Agencia Estatal Boletín Oficial del Estado

(1)

El Reglamento (UE) n.o 910/2014 crea un marco jurídico para la expedición y la validación de declaraciones electrónicas de atributos, que incluye la obligación de que los prestadores de declaraciones electrónicas de atributos proporcionen a los usuarios de la cartera europea de identidad digital (en lo sucesivo, «cartera») la posibilidad de solicitar, obtener, almacenar y gestionar la declaración electrónica de atributos con independencia del Estado miembro en el que se proporcionen las carteras. Las declaraciones electrónicas de atributos son componentes cruciales para el establecimiento de un ecosistema de cartera europea de identidad digital (en lo sucesivo, «ecosistema de cartera») seguro e interoperable. Permiten a los usuarios compartir información con las partes usuarias de manera fiable en diversos casos de uso.

(2)

Las interfaces con las carteras europeas de identidad digital que deben proporcionar los prestadores de declaraciones electrónicas cualificadas de atributos según lo dispuesto en el artículo 45 octies del Reglamento (UE) n.o 910/2014 subrayan la importancia de las declaraciones electrónicas de atributos para el ecosistema de cartera y facilitan su rápida aceptación.

(3)

La Comisión evalúa periódicamente las nuevas tecnologías, prácticas, normas y especificaciones técnicas. Con el fin de garantizar el máximo nivel de armonización entre los Estados miembros para el desarrollo y la certificación de las carteras, las especificaciones técnicas establecidas en el presente Reglamento se basan en el trabajo realizado con arreglo a la Recomendación (UE) 2021/946 de la Comisión, de 3 de junio de 2021, sobre un conjunto de instrumentos común de la Unión para adoptar un enfoque coordinado de cara a un Marco para una Identidad Digital Europea (2), y en particular la arquitectura y el marco de referencia que forman parte de él. De conformidad con el considerando 75 del Reglamento 2024/1183 del Parlamento Europeo y del Consejo (3), la Comisión debe revisar y, en caso necesario, actualizar el presente Reglamento, para mantenerlo en consonancia con la evolución mundial, la arquitectura y el marco de referencia, y seguir las mejores prácticas en el mercado interior, en particular por lo que respecta a la expedición de declaraciones electrónicas de atributos y al cotejo de atributos con fuentes auténticas o intermediarios designados.

(4)

Cuando los prestadores de declaraciones electrónicas cualificadas de atributos y declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, expidan declaraciones de las que se afirme que cumplen los requisitos de los sistemas para la declaración de atributos registrados en el catálogo, las políticas y los procedimientos para garantizar el cumplimiento de los requisitos de dichos sistemas deben formar parte de la evaluación de la conformidad establecida en el Reglamento (UE) n.o 910/2014.

(5)

La protección frente a la información poco fiable es de gran importancia para la digitalización de las certificaciones. Por consiguiente, deben poder revocarse las declaraciones electrónicas cualificadas de atributos y las declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, o deben aplicarse medidas alternativas que contrarresten los riesgos relacionados con la no revocabilidad. Determinadas circunstancias, como la solicitud explícita de la persona a la que se expidió la declaración electrónica de atributos, o cuando el prestador sepa que se han puesto en peligro la seguridad o la fiabilidad de las declaraciones electrónicas cualificadas de atributos, o cuando así lo exija el Derecho de la Unión o nacional, deben dar lugar a la revocación por parte del prestador de una declaración electrónica de atributos. Para salvaguardar los derechos fundamentales a la privacidad y a la protección de datos del usuario, en particular minimizando adecuadamente los riesgos de vinculación y trazabilidad, los prestadores de declaraciones electrónicas cualificadas de atributos y declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, deben establecer políticas de gestión de la revocación que protejan la privacidad.

(6)

Con objeto de facilitar la cooperación entre los Estados miembros y la creación de un ecosistema de identidad digital seguro e interoperable, que incluya el reconocimiento y la interoperabilidad transfronterizos de las declaraciones electrónicas cualificadas de atributos y las declaraciones electrónicas de atributos proporcionadas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, deben establecerse procedimientos simplificados de comunicación administrativa entre las partes interesadas pertinentes, que incluyan la publicación de información para identificar con rapidez a los organismos del sector público pertinentes. Los Estados miembros deben notificar a la Comisión los atributos pertinentes. Por lo tanto, para garantizar la verificación oportuna, eficiente e interoperable de estos atributos, las notificaciones pertinentes a la Comisión deben estar al menos en inglés, ya que esto facilita su amplia accesibilidad, evaluación y comprensión y, al mismo tiempo, refuerza la cooperación entre las partes interesadas pertinentes. No obstante, la traducción de la documentación ya existente no debe generar cargas administrativas o financieras excesivas.

(7)

Para que los usuarios y los prestadores de servicios puedan verificar que las declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, han sido efectivamente expedidas por ese organismo del sector público o en su nombre, es preciso que los Estados miembros notifiquen dichos organismos del sector público a la Comisión. Al notificar los organismos del sector público que expiden declaraciones electrónicas de atributos de conformidad con el artículo 45 septies y el anexo VII del Reglamento (UE) n.o 910/2014, los Estados miembros deben presentar un informe de evaluación de la conformidad que confirme un nivel de fiabilidad equivalente al de los prestadores cualificados de servicios de confianza. Sin embargo, a diferencia de los prestadores cualificados de servicios de confianza que expiden declaraciones electrónicas cualificadas de atributos, en lo que respecta a estos organismos del sector público, corresponde a los Estados miembros decidir cómo garantizar que los prestadores cumplan los requisitos con el paso del tiempo. Por consiguiente, a fin de mantener un alto nivel de confianza en las declaraciones del sector público en toda la Unión, se anima a los Estados miembros a poner en común sus mejores prácticas sobre cómo garantizar la fiabilidad continua a través del Grupo de Cooperación sobre la Identidad Digital Europea, creado en virtud del artículo 46 sexies, apartado 1, del Reglamento (UE) n.o 910/2014 (en lo sucesivo, el «Grupo de Cooperación»). La Comisión debe establecer, mantener y publicar una lista de prestadores y asegurarse de que el acceso a ella sea fácil para el público.

(8)

La Comisión debe establecer un catálogo de atributos con la ayuda del Grupo de Cooperación para facilitar el cotejo de atributos con fuentes auténticas por parte de los prestadores cualificados de servicios de confianza que expidan declaraciones electrónicas cualificadas de atributos. El registro en el catálogo de atributos debe ser obligatorio para los atributos enumerados en el anexo VI del Reglamento (UE) n.o 910/2014. Para los demás atributos, el registro sería opcional.

(9)

La Comisión debe establecer un catálogo de sistemas para la declaración de atributos, con la asistencia del Grupo de Cooperación, a fin de facilitar la expedición de declaraciones por prestadores cualificados de servicios de confianza que expidan declaraciones electrónicas cualificadas de atributos y prestadores de declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, y para facilitar la armonización y la interoperabilidad transfronteriza de estas declaraciones. El registro de sistemas en el catálogo de sistemas debe ser opcional. Las solicitudes de registro en el catálogo o de introducción de cambios en él deben ser presentadas por el titular del sistema para la declaración de atributos y pueden incluir atributos que no figuren en el catálogo de atributos. La Comisión debe evaluar esas solicitudes teniendo en cuenta las necesidades de interoperabilidad y armonización.

(10)

Para garantizar que el catálogo de atributos proporcione información significativa y alcance un alto nivel de interoperabilidad dentro del ecosistema de la declaración electrónica de atributos, debe proporcionar al menos unos elementos mínimos de información, como una descripción semántica del atributo, el espacio de nombres de su identificador y el tipo de datos del atributo. Con el mismo fin, el catálogo de sistemas para la declaración de atributos debe contener descripciones de tipos comunes de declaraciones electrónicas de atributos y una descripción del modelo de confianza y los mecanismos de gobernanza aplicados en el marco del sistema de declaración. La información contenida en los catálogos debe incluir las versiones de los atributos y sistemas, de modo que las declaraciones expedidas con arreglo a versiones específicas no se vean afectadas por los cambios en esos atributos y sistemas.

(11)

Para garantizar la eficacia del cotejo de atributos con fuentes auténticas por los prestadores cualificados de servicios de confianza que expiden declaraciones electrónicas cualificadas de atributos, también a través de intermediarios designados que proporcionen mecanismos de cotejo indirectos a los prestadores de servicios, los Estados miembros deben implantar, dentro del plazo establecido en el artículo 45 sexies, apartado 1, del Reglamento (UE) n.o 910/2014, mecanismos que permitan a los prestadores cualificados de servicios de confianza que expiden declaraciones electrónicas cualificadas de atributos solicitar el cotejo de atributos. Dichos mecanismos deben permitir a los prestadores cualificados de servicios de confianza que expiden declaraciones electrónicas cualificadas de atributos determinar qué atributos pueden cotejarse y cómo cotejarlos. Asimismo, deben incluir información detallada sobre los puntos de acceso y los protocolos de servicio para comprobar la validez y la exactitud de los atributos y deben contemplar la posibilidad de ofrecer un único punto de verificación a nivel nacional.

(12)

Más concretamente, los Estados miembros deben poner a disposición de los prestadores cualificados de servicios de confianza que expidan declaraciones electrónicas cualificadas de atributos los mecanismos para acceder a puntos de verificación para cada uno de los atributos enumerados en el anexo VI de dicho Reglamento (UE) n.o 910/2014, a nivel nacional, y para utilizarlos. Estos mecanismos deben permitir a los prestadores cualificados de servicios de confianza que expidan declaraciones electrónicas cualificadas de atributos presentar, a petición del usuario, atributos específicos a un punto de verificación para la expedición de la declaración y durante su vida útil. Los mecanismos de verificación deben utilizar medios electrónicos adecuados para el tratamiento automático y para que se obtengan lo antes posible las respuestas del punto de verificación. Estas respuestas deben confirmar si los atributos presentados por los prestadores cualificados de servicios de confianza que expiden declaraciones electrónicas cualificadas de atributos corresponden a los atributos almacenados en relación con dicho usuario en la fuente auténtica pertinente y deben especificar la fuente auténtica con la que se llevó a cabo el cotejo. Para evitar conductas indebidas, como solicitudes de verificación ilegales o manifiestamente excesivas, los Estados miembros podrán imponer mecanismos de control al uso de los puntos de verificación, cuando lo consideren oportuno teniendo en cuenta los factores pertinentes, en particular si las fuentes auténticas contienen información asimilable a datos personales o de carácter confidencial o sensible en virtud del Derecho de la Unión o nacional.

(13)

De conformidad con los principios establecidos por el Reglamento sobre la Europa Interoperable (4), a fin de facilitar el establecimiento del catálogo de atributos y el catálogo de sistemas para la declaración de atributos, así como la reutilización, en la medida de lo posible, de los catálogos, los sistemas y la información existentes, la Comisión debe aprovechar, cuando proceda, las sinergias con los servicios comunes del sistema técnico con arreglo al Reglamento (UE) 2018/1724 del Parlamento y del Consejo, relativo a la creación de una pasarela digital única y por el que se modifica el Reglamento (UE) n.o 1024/2012 (5).

(14)

Con el fin de mejorar la interoperabilidad de las declaraciones electrónicas de atributos expedidas por prestadores no cualificados de servicios de confianza, los emisores de declaraciones podrán seguir los principios y requisitos establecidos en el presente Reglamento por lo que respecta a las declaraciones electrónicas no cualificadas de atributos.

(15)

El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (6) y, en su caso, la Directiva 2002/58/CE del Parlamento Europeo y del Consejo (7) son aplicables a las actividades de tratamiento de datos personales en virtud del presente Reglamento.

(16)

Con el objetivo de proporcionar a la Comisión y a los Estados miembros tiempo suficiente para establecer la lista de prestadores de declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, los requisitos del presente Reglamento relativos al catálogo de atributos, al catálogo de sistemas para la declaración de atributos y a los puntos de verificación de atributos deben empezar a ser aplicables doce meses después de la fecha de entrada en vigor del presente Reglamento.

(17)

El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (8), emitió su dictamen el 31 de enero de 2025.

(18)

Las medidas previstas en el presente Reglamento se ajustan al dictamen del comité establecido por el artículo 48 del Reglamento (UE) n.o 910/2014,

1)

las declaraciones electrónicas cualificadas de atributos;

2)

las declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este;

3)

la lista de prestadores de declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este;

4)

el catálogo de atributos y el catálogo de sistemas para la declaración de atributos a que se refieren los puntos 1) y 2);

5)

el cotejo de atributos por referencia a fuentes auténticas o a intermediarios designados.

1)

«unidad de cartera»: configuración única de una solución de cartera que incluye instancias de cartera, aplicaciones criptográficas seguras de cartera y dispositivos criptográficos seguros de cartera proporcionados por un proveedor de carteras a un usuario particular de una cartera;

2)

«usuario de una cartera»: usuario que tiene el control sobre la unidad de cartera;

3)

«catálogo de atributos»: repositorio digital de atributos que la Comisión mantiene y publica en línea;

4)

«sistema para la declaración de atributos»: conjunto de normas aplicables a uno o varios tipos de declaraciones electrónicas de atributos;

5)

«tipo de declaración electrónica de atributos»: grupo de declaraciones electrónicas de atributos designado específicamente y descrito semánticamente;

6)

«catálogo de sistemas para la declaración de atributos»: repositorio digital en el que se enumeran los sistemas para la declaración de atributos registrados de conformidad con el presente Reglamento y que la Comisión mantiene [y publica en línea];

7)

«solución de cartera»: combinación de software, hardware, servicios, ajustes y configuraciones, que incluye instancias de cartera, una o más aplicaciones criptográficas seguras de cartera y uno o más dispositivos criptográficos seguros de cartera;

8)

«instancia de cartera»: aplicación instalada y configurada en el dispositivo o el entorno de un usuario de una cartera, que forma parte de una unidad de cartera y que el usuario de una cartera utiliza para interactuar con la unidad de cartera;

9)

«aplicación criptográfica segura de cartera»: aplicación que gestiona activos críticos al estar vinculada a las funciones criptográficas y no criptográficas proporcionadas por el dispositivo criptográfico seguro de cartera y utilizarlas;

10)

«dispositivo criptográfico seguro de cartera»: dispositivo resistente a las manipulaciones fraudulentas que proporciona un entorno vinculado a la aplicación criptográfica segura de cartera y utilizado por esta para proteger activos críticos y proporcionar funciones criptográficas para la ejecución segura de operaciones críticas;

11)

«proveedor de cartera»: persona física o jurídica que proporciona soluciones de cartera;

12)

«activos críticos»: activos contenidos en una unidad de cartera o relacionados con ella, de tan extraordinaria importancia que si su disponibilidad, confidencialidad o integridad se vieran comprometidas, el efecto sobre la capacidad para utilizar la unidad de cartera sería muy grave y debilitante;

13)

«propietario de un sistema para la declaración de atributos»: entidad responsable de establecer y mantener un sistema para la declaración de atributos.

a)

cuando lo solicite expresamente la persona a la que se haya expedido la declaración electrónica de atributos o, cuando proceda, el sujeto de la declaración;

b)

cuando el prestador sepa que se ha puesto en peligro la seguridad o la fiabilidad de las declaraciones electrónicas cualificadas de atributos o de las declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este;

c)

en otras situaciones en que lo exija el Derecho de la Unión o nacional, o determinadas por los prestadores en sus políticas a que se refiere el apartado 1.

a)

en forma tanto firmada electrónicamente como sellada electrónicamente adecuada para el tratamiento automatizado y a través de un sitio web legible por el ser humano;

b)

sin necesidad de registrarse ni autenticarse;

c)

únicamente utilizando seguridad de la capa de transporte de última generación.

a)

las especificaciones técnicas de la lista;

b)

la información relativa a la URL en la que esté publicada la lista;

c)

los certificados que vayan a utilizarse para verificar la firma electrónica o el sello electrónico en la lista;

d)

la información relativa a los mecanismos utilizados para validar futuros cambios en la ubicación o los certificados a que se refieren las letras b) y c).

a)

la identificación de la entidad que presenta la solicitud;

b)

cuando proceda, una referencia al Derecho de la Unión o nacional o a las prácticas administrativas con arreglo a los cuales la entidad que presenta la solicitud se considera una fuente principal de información o una fuente auténtica reconocida;

c)

si la solicitud se refiere a un atributo ya existente en el catálogo o es un atributo nuevo;

d)

un espacio de nombres para el identificador de los atributos, cuyo valor es único en el catálogo de atributos;

e)

un identificador del atributo, único dentro del espacio de nombres, y la versión del atributo;

f)

la descripción semántica del atributo;

g)

el tipo de datos del atributo;

h)

el punto de verificación del atributo a nivel nacional o un enlace a una descripción sobre cómo poner en marcha las solicitudes de verificación.

a)

el nombre del sistema, elegido por el propietario del sistema para la declaración de atributos y único en el catálogo de sistemas para la declaración de atributos;

b)

el nombre y la información de contacto del propietario del sistema para la declaración de atributos;

c)

el estado y la versión del sistema;

d)

una referencia a leyes, normas o directrices específicas, cuando estén sujetas a ellas la expedición, la validación o la utilización de una declaración electrónica de atributos en el ámbito de aplicación del sistema;

e)

el formato o los formatos de la declaración electrónica de atributos en el ámbito del sistema;

f)

uno o varios espacios de nombres, identificadores de atributos, descripciones semánticas y tipos de datos de cada atributo que forme parte de una declaración electrónica de atributos en el ámbito del sistema, ya sea por referencia a un atributo del catálogo de atributos del artículo 7, o a un atributo definido de manera análoga en el ámbito del sistema;

g)

una descripción del modelo de confianza y de los mecanismos de gobernanza aplicados en el marco del sistema, incluidos los mecanismos de revocación;

h)

cualquier requisito relativo a los prestadores de las declaraciones electrónicas de atributos o a las fuentes de información a las que dichos prestadores recurran cuando expiden declaraciones electrónicas de atributos, incluidas las fuentes auténticas, si procede;

i)

una explicación de si las declaraciones electrónicas de atributos incluidas en el ámbito del sistema deben expedirse como declaraciones electrónicas cualificadas de atributos, como declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, o como ambas cosas.

1)

Los prestadores de declaraciones electrónicas cualificadas de atributos y los prestadores de declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, expedirán sus declaraciones en un formato conforme con una de las normas enumeradas en el anexo II del Reglamento de Ejecución (UE) 2024/2979 de la Comisión (1).

2)

Para la expedición de declaraciones a personas físicas o jurídicas, los prestadores de declaraciones electrónicas cualificadas de atributos y los prestadores de declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este:

3)

Además, cuando la declaración se expida a una cartera europea de identidad digital, el prestador de la declaración:

1)

el nombre del organismo del sector público y, cuando proceda, el número de registro tal y como figure en los registros oficiales; el Estado miembro en el que el organismo del sector público esté establecido; el Derecho de la Unión o nacional de conformidad con el cual el organismo del sector público esté establecido como responsable de la fuente auténtica con arreglo a la cual se expide la declaración electrónica de atributos o esté designado para actuar en nombre del organismo del sector público responsable de la fuente auténtica;

2)

el correo electrónico y el número de teléfono de contacto del organismo del sector público;

3)

la URL de la página web en la que obtener información adicional sobre el organismo del sector público;

4)

el informe de evaluación de la conformidad, tal como se especifica en el artículo 45 septies, apartado 3, del Reglamento (UE) n.o 910/2014.