, cuando el Derecho de la Unión o nacional no exija la identificación del usuario.

(10)

A fin de proteger a los usuarios contra la divulgación excesiva de información a las partes usuarias de las carteras y de advertirles en tales casos, los Estados miembros deben incluir en sus políticas de certificación medidas comunes de acceso que permitan a una solución de cartera informar al usuario de una cartera siempre que una parte usuaria de la cartera solicite más información que aquella para la que se ha registrado o para la que ha sido autorizada a acceder.

(11)

Para proteger a los usuarios de una cartera, es preciso que los registradores puedan suspender o cancelar sin previo aviso el registro de cualquier parte usuaria de una cartera cuando tengan motivos para creer que el registro contiene información inexacta, obsoleta o engañosa, que la parte usuaria de la cartera no cumple la política de registro, o que la parte usuaria de la cartera está infringiendo el Derecho de la Unión o nacional o la Declaración Europea sobre los Derechos y Principios Digitales para la Década Digital (5) de algún otro modo que guarde relación con su función como parte usuaria de la cartera, por ejemplo, si no ha minimizado debidamente el conjunto de atributos a los que solicita acceso. Para preservar la estabilidad del ecosistema de la cartera europea de identidad digital (el «ecosistema de la cartera»), la decisión de suspender o cancelar un registro debe ser proporcional a la perturbación del servicio causada por la suspensión o la cancelación y a los costes e inconvenientes conexos para el prestador de servicios y el usuario. De conformidad con el artículo 46 bis, apartado 4, letra f), del Reglamento (UE) n.o 910/2014, los organismos de supervisión también deben estar facultados para suspender y cancelar el registro en caso necesario.

(12)

A efectos de la supervisión posterior, de las investigaciones llevadas a cabo por las autoridades policiales y judiciales y de la tramitación de litigios, los registradores deben conservar durante diez años registros de toda la información facilitada por las partes usuarias de las carteras establecidas en su registro nacional.

(13)

El Reglamento (UE) 2016/679 y, en su caso, la Directiva 2002/58/CE del Parlamento Europeo y del Consejo (6) son aplicables a las actividades de tratamiento de datos personales en virtud del presente Reglamento.

(14)

(15)

El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (7), emitió su dictamen el 31 de enero de 2025.

Las medidas previstas en el presente Reglamento se ajustan al dictamen del comité establecido por el artículo 48 del Reglamento (UE) n.o 910/2014.

1)

«parte usuaria de la cartera»: parte que tiene la intención de utilizar unidades de cartera para la prestación de servicios públicos o privados mediante interacción digital;

2)

«unidad de cartera»: configuración única de una solución de cartera que incluye instancias de cartera, aplicaciones criptográficas seguras de cartera y dispositivos criptográficos seguros de cartera proporcionados por un proveedor de carteras a un usuario particular de una cartera;

3)

«solución de cartera»: combinación de software, hardware, servicios, ajustes y configuraciones, que incluye instancias de cartera, una o más aplicaciones criptográficas seguras de cartera y uno o más dispositivos criptográficos seguros de cartera;

4)

«instancia de cartera»: aplicación instalada y configurada en el dispositivo o el entorno de un usuario de una cartera, que forma parte de una unidad de cartera y que el usuario de la cartera utiliza para interactuar con la unidad de cartera;

5)

«aplicación criptográfica segura de cartera»: aplicación que gestiona activos críticos al estar vinculada a las funciones criptográficas y no criptográficas proporcionadas por el dispositivo criptográfico seguro de cartera y utilizarlas;

6)

«dispositivo criptográfico seguro de cartera»: dispositivo resistente a las manipulaciones fraudulentas que proporciona un entorno vinculado a la aplicación criptográfica segura de cartera y utilizado por esta para proteger activos críticos y proporcionar funciones criptográficas para la ejecución segura de operaciones críticas;

7)

«activos críticos»: activos contenidos en una unidad de cartera o relacionados con ella, de tan extraordinaria importancia que, si su disponibilidad, confidencialidad o integridad se vieran comprometidas, el efecto sobre la capacidad para utilizar la unidad de cartera sería muy grave y debilitante;

8)

«proveedor de cartera»: persona física o jurídica que proporciona soluciones de cartera;

9)

«usuario de una cartera»: usuario que tiene el control sobre la unidad de cartera;

10)

«registro nacional de partes usuarias de las carteras»: registro electrónico nacional utilizado por un Estado miembro para poner a disposición del público la información sobre las partes usuarias de las carteras que están registradas en dicho Estado miembro, tal como se establece en el artículo 5 ter, apartado 5, del Reglamento (UE) n.o 910/2014;

11)

«proveedor de certificados de acceso de parte usuaria de la cartera»: persona física o jurídica a la que un Estado miembro ha encomendado expedir certificados de acceso de parte usuaria de la cartera a las partes usuarias de las carteras registradas en ese Estado miembro;

12)

«certificado de acceso de parte usuaria de la cartera»: certificado para sellos o firmas electrónicos, expedido por un proveedor de certificados de acceso de parte usuaria de la cartera, que autentica y valida a la parte usuaria de la cartera;

13)

«proveedor de datos de identificación de la persona»: persona física o jurídica responsable de la expedición y la revocación de los datos de identificación de la persona y de garantizar que los datos de identificación de la persona de un usuario estén vinculados criptográficamente a una unidad de cartera;

14)

«registrador de partes usuarias de las carteras»: el organismo, designado por un Estado miembro, responsable de establecer y mantener la lista de las partes usuarias de las carteras registradas establecidas en su territorio;

15)

«certificado de registro de parte usuaria de la cartera»: objeto de datos que describe el uso previsto de la parte usuaria e indica los atributos que la parte usuaria ha registrado con el propósito de solicitárselos a los usuarios;

16)

«proveedor de certificados de registro de parte usuaria de la cartera»: persona física o jurídica a la que un Estado miembro ha encomendado expedir certificados de registro de parte usuaria de la cartera a las partes usuarias de las carteras registradas en ese Estado miembro.

a)

los procedimientos de identificación y autenticación aplicables a las partes usuarias de las carteras durante el proceso de registro;

b)

la documentación justificativa requerida, relativa a la identidad, el registro mercantil, la habilitación o las habilitaciones aplicables y otra información pertinente sobre la parte usuaria de la cartera;

c)

las fuentes auténticas u otros registros electrónicos oficiales y en qué casos se puede recurrir a dichas fuentes o registros para obtener datos exactos;

d)

cualquier otra información o prueba necesaria como parte del proceso de registro;

e)

cuando proceda, los medios automatizados disponibles para que las partes usuarias de las carteras puedan registrarse o para actualizar un registro existente;

f)

el mecanismo de recurso de que disponen las partes usuarias de las carteras en virtud de la legislación y los procedimientos del Estado miembro en el que esté establecido el registro nacional;

g)

las normas y los procedimientos para la verificación de la identidad de las partes usuarias de las carteras registradas y de cualquier otra información pertinente facilitada por dichas partes.

a)

la exactitud, la validez, la autenticidad y la integridad de la información exigida en virtud del artículo 5;

b)

cuando proceda, el poder de representación de los representantes de las partes usuarias de las carteras redactado y presentado de conformidad con la legislación y los procedimientos del Estado miembro en el que esté establecido el registro nacional;

c)

el tipo de habilitación o habilitaciones de las partes usuarias de las carteras, tal como se establece en el anexo I;

d)

la ausencia de inscripción en otro registro nacional.

a)

exigirá a los proveedores de certificados de registro de parte usuaria de la cartera que expidan estos certificados de registro exclusivamente a las partes usuarias de las carteras registradas;

b)

se asegurará que cada uso previsto esté explicitado en los certificados de registro de parte usuaria de la cartera;

c)

se asegurará de que los certificados de registro de parte usuaria de la cartera incluyan una política general de acceso, armonizada sintáctica y semánticamente en toda la Unión, que informe a los usuarios de que la parte usuaria de la cartera solo está autorizada a solicitar los datos especificados en los certificados de registro para el uso previsto registrado en ellos;

d)

se asegurará de que los proveedores de soluciones de cartera establecidos en ese Estado miembro cumplan la política general de acceso informando a los usuarios cuando una parte usuaria de cartera solicite datos que no estén especificados en los certificados de registro;

e)

implementará los certificados de registro de parte usuaria de la cartera de manera armonizada sintáctica y semánticamente y en consonancia con los requisitos establecidos en el anexo V;

f)

aplicará políticas de certificación y declaraciones de prácticas de certificación específicas para los certificados de registro de parte usuaria de la cartera, de conformidad con los requisitos establecidos en el anexo V;

g)

se asegurará de que las partes usuarias de las carteras proporcionen una URL a la política de privacidad en relación con el uso previsto.

a)

el registro contiene información inexacta, obsoleta o engañosa;

b)

la parte usuaria de la cartera no cumple la política de registro;

c)

la parte usuaria de la cartera solicita más atributos de los que ha registrado de conformidad con el artículo 5 y el artículo 6;

d)

la parte usuaria de la cartera está infringiendo el Derecho de la Unión o nacional de algún otro modo que guarde relación con su función como parte usuaria de la cartera.

1.

Cuando proceda, el nombre de la parte usuaria de la cartera, como figure en un registro oficial, junto con los datos de identificación de dicho registro oficial.

2.

Cuando proceda, un nombre fácil de usar de la parte usuaria de la cartera, que puede ser un nombre comercial o un nombre de servicio reconocible para el usuario.

3.

Cuando proceda, uno o varios identificadores de la parte usuaria de la cartera, tal y como figuren en un registro oficial, junto con los datos de identificación de dicho registro oficial, expresados como:

4.

La dirección física en la que está establecida la parte usuaria de la cartera.

5.

Cuando proceda, un localizador uniforme de recursos («URL») perteneciente a la parte usuaria de la cartera.

6.

Cuando el identificador se exprese de conformidad con el punto 3, letras (a), (d), (f) o (h), el indicador de país del Estado miembro en el que la parte usuaria de la cartera esté establecida estará fijado previamente utilizando los códigos de país alfa-2 especificados en la norma ISO 3166-1, con excepción del indicador de país para Grecia, que será «EL».

7.

Información de contacto de la parte usuaria de la cartera, indicando al menos uno de los siguientes datos:

8.

Una descripción del tipo de servicios prestados por la parte usuaria de la cartera.

9.

Para cada uso previsto, una lista de los datos, incluidas las declaraciones y los atributos, que la parte usuaria tiene intención de solicitar, un nombre fácil de usar y un nombre técnico, el tipo de declaración y cualquier otra sintaxis en la que se agrupen los datos, en un formato legible por máquina para el tratamiento automatizado.

10.

Para cada uso previsto, una descripción del uso previsto de los datos que la parte usuaria de la cartera tiene intención de solicitar a las unidades de cartera.

11.

Una indicación de si la parte usuaria de la cartera es un organismo del sector público.

12.

La habilitación o las habilitaciones de la parte usuaria de la cartera, expresadas de la siguiente manera:

13.

Por lo que respecta al punto 12, letra (c), los Estados miembros podrán conceder otras subcategorías de habilitaciones para exponer qué declaraciones expedirá determinado emisor no cualificado de declaraciones electrónicas de atributos.

14.

Cuando proceda, una indicación de que la parte usuaria de la cartera confía en un intermediario que actúa en nombre de la parte usuaria que tiene intención de utilizar la cartera.

15.

Cuando proceda, un enlace de asociación con el intermediario en el que confía la parte usuaria de la cartera que actúa en nombre de la parte usuaria que tiene intención de utilizar la cartera.

—

JavaScript Object Notation («JSON»);

—

7515 IETF para firmas web JSON.

1)

La API común única:

2)

Las menciones a que se refiere la letra (c) se expresarán en forma de archivos JSON firmados o sellados electrónicamente, cuyo formato y estructura se ajusten a los requisitos sobre firmas o sellos electrónicos establecidos en la sección 1.

1.

La verificación de que una parte usuaria de la cartera es un proveedor de declaraciones electrónicas cualificadas de atributos, un proveedor de certificados cualificados para firmas electrónicas o sellos electrónicos, o un prestador de un servicio de confianza cualificado para la gestión de dispositivos cualificados de creación de firma o sello electrónicos a distancia se basará en las listas de confianza nacionales publicadas de conformidad con el artículo 22 del Reglamento (UE) n.o 910/2014.

2.

La verificación de que una parte usuaria de la cartera es un proveedor de declaraciones electrónicas no cualificadas de atributos o un proveedor de creación a distancia de firmas electrónicas o sellos electrónicos como servicio de confianza no cualificado se basará, cuando proceda, en las listas de confianza nacionales publicadas de conformidad con el artículo 22 del Reglamento (UE) n.o 910/2014, o, en el caso de los prestadores de servicios de confianza no cualificados que no estén registrados en las listas de confianza nacionales, en los procedimientos de verificación que los Estados miembros hayan establecido en sus políticas de registro conforme a lo dispuesto en el artículo 4.

3.

La verificación de que una parte usuaria de la cartera es un proveedor de datos de identificación de la persona se basará en la lista de proveedores de datos de identificación de la persona publicada por la Comisión de conformidad con el artículo 5 bis, apartado 18, del Reglamento (UE) n.o 910/2014.

4.

La verificación de que una parte usuaria de la cartera es un proveedor de declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica o en nombre de este se basará en la lista publicada por la Comisión de conformidad con el artículo 45 septies, apartado 3, del Reglamento (UE) n.o 910/2014.

1.

La política de certificación del acceso de parte usuaria de la cartera aplicable al suministro de certificados de acceso de parte usuaria de la cartera describirá los requisitos de seguridad aplicables a un certificado de acceso de parte usuaria de la cartera y las normas de aplicabilidad de dicho certificado, de modo que se puedan expedir estos certificados a las partes usuarias de las carteras y estas puedan utilizarlos en sus interacciones con soluciones de cartera.

2.

La declaración de prácticas de certificación del acceso de parte usuaria de la cartera aplicable al suministro de certificados de acceso de parte usuaria de la cartera describirá las prácticas que emplea un proveedor de certificados de acceso de parte usuaria de la cartera para la expedición, la gestión, la revocación y el cambio de claves de los certificados de acceso de parte usuaria de la cartera.

3.

La política de certificación y la declaración de prácticas de certificación aplicables al suministro de certificados de acceso de parte usuaria de la cartera estarán sintáctica y semánticamente armonizadas en toda la Unión y, cuando proceda, cumplirán al menos los requisitos de la política de certificación normalizada («NCP») especificados en la norma ETSI EN 319411-1, versión 1.4.1 (2023-10), e incluirán:

4.

La revocación mencionada en el punto 3, letra (g), será efectiva inmediatamente después de su publicación.

5.

La información mencionada en el punto 3, letra (h), deberá proporcionarse al menos por cada certificado en cualquier momento, y al menos con posterioridad al período de validez del certificado, en un formato automatizado que sea fiable, gratuito y efectivo de conformidad con la política de certificación.

1.

La política de certificación del registro de parte usuaria de la cartera aplicable al suministro de certificados de registro de parte usuaria de la cartera describirá los requisitos de seguridad aplicables a un certificado de registro de parte usuaria de la cartera y las normas de aplicabilidad de dicho certificado, para su expedición a las partes usuarias de la cartera y su uso por estas en sus interacciones con soluciones de cartera. La política de certificación del registro de parte usuaria de la cartera se publicará en un formato legible por el ser humano.

2.

La declaración de prácticas de certificación del registro de parte usuaria de la cartera aplicable al suministro de certificados de registro de parte usuaria de la cartera describirá las prácticas que emplea un proveedor de certificados de registro de parte usuaria de la cartera para la expedición, la gestión, la revocación y el cambio de claves de los certificados de registro de parte usuaria de la cartera y, cuando proceda, cómo se relacionan con los certificados de acceso de parte usuaria de la cartera expedidos a partes usuarias de la cartera. La declaración de prácticas de certificación del registro de parte usuaria de la cartera se publicará en un formato legible por el ser humano.

3.

La política de certificación y la declaración de prácticas de certificación del registro de parte usuaria de la cartera aplicables al suministro de certificados de registro de parte usuaria de la cartera estarán sintáctica y semánticamente armonizadas en toda la Unión y cumplirán al menos los requisitos de la política de certificación normalizada («NCP») aplicables especificados en la norma ETSI EN 319411-1, versión 1.4.1 (2023-10), e incluirán:

4.

El formato de intercambio de datos para el certificado de registro de parte usuaria se firmará con JSON Web Tokens (IETF RFC 7519) y CBOR Web Tokens (IETF RFC 8392).

5.

La revocación mencionada en el punto 3, letra (g), será efectiva inmediatamente después de su publicación.

6.

La información mencionada en el punto 3, letra (h), deberá proporcionarse al menos por cada certificado en cualquier momento, y al menos con posterioridad al período de validez del certificado, en un formato automatizado que sea fiable, gratuito y efectivo de conformidad con la política de certificación.