Nařízení Evropského parlamentu a Rady (EU) č. 910/2014 ze dne 23. července 2014 o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu a o zrušení směrnice 1999/93/ES
EVROPSKÝ PARLAMENT A RADA EVROPSKÉ UNIE,
s ohledem na Smlouvu o fungování Evropské unie, a zejména na článek 114 této smlouvy,
s ohledem na návrh Evropské komise,
po postoupení návrhu legislativního aktu vnitrostátním parlamentům,
s ohledem na stanovisko Evropského hospodářského a sociálního výboru(Úř. věst. C 351, 15.11.2012, s. 73.),
v souladu s řádným legislativním postupem(Postoj Evropského parlamentu ze dne 3. dubna 2014 (dosud nezveřejněný v Úředním věstníku) a rozhodnutí Rady ze dne 23. července 2014.),
vzhledem k těmto důvodům:
KAPITOLA I
OBECNÁ USTANOVENÍ
Článek 1
Předmět
Cílem tohoto nařízení je zajistit řádné fungování vnitřního trhu a poskytování odpovídající úrovně bezpečnosti prostředků pro elektronickou identifikaci a služeb vytvářejících důvěru používaných v celé Unii, aby byl fyzickým a právnickým osobám umožněn a usnadněn výkon práva na bezpečnou účast v digitální společnosti a na přístup k veřejným a soukromým on-line službám v celé Unii. Za těmito účely toto nařízení:
a) stanoví podmínky, za nichž mají členské státy uznávat prostředky pro elektronickou identifikaci fyzických a právnických osob, které spadají do oznámeného systému elektronické identifikace jiného členského státu, a poskytovat a uznávat evropské peněženky digitální identity;
b) stanoví pravidla pro služby vytvářející důvěru, zejména u elektronických transakcí;
c) stanoví právní rámec pro elektronické podpisy, elektronické pečetě, elektronická časová razítka, elektronické dokumenty, služby elektronického doporučeného doručování, certifikační služby pro autentizaci internetových stránek, elektronickou archivaci, elektronické potvrzování atributů, prostředky pro vytváření elektronických podpisů, prostředky pro vytváření elektronických pečetí a pro elektronické knihy záznamů.
Článek 2
Oblast působnosti
1. Toto nařízení se vztahuje na systémy elektronické identifikace oznámené členskými státy, na evropské peněženky digitální identity poskytované členskými státy a na poskytovatele služeb vytvářejících důvěru usazené v Unii.
2. Toto nařízení se nevztahuje na poskytování služeb vytvářejících důvěru, které jsou používány výhradně v rámci uzavřených systémů vyplývajících z vnitrostátního práva nebo z dohod mezi určeným okruhem účastníků.
3. Tímto nařízením nejsou dotčeny právo Unie ani vnitrostátní právo týkající se uzavírání a platnosti smluv, jiné právní nebo procesní povinnosti týkající se formy nebo požadavky pro konkrétní odvětví týkajících se formy.
4. Tímto nařízením není dotčeno nařízení Evropského parlamentu a Rady (EU) 2016/679(Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. L 119, 4.5.2016, s. 1).).
Článek 3
Definice
Pro účely tohoto nařízení se rozumí:
1) „elektronickou identifikací“ postup používání osobních identifikačních údajů v elektronické podobě, které jedinečně identifikují určitou fyzickou či právnickou osobu nebo fyzickou osobu zastupující jinou fyzickou či právnickou osobu;
2) „prostředkem pro elektronickou identifikaci“ hmotná či nehmotná jednotka obsahující osobní identifikační údaje, která se používá k autentizaci pro účely on-line služby nebo případně off-line služby;
3) „osobními identifikačními údaji“ soubor údajů vydaných v souladu s právem Unie nebo vnitrostátním právem a umožňujících určit totožnost fyzické či právnické osoby nebo fyzické osoby zastupující jinou fyzickou či právnickou osobu;
4) „systémem elektronické identifikace“ systém pro elektronickou identifikaci, na jehož základě jsou fyzickým či právnickým osobám nebo fyzickým osobám zastupujícím jiné fyzické či právnické osoby vydávány prostředky pro elektronickou identifikaci;
5) „autentizací“ elektronický postup, který umožňuje potvrdit elektronickou identifikaci fyzické či právnické osoby nebo původ a integritu dat v elektronické podobě;
5a) „uživatelem“ fyzická či právnická osoba nebo fyzická osoba zastupující jinou fyzickou či právnickou osobu, které využívají služeb vytvářejících důvěru nebo prostředků pro elektronickou identifikaci poskytovaných v souladu s tímto nařízením;
6) „spoléhající se stranou“ fyzická nebo právnická osoba, které se spoléhají na elektronickou identifikaci, evropské peněženky digitální identity nebo jiné prostředky pro elektronickou identifikaci nebo na službu vytvářející důvěru;
7) „subjektem veřejného sektoru“ státní, regionální nebo místní orgán, veřejnoprávní subjekt, sdružení vytvořené jedním nebo několika takovými orgány nebo jedním nebo několika takovými veřejnoprávními subjekty nebo soukromý subjekt, který byl alespoň jedním z těchto orgánů, subjektů nebo sdružení pověřen poskytovat veřejné služby, jedná-li na základě tohoto pověření;
8) „veřejnoprávním subjektem“ subjekt vymezený v čl. 2 odst. 1 bodě 4 směrnice Evropského parlamentu a Rady 2014/24/EU(Směrnice Evropského parlamentu a Rady 2014/24/EU ze dne 26. února 2014 o zadávání veřejných zakázek a o zrušení směrnice 2004/18/ES (Úř. věst. L 94, 28.3.2014, s. 65).);
9) „podepisující osobou“ fyzická osoba, která vytváří elektronický podpis;
10) „elektronickým podpisem“ data v elektronické podobě, která jsou připojena k jiným datům v elektronické podobě nebo jsou s nimi logicky spojena a která podepisující osoba používá k podepsání;
11) „zaručeným elektronickým podpisem“ elektronický podpis, který splňuje požadavky stanovené v článku 26;
12) „kvalifikovaným elektronickým podpisem“ zaručený elektronický podpis, který je vytvořen kvalifikovaným prostředkem pro vytváření elektronických podpisů a který je založen na kvalifikovaném certifikátu pro elektronické podpisy;
13) „daty pro vytváření elektronických podpisů“ jedinečná data, která podepisující osoba používá k vytváření elektronických podpisů;
14) „certifikátem pro elektronický podpis“ elektronické potvrzení, které spojuje data pro ověřování platnosti elektronických podpisů s určitou fyzickou osobou a potvrzuje alespoň jméno nebo pseudonym této osoby;
15) „kvalifikovaným certifikátem pro elektronický podpis“ certifikát pro elektronický podpis, který je vydán kvalifikovaným poskytovatelem služeb vytvářejících důvěru a splňuje požadavky stanovené v příloze I;
16) „službou vytvářející důvěru“ elektronická služba, která je zpravidla poskytována za úplatu a spočívá:
- a) ve vydávání certifikátů pro elektronické podpisy, certifikátů pro elektronické pečetě, certifikátů pro autentizaci internetových stránek nebo certifikátů pro poskytování jiných služeb vytvářejících důvěru;
- b) v ověřování platnosti certifikátů pro elektronické podpisy, certifikátů pro elektronické pečetě, certifikátů pro autentizaci internetových stránek nebo certifikátů pro poskytování jiných služeb vytvářejících důvěru;
- c) ve vytváření elektronických podpisů nebo elektronických pečetí;
- d) v ověřování platnosti elektronických podpisů nebo elektronických pečetí;
- e) v uchovávání elektronických podpisů, elektronických pečetí, certifikátů pro elektronické podpisy nebo certifikátů pro elektronické pečetě;
- f) ve správě prostředků pro vytváření elektronických podpisů na dálku nebo prostředků pro vytváření elektronických pečetí na dálku;
- g) ve vydávání elektronických potvrzení atributů;
- h) v ověřování platnosti elektronického potvrzení atributů;
- i) ve vytváření elektronických časových razítek;
- j) v ověřování platnosti elektronických časových razítek;
- k) v poskytování služeb elektronického doporučeného doručování;
- l) v ověřování platnosti dat přenášených prostřednictvím služeb elektronického doporučeného doručování a souvisejících důkazů;
- m) v elektronické archivaci elektronických dat a elektronických dokumentů;
- n) v zaznamenávání elektronických dat do elektronické knihy záznamů;
17) „kvalifikovanou službou vytvářející důvěru“ služba vytvářející důvěru, která splňuje použitelné požadavky stanovené v tomto nařízení;
18) „subjektem posuzování shody“ subjekt posuzování shody ve smyslu čl. 2 bodu 13 nařízení (ES) č. 765/2008, který je v souladu s uvedeným nařízením akreditován jako způsobilý provádět posuzování shody kvalifikovaného poskytovatele služeb vytvářejících důvěru a jím poskytovaných kvalifikovaných služeb vytvářejících důvěru nebo jako příslušný k provádění certifikace evropských peněženek digitální identity nebo prostředků pro elektronickou identifikaci;
19) „poskytovatelem služeb vytvářejících důvěru“ fyzická nebo právnická osoba, která poskytuje jednu či více služeb vytvářejících důvěru buď jako kvalifikovaný, nebo jako nekvalifikovaný poskytovatel služeb vytvářejících důvěru;
20) „kvalifikovaným poskytovatelem služeb vytvářejících důvěru“ poskytovatel služeb vytvářejících důvěru, který poskytuje jednu či více kvalifikovaných služeb vytvářejících důvěru a kterému orgán dohledu udělil status kvalifikovaného poskytovatele;
21) „produktem“ technické zařízení nebo programové vybavení či jejich příslušné součásti, které jsou určeny k používání pro poskytování služeb elektronické identifikace a služeb vytvářejících důvěru;
22) „prostředkem pro vytváření elektronických podpisů“ konfigurované programové vybavení nebo technické zařízení, které se používá k vytváření elektronických podpisů;
23) „kvalifikovaným prostředkem pro vytváření elektronických podpisů“ prostředek pro vytváření elektronických podpisů, který splňuje požadavky stanovené v příloze II;
23a) „kvalifikovaným prostředkem pro vytváření elektronických podpisů na dálku“ kvalifikovaný prostředek pro vytváření elektronických podpisů, který jménem podepisující osoby v souladu s článkem 29a spravuje kvalifikovaný poskytovatel služeb vytvářejících důvěru;
23b) „kvalifikovaným prostředkem pro vytváření elektronických pečetí na dálku“ kvalifikovaný prostředek pro vytváření elektronických pečetí, který jménem pečetící osoby spravuje v souladu s článkem 39a kvalifikovaný poskytovatel služeb vytvářejících důvěru;
24) „pečetící osobou“ právnická osoba, která vytváří elektronickou pečeť;
25) „elektronickou pečetí“ data v elektronické podobě, která jsou připojena k jiným datům v elektronické podobě nebo jsou s nimi logicky spojena s cílem zaručit jejich původ a integritu;
26) „zaručenou elektronickou pečetí“ elektronická pečeť, která splňuje požadavky stanovené v článku 36;
27) „kvalifikovanou elektronickou pečetí“ zaručená elektronická pečeť, která je vytvořena pomocí kvalifikovaného prostředku pro vytváření elektronických pečetí a která je založena na kvalifikovaném certifikátu pro elektronickou pečeť;
28) „daty pro vytváření elektronických pečetí“ jedinečná data, která pečetící osoba používá k vytváření elektronických pečetí;
29) „certifikátem pro elektronickou pečeť“ elektronické potvrzení, které spojuje data pro ověřování platnosti elektronických pečetí s určitou právnickou osobou a potvrzuje název této osoby;
30) „kvalifikovaným certifikátem pro elektronickou pečeť“ certifikát pro elektronickou pečeť, který je vydán kvalifikovaným poskytovatelem služeb vytvářejících důvěru a splňuje požadavky stanovené v příloze III;
31) „prostředkem pro vytváření elektronických pečetí“ konfigurované programové vybavení nebo technické zařízení, které se používá k vytváření elektronických pečetí;
32) „kvalifikovaným prostředkem pro vytváření elektronických pečetí“ prostředek pro vytváření elektronických pečetí, který přiměřeně splňuje požadavky stanovené v příloze II;
33) „elektronickým časovým razítkem“ data v elektronické podobě, která spojují jiná data v elektronické podobě s určitým okamžikem a prokazují, že tato jiná data existovala v daném okamžiku;
34) „kvalifikovaným elektronickým časovým razítkem“ elektronické časové razítko, které splňuje požadavky stanovené v článku 42;
35) „elektronickým dokumentem“ jakýkoli obsah uchovávaný v elektronické podobě, zejména jako text nebo zvuková, vizuální nebo audiovizuální nahrávka;
36) „službou elektronického doporučeného doručování“ služba, která umožňuje přenášet data mezi třetími osobami elektronickými prostředky a poskytuje důkazy týkající se nakládání s přenášenými daty, včetně dokladu o odeslání a přijetí dat, a která chrání přenášená data před rizikem ztráty, odcizení, poškození nebo neoprávněných změn;
37) „kvalifikovanou službou elektronického doporučeného doručování“ služba elektronického doporučeného doručování, která splňuje požadavky stanovené v článku 44;
38) „certifikátem pro autentizaci internetových stránek“ elektronické potvrzení, které umožňuje autentizovat internetové stránky a spojuje je s fyzickou nebo právnickou osobou, jimž je certifikát vydán;
39) „kvalifikovaným certifikátem pro autentizaci internetových stránek“ certifikát pro autentizaci internetových stránek, který je vydán kvalifikovaným poskytovatelem služeb vytvářejících důvěru a splňuje požadavky stanovené v příloze IV;
40) „daty pro ověřování platnosti“ data, která se používají k ověření platnosti elektronického podpisu nebo elektronické pečeti;
41) „ověřováním platnosti“ postup ověření a potvrzení, že data v elektronické podobě jsou v souladu s tímto nařízením platná;
42) „evropskou peněženkou digitální identity“ prostředek pro elektronickou identifikaci, který uživateli umožňuje bezpečně ukládat, spravovat a ověřovat osobní identifikační údaje a elektronická potvrzení atributů za účelem jejich poskytnutí spoléhajícím se stranám a dalším uživatelům evropských peněženek digitální identity a podepisovat prostřednictvím kvalifikovaných elektronických podpisů nebo pečetit prostřednictvím kvalifikovaných elektronických pečetí;
43) „atributem“ vlastnost, kvalita, právo nebo povolení fyzické nebo právnické osoby nebo předmětu;
44) „elektronickým potvrzením atributů“ potvrzení v elektronické podobě, které umožňuje autentizaci atributů;
45) „kvalifikovaným elektronickým potvrzením atributů“ elektronické potvrzení atributů, které je vydáno kvalifikovaným poskytovatelem služeb vytvářejících důvěru a splňuje požadavky stanovené v příloze V;
46) „elektronickým potvrzením atributů vydaným subjektem veřejného sektoru odpovědným za autentický zdroj nebo jeho jménem“ elektronické potvrzení atributů, které je vydáno subjektem veřejného sektoru odpovědným za autentický zdroj nebo subjektem veřejného sektoru určeným členským státem k vydávání těchto potvrzení atributů jménem subjektů veřejného sektoru odpovědných za autentické zdroje v souladu s článkem 45f a přílohou VII;
47) „autentickým zdrojem“ úložiště nebo systém, za které odpovídá subjekt veřejného sektoru nebo soukromý subjekt a které obsahují a poskytují atributy fyzické nebo právnické osoby nebo předmětu a jsou považovány za primární zdroj těchto informací nebo jsou v souladu s právem Unie nebo vnitrostátním právem, včetně správní praxe, uznány za autentické;
48) „elektronickou archivací“ služba zajišťující přijímání, uchovávání, zpřístupnění a výmaz elektronických dat a elektronických dokumentů s cílem zajistit jejich trvanlivost a čitelnost, jakož i zachovat jejich integritu, důvěrnost a důkaz původu po celou dobu uchovávání;
49) „kvalifikovanou službou elektronické archivace“ služba elektronické archivace, kterou poskytuje kvalifikovaný poskytovatel služeb vytvářejících důvěru a která splňuje požadavky stanovené v článku 45j;
50) „značkou důvěry EU pro peněženku digitální identity“ ověřitelné, jednoduché a rozpoznatelné označení, které jasným způsobem sděluje, že evropská peněženka digitální identity byla poskytnuta v souladu s tímto nařízením;
51) „silnou autentizací uživatele“ autentizace založená na použití nejméně dvou navzájem nezávislých autentizačních faktorů z různých kategorií, kterými může být znalost, tedy něco, co ví pouze uživatel, držení, tedy něco, co má v držení pouze uživatel, nebo inherence, tedy něco, čím uživatel je, přičemž nesplněním jednoho z nich není ovlivněna spolehlivost ostatních a postup je koncipován tak, aby byla chráněna důvěrnost autentizačních dat;
52) „elektronickou knihou záznamů“ posloupnost elektronických datových záznamů zajišťující integritu těchto záznamů a přesnost chronologického pořadí těchto záznamů;
53) „kvalifikovanou elektronickou knihou záznamů“ elektronická kniha záznamů, kterou poskytuje kvalifikovaný poskytovatel služeb vytvářejících důvěru a která splňuje požadavky stanovené v článku 45l;
54) „osobními údaji“ veškeré informace vymezené v čl. 4 bodu 1 nařízení (EU) 2016/679;
55) „párováním totožnosti“ postup, při němž jsou osobní identifikační údaje nebo prostředky pro elektronickou identifikaci párovány nebo propojeny se stávajícím účtem patřícím téže osobě;
56) „datovým záznamem“ elektronická data zaznamenaná pomocí souvisejících metadat podporujících zpracování těchto dat;
57) „off-line režimem“ pokud jde o používání evropských peněženek digitální identity, interakce mezi uživatelem a třetí stranou na fyzickém místě s využitím technologií pro blízkou komunikaci, při níž evropská peněženka digitální identity nemusí mít pro účely dané interakce přístup ke vzdáleným systémům prostřednictvím sítí elektronických komunikací.
Článek 4
Zásada vnitřního trhu
1. Nesmějí existovat žádná omezení týkající se poskytování služeb vytvářejících důvěru na území určitého členského státu poskytovatelem služeb vytvářejících důvěru, který je usazen v jiném členském státě, z důvodů spadajících do oblastí, na něž se vztahuje toto nařízení.
2. Produkty a služby vytvářející důvěru, které vyhovují tomuto nařízení, se mohou volně pohybovat na vnitřním trhu.
Článek 5
Pseudonymy v elektronických transakcích
KAPITOLA II
ELEKTRONICKÁ IDENTIFIKACE
ODDÍL 1
evropská peněženka digitální identity
Článek 5a
Evropské peněženky digitální identity
1. S cílem zajistit, aby všechny fyzické a právnické osoby v Unii měly bezpečný, důvěryhodný a bezproblémový přeshraniční přístup k veřejným a soukromým službám a zároveň plnou kontrolu nad svými údaji, každý členský stát do 24 měsíců ode dne vstupu prováděcích aktů uvedených v odstavci 23 tohoto článku a v čl. 5c odst. 6 v platnost poskytne alespoň jednu evropskou peněženku digitální identity.
2. Evropské peněženky digitální identity jsou poskytovány jedním nebo vícero z následujících způsobů:
a) přímo členským státem;
b) z pověření členského státu;
c) nezávisle na členském státu, ale tímto členským státem uznávané.
3. Zdrojový kód komponent aplikačního softwaru evropských peněženek digitální identity musí mít licenci otevřeného zdrojového kódu. Členské státy mohou stanovit, že v řádně odůvodněných případech se zdrojový kód konkrétních komponent jiných než těch, které jsou instalovány na uživatelských zařízeních, nezveřejní.
4. Evropské peněženky digitální identity umožní uživateli způsobem, který je pro uživatele přívětivý, transparentní a sledovatelný:
a) bezpečně a pod výhradní kontrolou uživatele požadovat, získat, vybírat, kombinovat, uchovávat, mazat, sdílet a předkládat osobní identifikační údaje a případně ve spojení s elektronickým potvrzením atributů se autentizovat vůči spoléhajícím se stranám on-line a případně v off-line režimu s cílem přistupovat k veřejným a soukromým službám, přičemž je zajištěna možnost výběrového zpřístupňování údajů;
b) generovat pseudonymy a ukládat je zašifrované a lokálně v rámci evropské peněženky digitální identity;
c) bezpečně autentizovat evropskou peněženku digitální identity jiné osoby a přijímat a sdílet osobní identifikační údaje a elektronická potvrzení atributů zabezpečeným způsobem mezi dvěma evropskými peněženkami digitální identity;
d) přistupovat k záznamu všech transakcí provedených prostřednictvím evropské peněženky digitální identity, a to na základě společného přehledu, který uživateli umožní:
- i) zobrazit aktuální seznam spoléhajících se stran, s nimiž uživatel navázal spojení, a případně všech sdílených údajů;
- ii) snadno požádat o výmaz osobních údajů podle článku 17 nařízení (EU) 2016/679 spoléhající se stranou;
- iii) snadno nahlásit spoléhající se stranu vnitrostátnímu úřadu pro ochranu osobních údajů, pokud obdrží údajně protiprávní nebo podezřelou žádost o údaje;
e) podepisovat kvalifikovanými elektronickými podpisy nebo pečetit kvalifikovanými elektronickými pečetěmi;
f) v rozsahu, v jakém je to technicky proveditelné, stahovat údaje uživatele, elektronické potvrzení atributů a konfigurace;
g) uplatňovat práva uživatelů na přenositelnost údajů.
5. Evropské peněženky digitální identity zejména:
Bez ohledu na první pododstavec písm. g) mohou členské státy stanovit přiměřená opatření k zajištění toho, aby bezplatné používání kvalifikovaných elektronických podpisů fyzickými osobami bylo omezeno na neprofesionální účely.
a) podporují společné protokoly a rozhraní:
- i) pro vydávání osobních identifikačních údajů, kvalifikovaných a nekvalifikovaných elektronických potvrzení atributů nebo kvalifikovaných a nekvalifikovaných certifikátů k dané evropské peněžence digitální identity;
- ii) pro spoléhající se strany, aby mohly požadovat a ověřovat platnost osobních identifikačních údajů a elektronických potvrzení atributů;
- iii) pro sdílení osobních identifikačních údajů, elektronických potvrzení atributů nebo výběrově zpřístupněných souvisejících údajů se spoléhajícími se stranám a pro jejich předkládání spoléhajícím se stranám, a to on-line a případně v off-line režimu;
- iv) umožňující uživateli interakci s evropskou peněženkou digitální identity a zobrazení značky důvěry EU pro peněženku digitální identity;
- v) pro bezpečné zapojení uživatele pomocí prostředků pro elektronickou identifikaci v souladu s čl. 5a odst. 24;
- vi) pro interakci mezi evropskými peněženkami digitální identity dvou osob pro účely přijímání, ověřování platnosti a sdílení osobních identifikačních údajů a elektronických potvrzení atributů zabezpečeným způsobem;
- vii) pro autentizaci a identifikaci spoléhajících se stran zavedením mechanismů autentizace v souladu s článkem 5b;
- viii) umožňující spoléhajícím se stranám ověřit pravost a platnost evropských peněženek digitální identity;
- ix) pro požádání spoléhající se strany o výmaz osobních údajů podle článku 17 nařízení (EU) 2016/679;
- x) pro nahlášení spoléhající se strany příslušnému vnitrostátnímu úřadu pro ochranu osobních údajů, pokud je obdržena údajně protiprávní nebo podezřelá žádost o údaje;
- xi) pro vytváření kvalifikovaných elektronických podpisů nebo elektronických pečetí pomocí prostředků pro vytváření kvalifikovaných elektronických podpisů nebo elektronických pečetí;
b) neposkytují žádné informace poskytovatelům služeb vytvářejících důvěru vydávajícím elektronická potvrzení atributů o používání těchto elektronických potvrzení;
c) zajišťují možnost autentizace a identifikace spoléhajících se stran zavedením mechanismů autentizace v souladu s článkem 5b;
d) splňují požadavky stanovené v článku 8, pokud jde o vysokou úroveň záruky, zejména co se týče požadavků na prokazování a ověřování totožnosti a správu a autentizaci prostředků pro elektronickou identifikaci;
e) v případě elektronického potvrzování atributů, jehož součástí jsou zásady zpřístupňování informací, zavádějí vhodný mechanismus informování uživatele o tom, že spoléhající se strana nebo uživatel evropské peněženky digitální identity, kteří žádají o elektronické potvrzení atributů, mají povolení přístupu k tomuto potvrzení;
f) zajišťují, aby osobní identifikační údaje, které jsou dostupné ze systému elektronické identifikace, v jehož rámci je evropská peněženka digitální identity poskytována, jedinečným způsobem identifikovaly fyzickou osobu, právnickou osobu nebo fyzickou osobu zastupující fyzickou či právnickou osobu a byly s touto evropskou peněženkou digitální identity spojeny;
g) poskytují standardně a bezplatně všem fyzickým osobám možnost podepisovat kvalifikovanými elektronickými podpisy.
6. Členské státy bezodkladně informují uživatele o všech případech narušení bezpečnosti, které mohlo zcela nebo částečně ohrozit jejich evropské peněženky digitální identity nebo jejich obsah, zejména pokud vedlo k pozastavení nebo zrušení platnosti jejich evropských peněženek digitální identity podle článku 5e.
7. Aniž je dotčen článek 5f, mohou členské státy v souladu s vnitrostátním právem stanovit dodatečné funkce evropských peněženek digitální identity, včetně interoperability se stávajícími vnitrostátními prostředky pro elektronickou identifikaci. Tyto dodatečné funkce musí být v souladu s tímto článkem.
8. Členské státy zajistí bezplatné mechanismy ověřování platnosti s cílem:
a) zajistit, aby bylo možné ověřit pravost a platnost evropských peněženek digitální identity;
b) umožnit uživatelům ověřit pravost a platnost totožnosti spoléhajících se stran registrovaných v souladu s článkem 5b.
9. Členské státy zajistí, aby platnost evropské peněženky digitální identity mohla být zrušena za následujících okolností:
a) na výslovnou žádost uživatele;
b) pokud byla ohrožena bezpečnost evropské peněženky digitální identity;
c) v případě úmrtí uživatele nebo ukončení činnosti právnické osoby.
10. Poskytovatelé evropských peněženek digitální identity zajistí, aby uživatelé mohli snadno požádat o technickou podporu a hlásit technické problémy nebo jakékoli jiné incidenty, které mají negativní dopad na používání evropské peněženky digitální identity.
11. Evropské peněženky digitální identity jsou poskytovány v rámci systému elektronické identifikace s vysokou úrovní záruky.
12. Evropské peněženky digitální identity zajišťují bezpečnost již od fáze návrhu.
13. Vydávání, používání a rušení evropských peněženek digitální identity je pro všechny fyzické osoby bezplatné.
14. Uživatelé mají používání své evropské peněženky digitální identity a údajů v ní obsažených plně pod kontrolou. Poskytovatel evropské peněženky digitální identity neshromažďuje informace o používání evropské peněženky digitální identity, které nejsou nezbytné pro poskytování služeb evropské peněženky digitální identity, ani nekombinuje osobní identifikační údaje či jakékoli jiné uložené osobní údaje nebo údaje týkající se používání evropské peněženky digitální identity s osobními údaji z jiných služeb nabízených tímto poskytovatelem nebo ze služeb třetích stran, které nejsou nezbytné pro poskytování služeb evropské peněženky digitální identity, ledaže o to uživatel výslovně požádal. Osobní údaje týkající se poskytování evropské peněženky digitální identity jsou uchovávány logicky odděleně od jakýchkoli jiných údajů v držení poskytovatele evropské peněženky digitální identity. Pokud evropskou peněženku digitální identity poskytují soukromé strany v souladu s odst. 2 písm. b) a c) tohoto článku, použijí se přiměřeně ustanovení čl. 45h odst. 3.
15. Používání evropských peněženek digitální identity je dobrovolné. Fyzické či právnické osoby, které evropskou peněženku digitální identity nepoužívají, nesmí být v žádném případě omezovány ani znevýhodňovány v přístupu k veřejným a soukromým službám, přístupu na trh práce, ani pokud jde o svobodu podnikání. Přístup k veřejným a soukromým službám musí být i nadále možný za použití jiných stávajících prostředků identifikace a autentizace.
16. Technický rámec evropské peněženky digitální identity:
a) neumožňuje poskytovatelům elektronických potvrzení atributů ani žádné jiné straně po vydání potvrzení atributů získávat data umožňující sledovat transakce nebo chování uživatelů, propojovat je nebo mezi nimi vytvářet vztahy ani jiným způsobem získávat informace o transakcích nebo chování uživatelů, pokud to uživatel výslovně nepovolil;
b) umožňuje techniky ochrany soukromí, které zajišťují nepropojitelnost, pokud potvrzení atributů nevyžaduje identifikaci uživatele.
17. Veškeré zpracování osobních údajů prováděné členskými státy nebo jejich jménem subjekty nebo stranami odpovědnými za poskytování evropských peněženek digitální identity jako prostředku pro elektronickou identifikaci se provádí v souladu s vhodnými a účinnými opatřeními na ochranu údajů. Musí být prokázán soulad takového zpracování s nařízením (EU) 2016/679. Členské státy mohou zavést vnitrostátní ustanovení s cílem dále upřesnit uplatňování těchto opatření.
18. Členské státy bez zbytečného odkladu oznámí Komisi informace o:
Komise zpřístupní informace oznámené podle prvního pododstavce veřejnosti prostřednictvím zabezpečeného kanálu v elektronicky podepsané nebo zapečetěné podobě vhodné pro automatizované zpracování.
a) subjektu odpovědném za zřízení a udržování seznamu registrovaných spoléhajících se stran, které využívají evropské peněženky digitální identity v souladu s čl. 5b odst. 5, a místu, na kterém se tento seznam nachází;
b) subjektech odpovědných za poskytování evropských peněženek digitální identity v souladu s čl. 5a odst. 1;
c) subjektech odpovědných za zajištění toho, aby osobní identifikační údaje byly spojeny s evropskou peněženkou digitální identity v souladu s čl. 5a odst. 5 písm. f);
d) mechanismu umožňujícím ověření platnosti osobních identifikačních údajů uvedených v čl. 5a odst. 5 písm. f) a totožnosti spoléhajících se stran;
e) mechanismu pro ověření pravosti a platnosti evropských peněženek digitální identity.
19. Aniž je dotčen odstavec 22 tohoto článku, článek 11 se použije přiměřeně na evropskou peněženku digitální identity.
20. Ustanovení čl. 24 odst. 2 písm. b) a d) až h) se použije přiměřeně na poskytovatele evropské peněženky digitální identity.
21. Evropské peněženky digitální identity jsou přístupné pro použití osobami se zdravotním postižením na rovnoprávném základě s ostatními uživateli v souladu se směrnicí Evropského parlamentu a Rady (EU) 2019/882(Směrnice Evropského parlamentu a Rady (EU) 2019/882 ze dne 17. dubna 2019 o požadavcích na přístupnost u výrobků a služeb (Úř. věst. L 151, 7.6.2019, s. 70).).
22. Pro účely poskytování evropských peněženek digitální identity se na evropské peněženky digitální identity a systémy elektronické identifikace, v jejichž rámci jsou poskytovány, nevztahují požadavky stanovené v článcích 7, 9, 10, 12 a 12a.
23. Do 21. listopadu 2024 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely požadavků uvedených v odstavcích 4, 5, 8 a 18 tohoto článku o zavedení evropské peněženky digitální identity. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
24. Komise stanoví prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví technické specifikace a postupy s cílem usnadnit zapojení uživatelů do používání evropské peněženky digitální identity za použití prostředků pro elektronickou identifikaci odpovídajících vysoké úrovni záruky, nebo prostředků pro elektronickou identifikaci odpovídajících značné úrovni záruky ve spojení s dalšími postupy vzdáleného zapojení, které společně splňují požadavky vysoké úrovně záruky. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 5b
Spoléhající se strany u evropských peněženek digitální identity
1. Pokud spoléhající se strana hodlá spoléhat na evropské peněženky digitální identity pro účely poskytování veřejných nebo soukromých služeb prostřednictvím digitální interakce, zaregistruje se v členském státě, v němž je usazena.
2. Proces registrace musí být nákladově efektivní a přiměřený riziku. Spoléhající se strana poskytne alespoň:
a) informace nezbytné k autentizaci evropských peněženek digitální identity, které zahrnují přinejmenším:
- i) členský stát, v němž je spoléhající se strana usazena a
- ii) název spoléhající se strany a případně její registrační číslo uvedené v úředním záznamu spolu s identifikačními údaji tohoto úředního záznamu;
b) kontaktní údaje spoléhající se strany;
c) zamýšlené použití evropských peněženek digitální identity, včetně uvedení údajů, které spoléhající se strana bude požadovat od uživatelů.
3. Spoléhající se strany nesmí od uživatelů požadovat, aby poskytli jiné údaje než ty, které jsou uvedeny podle odst. 2 písm. c).
4. Odstavci 1 a 2 nejsou dotčena ustanovení práva Unie nebo vnitrostátního práva, která upravují poskytování konkrétních služeb.
5. Členské státy zpřístupní informace uvedené v odstavci 2 veřejnosti on-line v elektronicky podepsané nebo zapečetěné podobě vhodné pro automatizované zpracování.
6. Spoléhající se strany registrované v souladu s tímto článkem neprodleně informují členské státy o veškerých změnách informací poskytnutých při registraci podle odstavce 2.
7. Členské státy zajistí společný mechanismus umožňující identifikaci a autentizaci spoléhajících se stran, jak je uvedeno v čl. 5a odst. 5 písm. c).
8. Pokud spoléhající se strany hodlají spoléhat na evropské peněženky digitální identity, musí se vůči uživateli identifikovat.
9. Spoléhající se strany jsou odpovědné za provádění postupu pro autentizaci a ověření platnosti osobních identifikačních údajů a elektronického potvrzení atributů vyžádaných z evropských peněženek digitální identity. Spoléhající se strany neodmítnou použití pseudonymů, pokud identifikace uživatele není vyžadována právem Unie nebo vnitrostátním právem.
10. Zprostředkovatelé, kteří jednají jménem spoléhajících se stran, se považují za spoléhající se strany a neuchovávají údaje o obsahu transakce.
11. Do 21. listopadu 2024 stanoví Komise prostřednictvím prováděcích aktů o zavedení evropské peněženky digitální identity, jak jsou uvedeny v čl. 5a odst. 23, technické specifikace a postupy pro požadavky uvedené v odstavcích 2, 5 a 6 až 9 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 5c
Certifikace evropských peněženek digitální identity
1. Shodu evropských peněženek digitální identity a systému elektronické identifikace, v jehož rámci jsou poskytovány, s požadavky stanovenými v čl. 5a odst. 4, 5 a 8, s požadavkem na logické oddělení stanoveným v čl. 5a odst. 14 a případně s normami a technickými specifikacemi uvedenými v čl. 5a odst. 24 certifikují subjekty posuzování shody určené členskými státy.
2. Certifikace shody evropských peněženek digitální identity s požadavky uvedenými v odstavci 1 tohoto článku nebo jejich částmi, které se týkají kybernetické bezpečnosti, se provádí v souladu s evropskými schématy certifikace kybernetické bezpečnosti zavedenými podle nařízení Evropského parlamentu a Rady (EU) 2019/881(Nařízení Evropského parlamentu a Rady (EU) 2019/881 ze dne 17. dubna 2019 o agentuře ENISA (Agentuře Evropské unie pro kybernetickou bezpečnost), o certifikaci kybernetické bezpečnosti informačních a komunikačních technologií a o zrušení nařízení (EU) č. 526/2013 („akt o kybernetické bezpečnosti“) (Úř. věst. L 151, 7.6.2019, s. 15).) a uvedenými v prováděcích aktech uvedených v odstavci 6 tohoto článku.
3. Pokud jde o požadavky uvedené v odstavci 1 tohoto článku, které se netýkají kybernetické bezpečnosti, a požadavky uvedené v odstavci 1 tohoto článku, které se kybernetické bezpečnosti týkají, ale schémata certifikace kybernetické bezpečnosti uvedená v odstavci 2 tohoto článku se na ně nevztahují nebo se na ně vztahují pouze částečně, členské státy zavedou rovněž pro tyto požadavky v příslušném rozsahu vnitrostátní schémata certifikace v souladu s požadavky stanovenými v prováděcích aktech uvedených v odstavci 6 tohoto článku. Členské státy předají své návrhy vnitrostátních schémat certifikace skupině pro evropskou spolupráci v oblasti digitální identity zřízené podle čl. 46e odst. 1 (dále jen „skupina pro spolupráci“). Skupina pro spolupráci může vydávat stanoviska a doporučení.
4. Certifikace podle odstavce 1 je platná až po dobu pěti let, pokud se každé dva roky provádí hodnocení zranitelnosti. Je-li identifikována zranitelnost a není-li včas odstraněna, certifikace se zruší.
5. Soulad s požadavky stanovenými v článku 5a tohoto nařízení týkajícími se zpracování osobních údajů lze certifikovat podle nařízení (EU) 2016/679.
6. Do 21. listopadu 2024 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a případně stanoví specifikace a postupy pro certifikaci evropských peněženek digitální identity uvedenou v odstavcích 1, 2 a 3 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
7. Členské státy sdělí Komisi názvy a adresy subjektů posuzování shody uvedených v odstavci 1. Komise tyto informace zpřístupní všem členským státům.
8. Komisi je svěřena pravomoc přijímat v souladu s článkem 47 akty v přenesené pravomoci, které stanoví zvláštní kritéria, která mají splňovat určené subjekty posuzování shody uvedené v odstavci 1 tohoto článku.
Článek 5d
Zveřejnění seznamu certifikovaných evropských peněženek digitální identity
1. Členské státy bez zbytečného odkladu informují Komisi a skupinu pro spolupráci zřízenou podle čl. 46e odst. 1 o evropských peněženkách digitální identity, které byly poskytnuty podle článku 5a a certifikovány subjekty posuzování shody uvedenými v čl. 5c odst. 1. V případě zrušení certifikace bez zbytečného odkladu informují Komisi a skupinu pro spolupráci zřízenou podle čl. 46e odst. 1 a uvedou důvody zrušení.
2. Aniž je dotčen čl. 5a odst. 18, informace poskytnuté členskými státy uvedené v odstavci 1 tohoto článku zahrnují alespoň:
a) certifikát a zprávu o posouzení certifikace certifikované evropské peněženky digitální identity;
b) popis systému elektronické identifikace, v jehož rámci je evropská peněženka digitální identity poskytována;
c) použitelný režim dohledu a informace o režimu odpovědnosti, pokud jde o stranu poskytující evropskou peněženku digitální identity;
d) orgán nebo orgány odpovědné za systém elektronické identifikace;
e) opatření k pozastavení platnosti nebo zrušení systému elektronické identifikace nebo autentizace či dotčených ohrožených součástí.
3. Na základě informací obdržených podle odstavce 1 Komise sestaví, zveřejní v Úředním věstníku Evropské unie a vede ve strojově čitelné podobě seznam certifikovaných evropských peněženek digitální identity.
4. Členský stát může Komisi požádat o vyřazení evropské peněženky digitální identity a systému elektronické identifikace, v jehož rámci je poskytována, ze seznamu uvedeného v odstavci 3.
5. V případě změn týkajících se informací poskytnutých podle odstavce 1 poskytne členský stát Komisi aktualizované informace.
6. Komise seznam uvedený v odstavci 3 aktualizuje zveřejněním odpovídajících změn seznamu v Úředním věstníku Evropské unie do jednoho měsíce od obdržení žádosti podle odstavce 4 nebo aktualizovaných informací podle odstavce 5.
7. Do 21. listopadu 2024 stanoví Komise prostřednictvím prováděcího aktu o zavedení evropské peněženky digitální identity, jak je uveden v čl. 5a odst. 23, formáty a postupy použitelné pro účely uvedené v odstavcích 1, 4 a 5 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 5e
Narušení bezpečnosti evropských peněženek digitální identity
1. Pokud jsou evropské peněženky digitální identity poskytované podle článku 5a nebo mechanismy ověření platnosti uvedené v čl. 5a odst. 8 nebo systém elektronické identifikace, v jehož rámci jsou evropské peněženky digitální identity poskytovány, narušeny nebo částečně ohroženy způsobem, který ovlivňuje jejich spolehlivost nebo spolehlivost jiných evropských peněženek digitální identity, členský stát, který evropské peněženky digitální identity poskytl, bez zbytečného odkladu poskytování a používání evropských peněženek digitální identity pozastaví.
Je-li to odůvodněno závažností narušení bezpečnosti nebo ohrožení uvedeného v prvním pododstavci, členský stát evropské peněženky digitální identity bez zbytečného odkladu stáhne.
Členský stát o stažení odpovídajícím způsobem informuje dotčené uživatele, jednotná kontaktní místa určená podle čl. 46c odst. 1, spoléhající se strany a Komisi.
2. Není-li narušení bezpečnosti nebo ohrožení uvedené v odst. 1 prvním pododstavci tohoto článku napraveno do tří měsíců od pozastavení, členský stát, který evropské peněženky digitální identity poskytl, evropské peněženky digitální identity stáhne a zruší jejich platnost. Členský stát o stažení odpovídajícím způsobem informuje dotčené uživatele, jednotná kontaktní místa určená podle čl. 46c odst. 1, spoléhající se strany a Komisi.
3. Pokud bylo narušení bezpečnosti nebo ohrožení bezpečnosti uvedené v odst. 1 prvním pododstavci tohoto článku napraveno, poskytující členský stát obnoví poskytování a používání evropských peněženek digitální identity a bez zbytečného odkladu o tom uvědomí dotčené uživatele a spoléhající se strany, jednotná kontaktní místa určená podle čl. 46c odst. 1 a Komisi.
4. Komise bez zbytečného odkladu zveřejní v Úředním věstníku Evropské unie odpovídající změny v seznamu uvedeném v článku 5d.
5. Do 21. listopadu 2024 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro opatření uvedená v odstavcích 1, 2 a 3 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 5f
Přeshraniční využívání evropských peněženek digitální identity
1. Pokud členské státy pro přístup k on-line službě poskytované subjektem veřejného sektoru vyžadují elektronickou identifikaci a autentizaci, akceptují rovněž evropské peněženky digitální identity poskytnuté v souladu s tímto nařízením.
2. Pokud právo Unie nebo vnitrostátní právo vyžaduje od soukromých spoléhajících se stran, které poskytují služby – s výjimkou mikropodniků a malých podniků ve smyslu článku 2 přílohy doporučení Komise 2003/361/ES(Doporučení Komise 2003/361/ES ze dne 6. května 2003 o definici mikropodniků a malých a středních podniků (Úř. věst. L 124, 20.5.2003, s. 36).) – silnou autentizaci uživatele k on-line identifikaci nebo pokud takovou silnou autentizaci uživatele k on-line identifikaci vyžaduje smluvní závazek, a to i v oblasti dopravy, energetiky, bankovnictví, finančních služeb, sociálního zabezpečení, zdravotnictví, pitné vody, poštovních služeb, digitální infrastruktury, vzdělávání nebo telekomunikací, uvedené soukromé spoléhající se strany do 36 měsíců ode dne vstupu prováděcích aktů uvedených v čl. 5a odst. 23 a čl. 5c odst. 6 v platnost a pouze na dobrovolnou žádost uživatele začnou akceptovat rovněž evropské peněženky digitální identity poskytnuté v souladu s tímto nařízením.
3. V případech, kdy poskytovatelé velmi velkých on-line platforem uvedených v článku 33 nařízení Evropského parlamentu a Rady (EU) 2022/2065(Nařízení Evropského parlamentu a Rady (EU) 2022/2065 ze dne 19. října 2022 o jednotném trhu digitálních služeb a o změně směrnice 2000/31/ES (nařízení o digitálních službách) (Úř. věst. L 277, 27.10.2022, s. 1).) vyžadují autentizaci uživatelů pro přístup k on-line službám, tito poskytovatelé pro autentizaci uživatele rovněž akceptují a usnadňují používání evropských peněženek digitální identity poskytnutých v souladu s tímto nařízením, a to pouze na dobrovolnou žádost uživatele a s ohledem na minimální údaje nezbytné pro konkrétní on-line službu, pro kterou se autentizace požaduje.
4. Komise ve spolupráci s členskými státy usnadní vypracování kodexů chování v úzké spolupráci se všemi příslušnými zúčastněnými stranami, včetně občanské společnosti, s cílem přispět k široké dostupnosti a použitelnosti evropských peněženek digitální identity v oblasti působnosti tohoto nařízení a podpořit poskytovatele služeb, aby dokončili vypracování kodexů chování.
5. Do 24 měsíců od zavedení evropských peněženek digitální identity vyhodnotí Komise poptávku po evropských peněženkách digitální identity a jejich dostupnost a použitelnost, s přihlédnutím ke kritériím, jako jsou rozšíření mezi uživateli, přeshraniční přítomnost poskytovatelů služeb, technologický vývoj, vývoj způsobů využívání a poptávka spotřebitelů.
ODDÍL 2
systémy elektronické identifikace
Článek 6
Vzájemné uznávání
1. Pokud se podle vnitrostátního práva nebo správní praxe pro přístup ke službě poskytované on-line subjektem veřejného sektoru v určitém členském státě vyžaduje elektronická identifikace s použitím prostředku pro elektronickou identifikaci a autentizace, je pro účely přeshraniční autentizace pro danou on-line službu uznán v tomto členském státě prostředek pro elektronickou identifikaci vydaný v jiném členském státě, pokud jsou splněny tyto podmínky:
K tomuto uznání dojde do dvanácti měsíců od zveřejnění seznamu uvedeného v prvním pododstavci písm. a) Komisí.
a) daný prostředek pro elektronickou identifikaci je vydán v rámci systému elektronické identifikace, který je uveden na seznamu zveřejněném Komisí podle článku 9;
b) úroveň záruky daného prostředku pro elektronickou identifikaci odpovídá stejné úrovni záruky, jako je úroveň záruky požadovaná příslušným subjektem veřejného sektoru v prvním členském státě pro přístup k dané on-line službě, nebo vyšší úrovni, pokud úroveň záruky daného prostředku pro elektronickou identifikaci odpovídá značné nebo vysoké úrovni záruky;
c) příslušný subjekt veřejného sektoru používá v souvislosti s přístupem k dané on-line službě značnou nebo vysokou úroveň záruky.
2. Pro účely přeshraniční autentizace pro on-line službu poskytovanou subjekty veřejného sektoru mohou tyto subjekty uznat prostředek pro elektronickou identifikaci, který byl vydán v rámci systému elektronické identifikace uvedeného na seznamu zveřejněném Komisí podle článku 9 a který odpovídá nízké úrovni záruky.
Článek 7
Způsobilost systémů elektronické identifikace pro oznámení
Systém elektronické identifikace je způsobilý pro oznámení podle čl. 9 odst. 1, jsou-li splněny všechny tyto podmínky:
a) prostředky pro elektronickou identifikaci v rámci daného systému elektronické identifikace:
- i) vydává oznamující členský stát;
- ii) jsou vydávány z pověření oznamujícího členského státu; nebo
- iii) jsou vydávány nezávisle na oznamujícím členském státu a tento členský stát je uznává;
b) prostředky pro elektronickou identifikaci v rámci daného systému elektronické identifikace lze použít pro přístup k alespoň jedné službě poskytované subjektem veřejného sektoru, u níž se v oznamujícím členském státě vyžaduje elektronická identifikace;
c) daný systém elektronické identifikace a prostředky pro elektronickou identifikaci v rámci tohoto systému vydávané splňují požadavky alespoň na jednu z úrovní záruky stanovených v prováděcím aktu uvedeném v čl. 8 odst. 3;
d) oznamující členský stát zajišťuje, aby osobní identifikační údaje jedinečně identifikující danou osobu byly v okamžiku vydání prostředku pro elektronickou identifikaci v rámci daného systému v souladu s technickými specifikacemi, normami a postupy pro příslušnou úroveň záruky stanovenými v prováděcím aktu uvedeném v čl. 8 odst. 3 spojeny s fyzickou nebo právnickou osobou uvedenou v čl. 3 bodě 1;
e) strana vydávající prostředky pro elektronickou identifikaci v rámci daného systému zajišťuje, aby byl prostředek pro elektronickou identifikaci spojen s osobou uvedenou v písmeni d) tohoto článku v souladu s technickými specifikacemi, normami a postupy pro příslušnou úroveň záruky stanovenými v prováděcím aktu uvedeném v čl. 8 odst. 3;
f) oznamující členský stát zajišťuje dostupnost on-line autentizace tak, aby kterákoli spoléhající se strana usazená na území jiného členského státu byla schopna potvrdit osobní identifikační údaje, které obdržela v elektronické podobě.
V případě jiných spoléhajících se stran než subjektů veřejného sektoru může oznamující členský stát stanovit podmínky přístupu k této autentizaci. Tato přeshraniční autentizace se poskytuje bezplatně, pokud je prováděna v souvislosti s on-line službou poskytovanou subjektem veřejného sektoru.
Členské státy nesmějí spoléhajícím se stranám, které chtějí tuto autentizaci provést, ukládat zvláštní nepřiměřené technické požadavky, které by bránily interoperabilitě oznámených systémů elektronické identifikace nebo by ji významně ztěžovaly;
g) nejméně šest měsíců před oznámením podle čl. 9 odst. 1 poskytne oznamující členský stát ostatním členským státům pro účely čl. 12 odst. 5 popis daného systému v souladu s procesními opatřeními stanovenými v prováděcích aktech přijatých podle čl. 12 odst. 6;
h) daný systém elektronické identifikace splňuje požadavky stanovené v prováděcím aktu uvedeném v čl. 12 odst. 8.
Článek 8
Úrovně záruky systémů elektronické identifikace
1. Systém elektronické identifikace oznámený podle čl. 9 odst. 1 uvádí nízkou, značnou nebo vysokou úroveň záruky pro prostředky pro elektronickou identifikaci vydávané v rámci tohoto systému.
2. Nízká, značná a vysoká úroveň záruky musí splňovat tato příslušná kritéria:
a) nízká úroveň záruky označuje v souvislosti se systémem elektronické identifikace prostředek pro elektronickou identifikaci, který nabízí omezenou míru spolehlivosti u deklarované nebo uváděné totožnosti určité osoby a je charakterizován pomocí souvisejících technických specifikací, norem a postupů, včetně technických kontrol, jejichž účelem je snížit riziko zneužití nebo změny totožnosti;
b) značná úroveň záruky označuje v souvislosti se systémem elektronické identifikace prostředek pro elektronickou identifikaci, který nabízí značnou míru spolehlivosti u deklarované nebo uváděné totožnosti určité osoby a je charakterizován pomocí souvisejících technických specifikací, norem a postupů, včetně technických kontrol, jejichž účelem je značně snížit riziko zneužití nebo změny totožnosti;
c) vysoká úroveň záruky označuje v souvislosti se systémem elektronické identifikace prostředek pro elektronickou identifikaci, který nabízí vyšší míru spolehlivosti u deklarované nebo uváděné totožnosti určité osoby než prostředek pro elektronickou identifikaci se značnou úrovní záruky a je charakterizován pomocí souvisejících technických specifikací, norem a postupů, včetně technických kontrol, jejichž účelem je předejít zneužití nebo změně totožnosti.
3. Do 18. září 2015 Komise prostřednictvím prováděcích aktů s přihlédnutím k příslušným mezinárodním normám a s výhradou odstavce 2 stanoví minimální technické specifikace, normy a postupy, jejichž pomocí jsou vymezeny nízká, značná a vysoká úroveň záruky prostředků pro elektronickou identifikaci.
Tyto minimální technické specifikace, normy a postupy se stanoví na základě spolehlivosti a kvality:
Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
a) postupu prokazování a ověřování totožnosti fyzických nebo právnických osob žádajících o vydání prostředku pro elektronickou identifikaci;
b) postupu vydávání požadovaných prostředků pro elektronickou identifikaci;
c) mechanismu autentizace, při níž fyzická nebo právnická osoba používá prostředek pro elektronickou identifikaci k tomu, aby spoléhající se straně potvrdila svou totožnost;
d) subjektu vydávajícího prostředky pro elektronickou identifikaci;
e) jakéhokoli jiného subjektu zapojeného do žádosti o vydání prostředku pro elektronickou identifikaci a
f) technických a bezpečnostních specifikací vydaného prostředku pro elektronickou identifikaci.
Článek 9
Oznámení
1. Oznamující členský stát oznámí Komisi tyto informace a bez zbytečného odkladu i jejich případné následné změny:
a) popis systému elektronické identifikace, včetně jeho úrovní záruky a vydavatele či vydavatelů prostředků pro elektronickou identifikaci v rámci tohoto systému;
b) použitelný režim dohledu a informace o režimu odpovědnosti, pokud jde o:
- i) stranu vydávající prostředky pro elektronickou identifikaci a
- ii) stranu provozující postup autentizace;
c) orgán nebo orgány odpovědné za systém elektronické identifikace;
d) informace o subjektu či subjektech, které spravují evidenci jedinečných osobních identifikačních údajů;
e) popis způsobu, jakým jsou plněny požadavky stanovené v prováděcích aktech uvedených v čl. 12 odst. 8;
f) popis autentizace podle čl. 7 písm. f);
g) opatření k pozastavení platnosti nebo zrušení oznámeného systému elektronické identifikace nebo autentizace či dotčených ohrožených součástí.
2. Komise bez zbytečného odkladu zveřejní v Úředním věstníku Evropské unie seznam systémů elektronické identifikace, které byly oznámeny podle odstavce 1, spolu se základními informacemi o těchto systémech.
3. Komise zveřejní v Úředním věstníku Evropské unie změny seznamu uvedeného v odstavci 2 do jednoho měsíce od obdržení daného oznámení.
4. Členský stát může Komisi požádat o vyškrtnutí systému elektronické identifikace, který oznámil, ze seznamu uvedeného v odstavci 2. Do jednoho měsíce od obdržení žádosti členského státu zveřejní Komise odpovídající změny v seznamu v Úředním věstníku Evropské unie.
5. Komise může prostřednictvím prováděcích aktů stanovit okolnosti, formáty a postupy pro oznamování podle odstavce 1. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 10
Narušení bezpečnosti systémů elektronické identifikace
1. Je-li bezpečnost systému elektronické identifikace oznámeného v souladu s čl. 9 odst. 1 či autentizace uvedené v čl. 7 písm. f) narušena nebo částečně ohrožena způsobem, který ovlivňuje spolehlivost přeshraniční autentizace tohoto systému, oznamující členský stát bezodkladně pozastaví nebo zruší tuto přeshraniční autentizaci nebo dotčené ohrožené součásti a uvědomí o tom ostatní členské státy a Komisi.
2. Pokud bylo narušení nebo ohrožení bezpečnosti uvedené v odstavci 1 napraveno, oznamující členský stát přeshraniční autentizaci obnoví a bez zbytečného odkladu o tom uvědomí ostatní členské státy a Komisi.
3. Pokud k nápravě narušení nebo ohrožení bezpečnosti uvedeného v odstavci 1 nedojde do tří měsíců od pozastavení či zrušení, oznámí oznamující stát ostatním členským státům a Komisi stažení systému elektronické identifikace.
Komise bez zbytečného odkladu zveřejní v Úředním věstníku Evropské unie odpovídající změny v seznamu uvedeném v čl. 9 odst. 2.
Článek 11
Odpovědnost za škodu
1. Oznamující členský stát odpovídá za škodu, kterou úmyslně nebo z nedbalosti způsobí kterékoli fyzické nebo právnické osobě nesplněním svých povinností uvedených v čl. 7 písm. d) a f) v přeshraniční transakci.
2. Strana vydávající prostředky pro elektronickou identifikaci odpovídá za škodu, kterou úmyslně nebo z nedbalosti způsobí kterékoli fyzické nebo právnické osobě nesplněním povinnosti uvedené v čl. 7 písm. e) v přeshraniční transakci.
3. Strana provozující postup autentizace odpovídá za škodu, kterou úmyslně nebo z nedbalosti způsobí kterékoli fyzické nebo právnické osobě nezajištěním správného fungování autentizace podle čl. 7 písm. f) v přeshraniční transakci.
4. Odstavce 1, 2 a 3 se použijí v souladu s vnitrostátními pravidly upravujícími odpovědnost za škodu.
5. Odstavci 1, 2 a 3 není dotčena odpovědnost za škodu, kterou podle vnitrostátního práva nesou účastníci transakce, při níž jsou použity prostředky pro elektronickou identifikaci spadající do systému elektronické identifikace oznámeného podle čl. 9 odst. 1.
Článek 11a
Přeshraniční párování totožnosti
1. Pokud členské státy jednají jako spoléhající se strany pro účely přeshraničních služeb, zajistí jednoznačné párování totožnosti fyzických osob používajících oznámené prostředky pro elektronickou identifikaci nebo evropské peněženky digitální identity.
2. Členské státy stanoví technická a organizační opatření s cílem zajistit vysokou úroveň ochrany osobních údajů používaných pro párování totožnosti a zabránit profilování uživatelů.
3. Do 21. listopadu 2024 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro požadavky uvedené v odstavci 1 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 12
Interoperabilita
1. Vnitrostátní systémy elektronické identifikace oznámené podle čl. 9 odst. 1 musí být interoperabilní.
2. Pro účely odstavce 1 se zavede rámec interoperability.
3. Rámec interoperability musí splňovat tato kritéria:
a) usiluje o to, aby byl z technologického hlediska neutrální, a v rámci členského státu nerozlišuje mezi žádnými zvláštními vnitrostátními technickými řešeními elektronické identifikace;
b) je-li to možné, řídí se evropskými a mezinárodními normami;
c) usnadňuje zavádění ochrany soukromí a bezpečnosti již od fáze návrhu;
d) zajišťuje, aby osobní údaje byly zpracovávány v souladu se směrnicí 95/46/ES.
4. Rámec interoperability sestává z:
a) odkazu na minimální technické požadavky týkající se úrovní záruky stanovených v článku 8;
b) mapování vnitrostátních úrovní záruky oznámených systémů elektronické identifikace podle úrovní záruky stanovených v článku 8;
c) odkazu na minimální technické požadavky pro interoperabilitu;
d) odkazu na minimální soubor osobních identifikačních údajů nezbytných k jedinečné identifikaci fyzické nebo právnické osoby nebo fyzické osoby zastupující jinou fyzickou či právnickou osobu, který je v systémech elektronické identifikace k dispozici;
e) procesních pravidel;
f) opatření pro řešení sporů; a
g) společných norem provozní bezpečnosti.
5. Členské státy provádějí vzájemná hodnocení systémů elektronické identifikace, které spadají do oblasti působnosti tohoto nařízení a jsou oznamovány podle čl. 9 odst. 1 písm. a).
6. Do 18. března 2025 stanoví Komise prostřednictvím prováděcích aktů nezbytná procesní opatření pro vzájemná hodnocení uvedená v odstavci 5 tohoto článku v zájmu podpory vysoké úrovně důvěry a bezpečnosti odpovídající míře rizika. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
7. Komise do 18. března 2015 prostřednictvím prováděcích aktů stanoví nezbytná procesní opatření pro usnadnění spolupráce mezi členskými státy podle odstavců 5 a 6 v zájmu podpory vysoké úrovně důvěryhodnosti a bezpečnosti odpovídající míře rizika.
8. Do 18. září 2025 přijme Komise za účelem stanovení jednotných podmínek pro provádění požadavku podle odstavce 1 tohoto článku, s výhradou kritérií stanovených v odstavci 3 tohoto článku a s přihlédnutím k výsledkům spolupráce mezi členskými státy, prováděcí akty týkající se rámce interoperability stanoveného v odstavci 4 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
9. Prováděcí akty uvedené v odstavcích 7 a 8 tohoto článku se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 12a
Certifikace systémů elektronické identifikace
1. Shodu systémů elektronické identifikace, které mají být oznámeny, s požadavky na kybernetickou bezpečnost stanovenými v tomto nařízení, včetně souladu s příslušnými požadavky na kybernetickou bezpečnost stanovenými v čl. 8 odst. 2, pokud jde o úrovně záruky systémů elektronické identifikace, certifikují subjekty posuzování shody určené členskými státy.
2. Certifikace podle odstavce 1 tohoto článku se provádí v rámci příslušného schématu certifikace kybernetické bezpečnosti podle nařízení (EU) 2019/881 nebo jeho částí, pokud se certifikát kybernetické bezpečnosti nebo jeho části vztahují na uvedené požadavky kybernetické bezpečnosti.
3. Certifikace podle odstavce 1 je platná až po dobu pěti let, pokud se každé dva roky provádí hodnocení zranitelnosti. Je-li identifikována zranitelnost a není-li do tří měsíců od uvedené identifikace odstraněna, certifikace se zruší.
4. Bez ohledu na odstavec 2 mohou členské státy v souladu s uvedeným odstavcem požadovat od oznamujícího členského státu doplňující informace o systémech elektronické identifikace nebo jejich částech, které byly certifikovány.
5. Vzájemné hodnocení systémů elektronické identifikace uvedené v čl. 12 odst. 5 se nevztahuje na systémy elektronické identifikace nebo na části těchto systémů certifikované v souladu s odstavcem 1 tohoto článku. Členské státy mohou použít certifikát nebo prohlášení o shodě vydané v souladu s příslušným schématem certifikace nebo částmi takových schémat s požadavky stanovenými v čl. 8 odst. 2, které se netýkají kybernetické bezpečnosti, pokud jde o úroveň záruky systémů elektronické identifikace.
6. Členské státy sdělí Komisi názvy a adresy subjektů posuzování shody uvedených v odstavci 1. Komise tyto informace zpřístupní všem členským státům.
Článek 12b
Přístup k funkcím hardwaru a softwaru
KAPITOLA III
SLUŽBY VYTVÁŘEJÍCÍ DŮVĚRU
ODDÍL 1
Obecná ustanovení
Článek 13
Odpovědnost za škodu a důkazní břemeno
1. Bez ohledu na odstavec 2 tohoto článku, a aniž je dotčeno nařízení (EU) 2016/679 poskytovatelé služeb vytvářejících důvěru odpovídají za újmu, kterou úmyslně nebo z nedbalosti způsobí fyzické nebo právnické osobě nesplněním povinností podle tohoto nařízení. Každá fyzická nebo právnická osoba, která v důsledku porušení tohoto nařízení poskytovatelem služeb vytvářejících důvěru utrpěla hmotnou či nehmotnou újmu, má právo požadovat náhradu újmy v souladu s právem Unie a vnitrostátním právem.
Důkazní břemeno, pokud jde o úmysl nebo nedbalost nekvalifikovaného poskytovatele služeb vytvářejících důvěru, nese fyzická nebo právnická osoba uplatňující nárok na náhradu škody podle prvního pododstavce.
V případě kvalifikovaného poskytovatele služeb vytvářejících důvěru se úmysl nebo nedbalost předpokládá, pokud daný kvalifikovaný poskytovatel služeb vytvářejících důvěru neprokáže, že újma podle prvního pododstavce nastala bez jeho úmyslu nebo nedbalosti.
2. Pokud poskytovatelé služeb vytvářejících důvěru své zákazníky předem řádně informují o omezeních týkajících se využívání jimi poskytovaných služeb a tato omezení jsou rozpoznatelná pro třetí osoby, neodpovídají poskytovatelé služeb vytvářejících důvěru za škody způsobené využíváním služeb nad rámec uvedených omezení.
3. Odstavce 1 a 2 se použijí v souladu s vnitrostátními pravidly upravujícími odpovědnost za škodu.
Článek 14
Mezinárodní aspekty
1. Služby vytvářející důvěru poskytované poskytovateli služeb vytvářejících důvěru usazenými ve třetí zemi či mezinárodní organizací se uznávají jako právně rovnocenné kvalifikovaným službám vytvářejícím důvěru poskytovaným kvalifikovanými poskytovateli služeb vytvářejících důvěru usazenými v Unii, pokud jsou služby vytvářející důvěru pocházející ze třetí země nebo mezinárodní organizace uznány prostřednictvím prováděcích aktů nebo dohody uzavřené mezi Unií a třetí zemí nebo mezinárodní organizací v souladu s článkem 218 Smlouvy o fungování EU.
Prováděcí akty uvedené v prvním pododstavci se přijímají přezkumným postupem podle čl. 48 odst. 2.
2. Prováděcí akty a dohody uvedené v odstavci 1 zajistí, že poskytovatelé služeb vytvářejících důvěru usazení ve třetí zemi nebo mezinárodní organizace a jimi poskytované služby vytvářející důvěru splňují požadavky vztahující se na kvalifikované poskytovatele služeb vytvářejících důvěru usazené v Unii a jimi poskytované kvalifikované služby vytvářející důvěru. Třetí země a mezinárodní organizace zejména sestaví, spravují a zveřejňují důvěryhodný seznam uznaných poskytovatelů služeb vytvářejících důvěru.
3. Dohody uvedené v odstavci 1 zajistí, že kvalifikované služby vytvářející důvěru poskytované kvalifikovanými poskytovateli služeb vytvářejících důvěru usazenými v Unii jsou uznány jako právně rovnocenné službám vytvářejícím důvěru poskytovaným poskytovateli služeb vytvářejících důvěru ve třetí zemi nebo mezinárodní organizací, s níž je dohoda uzavřena.
Článek 15
Přístupnost pro osoby se zdravotním postižením a zvláštními potřebami
Článek 16
Sankce
1. Aniž je dotčen článek 31 směrnice Evropského parlamentu a Rady (EU) 2022/2555(Směrnice Evropského parlamentu a Rady (EU) 2022/2555 ze dne 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o změně nařízení (EU) č. 910/2014 a směrnice (EU) 201C/1972 a o zrušení směrnice (EU) 2016/1148 (směrnice NIS 2) (Úř. věst. L 333, 27.12.2022, s. 80).), členské státy stanoví sankce za porušení tohoto nařízení. Tyto sankce musí být účinné, přiměřené a odrazující.
2. Členské státy zajistí, aby porušení tohoto nařízení kvalifikovanými a nekvalifikovanými poskytovateli služeb vytvářejících důvěru podléhalo správním pokutám v maximální výši alespoň:
a) 5000000 EUR, je-li poskytovatelem služeb vytvářejících důvěru fyzická osoba; nebo
b) je-li poskytovatelem služeb vytvářejících důvěru právnická osoba, 5000000 EUR nebo 1 % celkového celosvětového ročního obratu podniku, k němuž poskytovatel služeb vytvářejících důvěru patřil v účetním období předcházejícím roku, v němž došlo k porušení, podle toho, která hodnota je vyšší.
3. V závislosti na právním systému členských států lze pravidla pro správní pokuty uplatnit tak, aby podnět k pokutě dával příslušný orgán dohledu a ukládaly ji příslušné vnitrostátní soudy. Uplatňování těchto pravidel v uvedených členských státech zajistí, aby tyto právní prostředky byly účinné a měly rovnocenný účinek jako správní pokuty ukládané přímo orgány dohledu.
ODDÍL 2
Nekvalifikovaní poskytovatelé služeb vytvářející důvěru
Článek 17
Orgán dohledu
1. Členské státy určí orgán dohledu usazený na jejich území nebo po vzájemné dohodě s jiným členským státem orgán dohledu usazený v tomto jiném členském státě. Tento orgán odpovídá za plnění úkolů v oblasti dohledu v členském státě, který provedl určení.
Orgánům dohledu musí být uděleny nezbytné pravomoci a odpovídající zdroje pro plnění jejich úkolů.
2. Členské státy sdělí Komisi názvy a adresy jimi určených orgánů dohledu.
3. Orgán dohledu má tyto úlohy:
a) vykonávat dohled nad kvalifikovanými poskytovateli služeb vytvářejících důvěru usazenými na území členského státu, který provedl určení, s cílem zajistit prostřednictvím činností předběžného a následného dohledu, aby tito kvalifikovaní poskytovatelé služeb vytvářejících důvěru a jimi poskytované kvalifikované služby vytvářející důvěru splňovali požadavky stanovené v tomto nařízení;
b) v případě potřeby přijmout prostřednictvím činností následného dohledu opatření ve vztahu k nekvalifikovaným poskytovatelům služeb vytvářejících důvěru usazeným na území členského státu, který provedl určení, pokud je informován, že tito nekvalifikovaní poskytovatelé služeb vytvářejících důvěru nebo jimi poskytované služby vytvářející důvěru údajně nesplňují požadavky stanovené v tomto nařízení.
4. Pro účely odstavce 3 a s výhradou omezení stanovených v uvedeném odstavci patří mezi úkoly orgánu dohledu zejména tyto činnosti:
a) spolupracovat s ostatními orgány dohledu a poskytovat jim pomoc v souladu s článkem 18;
b) provádět analýzu zpráv o posouzení shody uvedených v čl. 20 odst. 1 a čl. 21 odst. 1;
c) informovat ostatní orgány dohledu a veřejnost o případech narušení bezpečnosti nebo ztráty integrity v souladu s čl. 19 odst. 2;
d) podávat Komisi zprávy o svých hlavních činnostech v souladu s odstavcem 6 tohoto článku;
e) provádět audity kvalifikovaných poskytovatelů služeb vytvářejících důvěru nebo požadovat, aby subjekt posuzování shody provedl posouzení shody těchto poskytovatelů v souladu s čl. 20 odst. 2;
f) spolupracovat s orgány pro ochranu údajů, zejména je bez zbytečného odkladu informovat o výsledcích auditů kvalifikovaných poskytovatelů služeb vytvářejících důvěru, jestliže podle všeho došlo k porušení pravidel týkajících se ochrany osobních údajů;
g) udělovat poskytovatelům služeb vytvářejících důvěru a jimi poskytovaným službám status kvalifikovaného poskytovatele nebo kvalifikované služby a odnímat tento status v souladu s články 20 a 21;
h) informovat subjekt odpovědný za vnitrostátní důvěryhodný seznam podle čl. 22 odst. 3 o svých rozhodnutích udělit nebo odejmout status kvalifikovaného poskytovatele nebo kvalifikované služby, pokud tento subjekt není rovněž orgánem dohledu;
i) ověřovat existenci a správné uplatňování předpisů o plánech ukončení činnosti v případech, kdy kvalifikovaný poskytovatel služeb vytvářejících důvěru ukončí svou činnost, včetně způsobu zpřístupňování informací v souladu s čl. 24 odst. 2 písm. h);
j) požadovat, aby poskytovatelé služeb vytvářejících důvěru napravili případné neplnění požadavků stanovených v tomto nařízení.
5. Členské státy mohou vyžadovat, aby orgán dohledu zavedl, udržoval a aktualizoval důvěryhodnou infrastrukturu v souladu s podmínkami stanovenými vnitrostátním právem.
6. Do 31. března každého roku předloží každý orgán dohledu Komisi zprávu o svých hlavních činnostech v předchozím kalendářním roce, spolu se shrnutím oznámení o narušení bezpečnosti, která obdržel od poskytovatelů služeb vytvářejících důvěru v souladu s čl. 19 odst. 2.
7. Výroční zprávu uvedenou v odstavci 6 Komise zpřístupní členským státům.
8. Komise může prostřednictvím prováděcích aktů stanovit formáty a postupy pro podávání zpráv podle odstavce 6. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 18
Vzájemná pomoc
1. Orgány dohledu vzájemně spolupracují za účelem výměny osvědčených postupů.
Po obdržení odůvodněné žádosti jiného orgánu dohledu poskytne orgán dohledu danému orgánu pomoc, aby bylo možné zajistit jednotný výkon činností orgánů dohledu. Vzájemná pomoc může zahrnovat zejména žádosti o informace a opatření v oblasti dohledu, například žádosti o provedení prověrek v souvislosti se zprávami o posouzení shody podle článků 20 a 21.
2. Orgán dohledu, jemuž byla podána žádost o pomoc, může tuto žádost zamítnout z kteréhokoliv z těchto důvodů:
a) orgán dohledu není k poskytnutí požadované pomoci příslušný;
b) požadovaná pomoc je nepřiměřená činnostem v oblasti dohledu, které daný orgán dohledu vykonává v souladu s článkem 17;
c) poskytnutí požadované pomoci by nebylo slučitelné s tímto nařízením.
3. Členské státy mohou svým příslušným orgánům dohledu případně povolit provádět společná šetření, na nichž se podílejí pracovníci orgánů dohledu z ostatních členských států. Ujednání a postupy pro tyto společné akce dohodnou a zavedou dotčené členské státy v souladu se svými vnitrostátními právními předpisy.
Článek 19
Bezpečnostní požadavky vztahující se na poskytovatele služeb vytvářejících důvěru
1. Kvalifikovaní a nekvalifikovaní poskytovatelé služeb vytvářejících důvěru přijmou vhodná technická a organizační opatření k řízení rizik ohrožujících bezpečnost jimi poskytovaných služeb vytvářejících důvěru. S ohledem na nejnovější technologický vývoj musí tato opatření zajišťovat úroveň bezpečnosti, která je přiměřená míře rizika. Zejména musí být přijata opatření k zabránění bezpečnostním incidentům, k minimalizaci jejich dopadů a k informování zúčastněných stran o nepříznivých dopadech těchto incidentů.
2. Kvalifikovaní a nekvalifikovaní poskytovatelé služeb vytvářejících důvěru vyrozumí orgán dohledu a případné další příslušné subjekty, jako jsou příslušný vnitrostátní orgán pro bezpečnost informací nebo orgán pro ochranu údajů, o každém narušení bezpečnosti nebo ztrátě integrity, jež mají významný dopad na poskytovanou službu vytvářející důvěru nebo na uchovávané osobní údaje, a to bez zbytečného odkladu a v každém případě do 24 hodin od okamžiku, kdy toto narušení zjistili.
Může-li mít narušení bezpečnosti nebo ztráta integrity nepříznivý dopad na fyzickou nebo právnickou osobu, jíž byla služba vytvářející důvěru poskytnuta, vyrozumí poskytovatel služeb vytvářejících důvěru o daném narušení bezpečnosti nebo dané ztrátě integrity bez zbytečného odkladu také tuto fyzickou nebo právnickou osobu.
Je-li to vhodné, zejména týká-li se narušení bezpečnosti nebo ztráta integrity dvou nebo více členských států, uvědomí vyrozuměný orgán dohledu orgány dohledu v ostatních dotčených členských státech a ENISA.
Vyrozuměný orgán dohledu informuje veřejnost nebo požádá, aby tak učinil poskytovatel služeb vytvářejících důvěru, pokud rozhodne, že zveřejnění informací o narušení bezpečnosti nebo ztrátě integrity je ve veřejném zájmu.
3. Orgán dohledu poskytne ENISA jednou ročně shrnutí oznámení o narušení bezpečnosti a ztrátě integrity, která od poskytovatelů služeb vytvářejících důvěru obdržel.
4. Komise může prostřednictvím prováděcích aktů:
Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
a) dále upřesnit opatření uvedená v odstavci 1 a
b) stanovit formáty a postupy, včetně lhůt, použitelné pro účely odstavce 2.
Článek 19a
Požadavky na nekvalifikované poskytovatele služeb vytvářejících důvěru
1. Nekvalifikovaný poskytovatel služeb vytvářejících důvěru poskytující nekvalifikované služby vytvářející důvěru:
a) má vhodné politiky a přijímá odpovídající opatření pro řízení právních, obchodních, provozních a jiných přímých nebo nepřímých rizik spojených s poskytováním nekvalifikované služby vytvářející důvěru, která bez ohledu na článek 21 směrnice (EU) 2022/2555 zahrnují alespoň opatření týkající se:
- i) registrace ke službě vytvářející důvěru a zapojení do jejího používání;
- ii) procesních nebo správních kontrol potřebných k poskytování služeb vytvářejících důvěru;
- iii) řízení a provádění služeb vytvářejících důvěru;
b) oznámí orgánu dohledu, identifikovatelným dotčeným osobám, veřejnosti, pokud je to ve veřejném zájmu, a případně dalším relevantním příslušným orgánům veškerá narušení bezpečnosti nebo narušení poskytování služby nebo provádění opatření uvedených v písm. a) bodech i), ii) nebo iii), která mají významný dopad na poskytovanou službu vytvářející důvěru nebo na osobní údaje v ní uchovávané, a to bez zbytečného odkladu a v každém případě nejpozději do 24 hodin poté, co se o jakýchkoli narušeních bezpečnosti nebo jiných narušeních dozvěděl.
2. Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely odst. 1 písm. a) tohoto článku. Pokud jsou tyto normy, specifikace a postupy splněny, předpokládá se shoda s požadavky stanovenými v tomto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
ODDÍL 3
Kvalifikované služby vytvářející důvěru
Článek 20
Dohled nad kvalifikovanými poskytovateli služeb vytvářejících důvěru
1. Kvalifikovaní poskytovatelé služeb vytvářejících důvěru se na vlastní náklady alespoň jednou za 24 měsíců podrobí auditu ze strany subjektu posuzování shody. Audit potvrdí, že kvalifikovaní poskytovatelé služeb vytvářejících důvěru a jimi poskytované kvalifikované služby vytvářející důvěru splňují požadavky stanovené v tomto nařízení a článku 21 směrnice (EU) 2022/2555. Kvalifikovaní poskytovatelé služeb vytvářejících důvěru předloží výslednou zprávu o posouzení shody orgánu dohledu do tří pracovních dnů od jejího obdržení.
1a. Kvalifikovaní poskytovatelé služeb vytvářejících důvěru informují orgán dohledu o plánovaných auditech alespoň jeden měsíc předem a na požádání umožní účast orgánu dohledu jako pozorovatele.
1b. Členské státy oznámí Komisi bez zbytečného odkladu názvy, adresy a údaje o akreditaci subjektů posuzování shody uvedených v odstavci 1 a veškeré jejich následné změny. Komise tyto informace zpřístupní všem členským státům.
2. Aniž je dotčen odstavec 1, může orgán dohledu u kvalifikovaných poskytovatelů služeb vytvářejících důvěru na jejich náklady kdykoli provést audit nebo požádat subjekt posuzování shody o provedení posouzení shody za účelem potvrzení, že oni sami i jimi poskytované kvalifikované služby vytvářející důvěru splňují požadavky stanovené v tomto nařízení. Jestliže podle všeho došlo k porušení pravidel týkajících se ochrany osobních údajů, informuje orgán dohledu bez zbytečného odkladu příslušné dozorové úřady zřízené podle článku 51 nařízení (EU) 2016/679.
3. Pokud kvalifikovaný poskytovatel služeb vytvářejících důvěru nesplňuje některý z požadavků stanovených tímto nařízením, orgán dohledu ho požádá, aby v případně stanovené lhůtě zjednal nápravu.
Pokud tento poskytovatel nezjedná nápravu, a to ve lhůtě případně stanovené orgánem dohledu, orgán dohledu, je-li to odůvodněno zejména rozsahem, délkou trvání a důsledky daného neplnění, odejme danému poskytovateli nebo dotčené službě, kterou poskytuje, status kvalifikovaného poskytovatele nebo kvalifikované služby.
3a. Pokud příslušné orgány určené nebo zřízené podle čl. 8 odst. 1 směrnice (EU) 2022/2555 informují orgán dohledu o tom, že kvalifikovaný poskytovatel služeb vytvářejících důvěru nesplňuje některý z požadavků stanovených v článku 21 uvedené směrnice, orgán dohledu, je-li to odůvodněno zejména rozsahem, délkou trvání a důsledky daného neplnění, odejme danému poskytovateli nebo dotčené službě, kterou poskytuje, status kvalifikovaného poskytovatele nebo kvalifikované služby.
3b. Pokud dozorové úřady zřízené podle článku 51 nařízení (EU) 2016/679 informují orgán dohledu o tom, že kvalifikovaný poskytovatel služeb vytvářejících důvěru nesplňuje některý z požadavků stanovených v uvedeném nařízení, orgán dohledu, je-li to odůvodněno zejména rozsahem, délkou trvání a důsledky daného neplnění, odejme danému poskytovateli nebo dotčené službě, kterou poskytuje, status kvalifikovaného poskytovatele nebo kvalifikované služby.
3c. Orgán dohledu vyrozumí daného kvalifikovaného poskytovatele služeb vytvářejících důvěru o odnětí statusu kvalifikovaného poskytovatele nebo kvalifikované služby. Orgán dohledu informuje subjekt oznámený podle čl. 22 odst. 3 tohoto nařízení pro účely aktualizace důvěryhodných seznamů uvedených v odstavci 1 uvedeného článku a příslušný orgán určený nebo zřízený podle čl. 8 odst. 1 směrnice (EU) 2022/2555.
4. Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro:
Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
a) akreditaci subjektů posuzování shody a pro zprávy o posouzení shody podle odstavce 1;
b) požadavky na audit, podle nichž budou subjekty posuzování shody provádět posuzování shody, včetně kombinovaného posuzování, kvalifikovaných poskytovatelů služeb vytvářejících důvěru podle odstavce 1;
c) režimy posuzování shody vztahující se na posuzování shody kvalifikovaných poskytovatelů služeb vytvářejících důvěru prováděné subjekty posuzování shody a na předkládání zpráv uvedených v odstavci 1.
Článek 21
Zahájení poskytování kvalifikované služby vytvářející důvěru
1. Pokud poskytovatelé služeb vytvářejících důvěru hodlají začít poskytovat kvalifikovanou službu vytvářející důvěru, oznámí orgánu dohledu svůj úmysl spolu se zprávou o posouzení shody vydanou subjektem posuzování shody, která potvrzuje splnění požadavků stanovených v tomto nařízení a v článku 21 směrnice (EU) 2022/2555.
2. Orgán dohledu ověří, zda poskytovatel služeb vytvářejících důvěru a jím poskytované služby vytvářející důvěru splňují požadavky stanovené v tomto nařízení, zejména požadavky na kvalifikované poskytovatele služeb vytvářejících důvěru a na jimi poskytované kvalifikované služby vytvářející důvěru.
Za účelem ověření, zda poskytovatel služeb vytvářejících důvěru splňuje požadavky stanovené v článku 21 směrnice (EU) 2022/2555, požádá orgán dohledu příslušné orgány určené nebo zřízené podle čl. 8 odst. 1 uvedené směrnice, aby k tomu provedly opatření dohledu a poskytly informace o výsledku bez zbytečného odkladu a v každém případě do dvou měsíců od obdržení této žádosti. Není-li ověření dokončeno do dvou měsíců od oznámení, vyrozumí uvedené příslušné orgány orgán dohledu a uvedou důvody prodlení a dobu, v níž bude ověřování dokončeno.
Dospěje-li orgán dohledu k závěru, že poskytovatel služeb vytvářejících důvěru a jím poskytované služby vytvářející důvěru splňují požadavky stanovené v tomto nařízení, udělí orgán dohledu tomuto poskytovateli služeb vytvářejících důvěru a jím poskytovaným službám vytvářejícím důvěru status kvalifikovaného poskytovatele a kvalifikované služby a uvědomí o tom subjekt uvedený v čl. 22 odst. 3 za účelem aktualizace důvěryhodných seznamů podle čl. 22 odst. 1, a to nejpozději do tří měsíců od obdržení oznámení podle odstavce 1 tohoto článku.
Není-li ověření dokončeno do tří měsíců od oznámení, vyrozumí orgán dohledu poskytovatele služeb vytvářejících důvěru a uvede důvody prodlení a dobu, v níž bude ověřování dokončeno.
3. Kvalifikovaní poskytovatelé služeb vytvářejících důvěru mohou začít danou kvalifikovanou službu vytvářející důvěru poskytovat poté, co byl status kvalifikovaného poskytovatele nebo kvalifikované služby vyznačen v důvěryhodných seznamech uvedených v čl. 22 odst. 1.
4. Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů formáty a postupy oznamování a ověřování pro účely odstavců 1 a 2 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 22
Důvěryhodné seznamy
1. Každý členský stát zřizuje, udržuje a zveřejňuje důvěryhodné seznamy obsahující informace týkající se kvalifikovaných poskytovatelů služeb vytvářejících důvěru v jeho působnosti spolu s informacemi o jimi poskytovaných kvalifikovaných službách vytvářejících důvěru.
2. Členské státy zřizují ve formě vhodné pro automatické zpracování, udržují a zabezpečeným způsobem zveřejňují důvěryhodné seznamy uvedené v odstavci 1, které jsou opatřeny elektronickým podpisem nebo elektronickou pečetí.
3. Členské státy bez zbytečného odkladu sdělí Komisi informace o subjektu odpovědném za zřízení, udržování a zveřejnění vnitrostátních důvěryhodných seznamů a poskytnou informace o místě zveřejnění těchto seznamů, o certifikátech použitých k opatření důvěryhodných seznamů elektronickým podpisem nebo pečetí a o jejich případných změnách.
4. Informace uvedené v odstavci 3 Komise bezpečnou cestou zpřístupní veřejnosti ve formě opatřené elektronickým podpisem nebo pečetí a vhodné pro automatické zpracování.
5. Do 18. září 2015 Komise prostřednictvím prováděcích aktů upřesní informace uvedené v odstavci 1 a stanoví technické specifikace a formáty pro důvěryhodné seznamy, které se použijí pro účely odstavců 1 až 4. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 23
Značka důvěry EU pro kvalifikované služby vytvářející důvěru
1. Po vyznačení statusu kvalifikovaného poskytovatele nebo kvalifikované služby podle čl. 21 odst. 2 druhého pododstavce v důvěryhodném seznamu uvedeném v čl. 22 odst. 1 mohou kvalifikovaní poskytovatelé služeb vytvářejících důvěru pomocí značky důvěry EU jednoduchým, rozpoznatelným a jasným způsobem označovat jimi poskytované kvalifikované služby vytvářející důvěru.
2. Pokud kvalifikovaní poskytovatelé služeb vytvářejících důvěru používají pro kvalifikované služby vytvářející důvěru uvedené v odstavci 1 značku důvěry EU, zajistí, aby byl na jejich internetových stránkách k dispozici odkaz na příslušný důvěryhodný seznam.
3. Do 1. července 2015 Komise prostřednictvím prováděcích aktů stanoví specifikace týkající se podoby, a zejména formátu, uspořádání, velikosti a vzhledu značky důvěry EU pro kvalifikované služby vytvářející důvěru. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 24
Požadavky na kvalifikované poskytovatele služeb vytvářejících důvěru
1. Při vydávání kvalifikovaného certifikátu nebo kvalifikovaného elektronického potvrzení atributů ověří kvalifikovaný poskytovatel služeb vytvářejících důvěru totožnost a případně zvláštní atributy fyzické nebo právnické osoby, jimž se má kvalifikovaný certifikát nebo kvalifikované elektronické potvrzení atributů vydat.
1a. Kvalifikovaný poskytovatel služeb vytvářejících důvěru provede ověření totožnosti uvedené v odstavci 1 vhodným způsobem buď přímo, nebo prostřednictvím třetí strany, a to na základě jedné z těchto metod nebo případně jejich kombinace a v souladu s prováděcími akty uvedenými v odstavci 1c:
a) prostřednictvím evropské peněženky digitální identity nebo oznámených prostředků pro elektronickou identifikaci, které splňují požadavky stanovené v článku 8, pokud jde o vysokou úroveň záruky;
b) pomocí certifikátu kvalifikovaného elektronického podpisu nebo kvalifikované elektronické pečeti, vydaných v souladu s písmeny a), c) nebo d);
c) použitím jiných metod identifikace, které zajišťují identifikaci osoby s vysokou úrovní spolehlivosti, jejichž shodu potvrdí subjekt posuzování shody;
d) na základě fyzické přítomnosti fyzické osoby nebo oprávněného zástupce právnické osoby pomocí vhodných důkazů a postupů v souladu s vnitrostátním právem.
1b. Kvalifikovaný poskytovatel služeb vytvářejících důvěru provede ověření atributů uvedené v odstavci 1 vhodným způsobem buď přímo, nebo prostřednictvím třetí strany, a to na základě jedné z těchto metod nebo případně jejich kombinace a v souladu s prováděcími akty uvedenými v odstavci 1c:
a) prostřednictvím evropské peněženky digitální identity nebo oznámených prostředků pro elektronickou identifikaci, které splňují požadavky stanovené v článku 8, pokud jde o vysokou úroveň záruky;
b) pomocí certifikátu kvalifikovaného elektronického podpisu nebo kvalifikované elektronické pečeti, vydaných v souladu s odst. 1a písm. a), c) nebo d);
c) pomocí kvalifikovaného elektronického potvrzení atributů;
d) použitím jiných metod, které zajišťují ověření atributů s vysokou úrovní spolehlivosti, jejichž shodu potvrdí subjekt posuzování shody;
e) na základě fyzické přítomnosti fyzické osoby nebo oprávněného zástupce právnické osoby pomocí vhodných důkazů a postupů v souladu s vnitrostátním právem.
1c. Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely ověřování totožnosti a atributů v souladu s odstavci 1, 1a a 1b tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
2. Kvalifikovaný poskytovatel služeb vytvářejících důvěru poskytující kvalifikované služby vytvářející důvěru:
Orgán dohledu si může vyžádat informace nad rámec informací, které jsou mu oznamovány v souladu s prvním pododstavcem písm. a), nebo výsledek posouzení shody a může stanovit podmínky pro udělení povolení k provedení zamýšlených změn kvalifikovaných služeb vytvářejících důvěru. Není-li ověření dokončeno do tří měsíců od oznámení, vyrozumí orgán dohledu poskytovatele služeb vytvářejících důvěru a uvede důvody prodlení a dobu, v níž bude ověřování dokončeno.
a) informuje orgán dohledu alespoň jeden měsíc před provedením jakékoli změny v poskytování svých kvalifikovaných služeb vytvářejících důvěru nebo tři měsíce v případě záměru ukončit tyto činnosti;
b) zaměstnává pracovníky a případně subdodavatele, kteří mají potřebné odborné znalosti, zkušenosti a kvalifikace, jsou spolehliví a absolvovali odpovídající odbornou přípravu týkající se bezpečnosti a pravidel ochrany osobních údajů, a používá správní a řídicí postupy, které odpovídají evropským nebo mezinárodním normám;
c) vzhledem k riziku odpovědnosti za škody v souladu s článkem 13 udržuje dostatečné finanční prostředky nebo uzavřel vhodné pojištění odpovědnosti v souladu s vnitrostátním právem;
d) před uzavřením smluvního vztahu informuje jasným, srozumitelným a jednoduše přístupným způsobem, ve veřejně dostupném prostoru a individuálně každou osobu, která chce využít kvalifikovanou službu vytvářející důvěru, o přesných podmínkách používání této služby, včetně případných omezení jejího využívání;
e) používá důvěryhodné systémy a produkty, které jsou chráněny proti pozměnění, a zajišťuje technickou bezpečnost a spolehlivost procesů, které podporují, včetně použití vhodných kryptografických technik;
f) používá důvěryhodné systémy k uchovávání dat, která jsou mu poskytnuta, v ověřitelné podobě, aby:
- i) byla veřejně přístupná pro účely vyhledávání pouze se souhlasem osoby, jíž se data týkají,
- ii) záznamy a změny v uložených datech mohly provádět pouze oprávněné osoby,
- iii) bylo možno ověřit pravost dat;
fa) bez ohledu na článek 21 směrnice (EU) 2022/2555 má vhodné politiky a přijímá odpovídající opatření pro řízení právních, obchodních, provozních a jiných přímých nebo nepřímých rizik poskytování kvalifikované služby vytvářející důvěru, zahrnující alespoň opatření týkající se:
- i) registrace ke službě a zapojení do jejího používání;
- ii) procesních nebo správních kontrol;
- iii) řízení a provádění služeb;
fb) oznámí orgánu dohledu, identifikovatelným dotčeným osobám, případně dalším relevantním příslušným orgánům a na žádost orgánu dohledu veřejnosti, pokud je to ve veřejném zájmu, veškerá narušení bezpečnosti nebo narušení poskytování služby nebo provádění opatření uvedených v písm. fa) bodech i), ii) nebo iii), která mají významný dopad na poskytovanou službu vytvářející důvěru nebo na osobní údaje v ní uchovávané, a to bez zbytečného odkladu a v každém případě do 24 hodin poté, co došlo k incidentu;
g) přijímá vhodná opatření proti padělání, odcizení nebo zneužití dat nebo neoprávněnému vymazání, pozměnění nebo znepřístupnění dat;
h) po nezbytně dlouhou dobu poté, co ukončil svou činnost kvalifikovaného poskytovatele služeb vytvářejících důvěru, eviduje a zpřístupňuje veškeré příslušné informace týkající se dat, která vydal a obdržel, pro účely poskytnutí důkazů v soudním a správním řízení a pro účely zajištění kontinuity služby. Tato evidence může mít elektronickou podobu;
i) má k dispozici aktualizovaný plán ukončení činnosti k zajištění kontinuity služby v souladu s ustanoveními ověřenými orgánem dohledu podle čl. 46b odst. 4 písm. i);
j) zajišťuje zákonné zpracovávání osobních údajů v souladu se směrnicí 95/46/ES;
k) pokud se jedná o kvalifikovaného poskytovatele služeb vytvářejících důvěru vydávajícího kvalifikované certifikáty, vede a aktualizuje databázi certifikátů.
3. Jestliže se kvalifikovaný poskytovatel služeb vytvářejících důvěru vydávající kvalifikované certifikáty rozhodne určitý certifikát zneplatnit, zaeviduje toto zneplatnění ve své databázi certifikátů a zneplatnění certifikátu včas a v každém případě do 24 hodin od obdržení žádosti zveřejní. Zneplatnění nabývá účinku okamžitě po zveřejnění.
4. Pokud jde o odstavec 3, kvalifikovaní poskytovatelé služeb vytvářejících důvěru vydávající kvalifikované certifikáty poskytnou kterékoli spoléhající se straně informace o platnosti nebo o zneplatnění kvalifikovaných certifikátů, které vydali. Tyto informace se poskytnou alespoň na základě certifikátu, a to kdykoli i po skončení doby platnosti certifikátu, automatizovaným způsobem, který je spolehlivý, bezplatný a účinný.
4a. Odstavce 3 a 4 se odpovídajícím způsobem použijí na zneplatnění kvalifikovaných elektronických potvrzení atributů.
4b. Komisi je svěřena pravomoc přijímat v souladu s článkem 47 akty v přenesené pravomoci, které stanoví dodatečná opatření uvedená v odst. 2 písm. fa) tohoto článku.
5. Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely požadavků uvedených v odstavci 2 tohoto článku. Pokud jsou tyto normy, specifikace a postupy splněny, předpokládá se shoda s požadavky stanovenými v tomto odstavci. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 24a
Uznávání kvalifikovaných služeb vytvářejících důvěru
1. Kvalifikované elektronické podpisy založené na kvalifikovaném certifikátu vydaném v jednom členském státě se ve všech ostatních členských státech uznávají jako kvalifikované elektronické podpisy a kvalifikované elektronické pečeti založené na kvalifikovaném certifikátu vydaném v jednom členském státě se ve všech ostatních členských státech uznávají jako kvalifikované elektronické pečeti.
2. Kvalifikované prostředky pro vytváření elektronických podpisů certifikované v jednom členském státě se ve všech ostatních členských státech uznávají jako kvalifikované prostředky pro vytváření elektronických podpisů a kvalifikované prostředky pro vytváření elektronických pečetí certifikované v jednom členském státě se ve všech ostatních členských státech uznávají jako kvalifikované prostředky pro vytváření elektronických pečetí.
3. Kvalifikovaný certifikát pro elektronické podpisy, kvalifikovaný certifikát pro elektronické pečeti, kvalifikovaná služba vytvářející důvěru pro správu kvalifikovaných prostředků pro vytváření elektronických podpisů na dálku a kvalifikovaná služba vytvářející důvěru pro správu kvalifikovaných prostředků pro vytváření elektronických pečetí na dálku, poskytované v jednom členském státě se ve všech ostatních členských státech uznávají jako kvalifikovaný certifikát pro elektronické podpisy, kvalifikovaný certifikát pro elektronické pečeti, kvalifikovaná služba vytvářející důvěru pro správu kvalifikovaných prostředků pro vytváření elektronických podpisů na dálku a kvalifikovaná služba vytvářející důvěru pro správu kvalifikovaných prostředků pro vytváření elektronických pečetí na dálku.
4. Kvalifikovaná služba ověřování platnosti kvalifikovaných elektronických podpisů a kvalifikovaná služba ověřování platnosti kvalifikovaných elektronických pečetí, poskytované v jednom členském státě se ve všech ostatních členských státech uznávají jako kvalifikovaná služba ověřování platnosti kvalifikovaných elektronických podpisů a kvalifikovaná služba ověřování platnosti kvalifikovaných elektronických pečetí.
5. Kvalifikovaná služba uchovávání kvalifikovaných elektronických podpisů a kvalifikovaná služba uchovávání kvalifikovaných elektronických pečetí poskytované v jednom členském státě se ve všech ostatních členských státech uznávají jako kvalifikovaná služba uchovávání kvalifikovaných elektronických podpisů a kvalifikovaná služba uchovávání kvalifikovaných elektronických pečetí.
6. Kvalifikované elektronické časové razítko poskytnuté v jednom členském státě se ve všech ostatních členských státech uznává jako kvalifikované elektronické časové razítko.
7. Kvalifikovaný certifikát pro autentizaci internetových stránek vydaný v jednom členském státě se ve všech ostatních členských státech uznává jako kvalifikovaný certifikát pro autentizaci internetových stránek.
8. Kvalifikovaná služba elektronického doporučeného doručování poskytovaná v jednom členském státě se ve všech ostatních členských státech uznává jako kvalifikovaná služba elektronického doporučeného doručování.
9. Kvalifikované elektronické potvrzení atributů vydané v jednom členském státě se ve všech ostatních členských státech uznává jako kvalifikované elektronické potvrzení atributů.
10. Kvalifikovaná služba elektronické archivace poskytovaná v jednom členském státě se ve všech ostatních členských státech uznává jako kvalifikovaná služba elektronické archivace.
11. Kvalifikovaná elektronická kniha záznamů poskytovaná v jednom členském státě se ve všech ostatních členských státech uznává jako kvalifikovaná elektronická kniha záznamů.
ODDÍL 4
Elektronický podpis
Článek 25
Právní účinky elektronických podpisů
1. Elektronickému podpisu nesmějí být upírány právní účinky a nesmí být odmítán jako důkaz v soudním a správním řízení pouze z toho důvodu, že má elektronickou podobu nebo že nesplňuje požadavky na kvalifikované elektronické podpisy.
2. Kvalifikovaný elektronický podpis má právní účinek rovnocenný vlastnoručnímu podpisu.
3. Kvalifikovaný elektronický podpis založený na kvalifikovaném certifikátu vydaném v jednom členském státě se uznává jako kvalifikovaný elektronický podpis ve všech ostatních členských státech.
Článek 26
Požadavky na zaručené elektronické podpisy
1. Zaručený elektronický podpis musí splňovat tyto požadavky:
a) je jednoznačně spojen s podepisující osobou;
b) umožňuje identifikaci podepisující osoby;
c) je vytvořen pomocí dat pro vytváření elektronických podpisů, která podepisující osoba může s vysokou úrovní důvěry použít pod svou výhradní kontrolou; a
d) je k datům, která jsou tímto podpisem podepsána, připojen takovým způsobem, že je možné zjistit jakoukoliv následnou změnu dat.
2. Do 21. května 2026 Komise posoudí, zda je nezbytné přijmout prováděcí akty, kterými se stanoví seznam referenčních norem a kterými se v případě potřeby stanoví specifikace a postupy pro zaručené elektronické podpisy. Na základě tohoto posouzení může Komise takové prováděcí akty přijmout. Pokud zaručený elektronický podpis splňuje normy, specifikace a postupy, předpokládá se shoda s požadavky na zaručené elektronické podpisy. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 27
Elektronické podpisy ve veřejných službách
1. Pokud členský stát pro využití určité on-line služby, která je poskytována subjektem veřejného sektoru nebo jeho jménem, požaduje zaručený elektronický podpis, uznává zaručené elektronické podpisy, zaručené elektronické podpisy založené na kvalifikovaném certifikátu pro elektronické podpisy a kvalifikované elektronické podpisy alespoň ve formátech nebo s použitím metod stanovených v prováděcích aktech uvedených v odstavci 5.
2. Pokud členský stát pro využití určité on-line služby, která je poskytována subjektem veřejného sektoru nebo jeho jménem, požaduje zaručený elektronický podpis založený na kvalifikovaném certifikátu, uznává zaručené elektronické podpisy založené na kvalifikovaném certifikátu a kvalifikované elektronické podpisy alespoň ve formátech nebo s použitím metod stanovených v prováděcích aktech uvedených v odstavci 5.
3. Členské státy nesmějí v případě přeshraničního využívání on-line služby poskytované subjektem veřejného sektoru vyžadovat elektronický podpis s vyšší zárukou bezpečnosti než kvalifikovaný elektronický podpis.
4. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro zaručené elektronické podpisy. Pokud zaručený elektronický podpis vyhovuje těmto normám, předpokládá se shoda s požadavky na zaručené elektronické podpisy uvedenými v odstavcích 1 a 2 tohoto článku a v článku 26. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
5. Do 18. září 2015 Komise s přihlédnutím ke stávajícím postupům, normám a právním aktům Unie stanoví prostřednictvím prováděcích aktů referenční formáty zaručených elektronických podpisů nebo referenční metody, jsou-li používány alternativní formáty. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 28
Kvalifikované certifikáty pro elektronické podpisy
1. Kvalifikované certifikáty pro elektronické podpisy musí splňovat požadavky stanovené v příloze I.
2. Kvalifikované certifikáty pro elektronické podpisy nepodléhají žádným závazným požadavkům, které přesahují požadavky stanovené v příloze I.
3. Kvalifikované certifikáty pro elektronické podpisy mohou obsahovat další zvláštní atributy, které nejsou povinné. Těmito atributy nesmějí být dotčeny interoperabilita a uznávání kvalifikovaných elektronických podpisů.
4. Pokud byl kvalifikovaný certifikát pro elektronické podpisy po počáteční aktivaci zneplatněn, ztrácí okamžikem zneplatnění platnost a jeho status se nemůže v žádném případě změnit zpět.
5. Členské státy mohou stanovit vnitrostátní pravidla dočasného pozastavení platnosti kvalifikovaných certifikátů pro elektronický podpis s výhradou těchto podmínek:
a) je-li platnost kvalifikovaného certifikátu pro elektronický podpis dočasně pozastavena, pozbývá tento certifikát na dobu pozastavení platnosti;
b) doba pozastavení platnosti je jasně vyznačena v databázi certifikátů a pozastavení platnosti je po svou dobu viditelné ve službě poskytující informace o statusu certifikátu.
6. Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro kvalifikované certifikáty pro elektronický podpis. Pokud kvalifikovaný certifikát pro elektronický podpis splňuje normy, specifikace a postupy, předpokládá se shoda s požadavky stanovenými v příloze I. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 29
Požadavky na kvalifikované prostředky pro vytváření elektronických podpisů
1. Kvalifikované prostředky pro vytváření elektronických podpisů musí splňovat požadavky stanovené v příloze II.
1a. Vytvářet nebo spravovat data pro vytváření elektronických podpisů či tato data kopírovat pro účely zálohování lze pouze jménem podepisující osoby a na její žádost a může tak činit pouze kvalifikovaný poskytovatel služeb vytvářejících důvěru, který poskytuje kvalifikovanou službu vytvářející důvěru pro správu kvalifikovaných prostředků pro vytváření elektronických podpisů na dálku.
2. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro kvalifikované prostředky pro vytváření elektronických podpisů. Pokud kvalifikovaný prostředek pro vytváření elektronických podpisů vyhovuje těmto normám, předpokládá se shoda s požadavky stanovenými v příloze II. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 29a
Požadavky na kvalifikovanou službu správy kvalifikovaných prostředků pro vytváření elektronických podpisů na dálku
1. Správu kvalifikovaných prostředků pro vytváření elektronických podpisů na dálku jako kvalifikované služby provádí pouze kvalifikovaný poskytovatel služeb vytvářejících důvěru, který:
a) vytváří nebo spravuje data pro vytváření elektronických podpisů jménem podepisující osoby;
b) bez ohledu na přílohu II bod 1 písm. d) kopíruje data pro vytváření elektronických podpisů pouze pro účely zálohování, jsou-li splněny tyto požadavky:
- i) bezpečnost zkopírovaných souborů dat je na stejné úrovni jako u původních souborů dat;
- ii) počet zkopírovaných souborů dat nesmí přesáhnout minimum potřebné pro zajištění kontinuity služby;
c) splňuje všechny požadavky uvedené v certifikační zprávě konkrétního kvalifikovaného prostředku pro vytváření elektronických podpisů na dálku vydané podle článku 30.
2. Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely odstavce 1 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 30
Certifikace kvalifikovaných prostředků pro vytváření elektronických podpisů
1. Shodu kvalifikovaných prostředků pro vytváření elektronických podpisů s požadavky stanovenými v příloze II certifikují příslušné veřejné nebo soukromé subjekty, které určily členské státy.
2. Členské státy sdělí Komisi názvy a adresy veřejných nebo soukromých subjektů uvedených v odstavci 1. Komise tyto informace zpřístupní členským státům.
3. Certifikace podle odstavce 1 je založena na jednom z těchto postupů:
Komise prostřednictvím prováděcích aktů sestaví seznam norem pro posuzování bezpečnosti produktů informačních technologií uvedený v prvním pododstavci písm. a). Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
a) postupu posouzení bezpečnosti, který byl proveden v souladu s některou z norem pro posuzování bezpečnosti produktů informačních technologií uvedených na seznamu sestaveném v souladu s druhým pododstavcem tohoto odstavce; nebo
b) jiném postupu, než je postup uvedený v písmenu a), za podmínky, že používá srovnatelné úrovně bezpečnosti a že veřejný nebo soukromý subjekt uvedený v odstavci 1 daný postup oznámí Komisi. Tento postup může být použit pouze v případě, že normy uvedené v písmenu a) neexistují nebo že postup posouzení bezpečnosti podle písmene a) dosud probíhá.
3a. Platnost certifikace uvedené v odstavci 1 nesmí překročit pět let, přičemž se každé dva roky provádí hodnocení zranitelnosti. Jsou-li identifikovány zranitelnosti a nejsou-li odstraněny, certifikace se zruší.
4. Komise je zmocněna k přijímání aktů v přenesené pravomoci v souladu s článkem 47, pokud jde o stanovení zvláštních kritérií, která mají splňovat určené subjekty uvedené v odstavci 1 tohoto článku.
Článek 31
Zveřejnění seznamu certifikovaných kvalifikovaných prostředků pro vytváření elektronických podpisů
1. Členské státy bez zbytečného odkladu a nejpozději jeden měsíc po ukončení certifikace oznámí Komisi informace o kvalifikovaných prostředcích pro vytváření elektronických podpisů, které byly certifikovány subjekty uvedenými v čl. 30 odst. 1. Bez zbytečného odkladu a nejpozději jeden měsíc po zrušení certifikace Komisi rovněž oznámí informace o prostředcích pro vytváření elektronických podpisů, které již nebudou certifikovány.
2. Na základě obdržených informací Komise zřizuje, zveřejňuje a udržuje seznam certifikovaných kvalifikovaných prostředků pro vytváření elektronických podpisů.
3. Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů formáty a postupy použitelné pro účely odstavce 1 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 32
Požadavky na ověřování platnosti kvalifikovaných elektronických podpisů
1. Postup ověření platnosti kvalifikovaného elektronického podpisu potvrdí platnost kvalifikovaného elektronického podpisu, pokud:
Pokud ověřování platnosti kvalifikovaných elektronických podpisů splňuje normy, specifikace a postupy uvedené v odstavci 3, předpokládá se shoda s požadavky stanovenými v prvním pododstavci tohoto odstavce.
a) certifikát, na němž je podpis založen, byl v okamžiku podpisu kvalifikovaným certifikátem pro elektronický podpis, jenž je v souladu s přílohou I;
b) kvalifikovaný certifikát byl vydán kvalifikovaným poskytovatelem služeb vytvářejících důvěru a v okamžiku podpisu byl platný;
c) data pro ověřování platnosti podpisu odpovídají datům poskytnutým spoléhající se straně;
d) spoléhající se straně je řádně poskytnut jedinečný soubor dat identifikujících podepisující osobu v certifikátu;
e) pokud byl v okamžiku podpisu použit pseudonym, je jeho použití jednoznačně sděleno spoléhající se straně;
f) elektronický podpis byl vytvořen kvalifikovaným prostředkem pro vytváření elektronických podpisů;
g) nebyla ohrožena integrita podepsaných dat;
h) v okamžiku podpisu byly splněny požadavky stanovené v článku 26.
2. Systém použitý k ověření platnosti kvalifikovaného elektronického podpisu musí poskytovat spoléhající se straně řádný výsledek postupu ověření platnosti a umožňovat jí zjistit jakékoli problémy týkající se bezpečnosti.
3. Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely ověřování platnosti kvalifikovaných elektronických podpisů. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 32a
Požadavky na ověřování platnosti zaručených elektronických podpisů založených na kvalifikovaných certifikátech
1. Postup ověření platnosti zaručeného elektronického podpisu založeného na kvalifikovaném certifikátu potvrdí platnost zaručeného elektronického podpisu založeného na kvalifikovaném certifikátu, pokud:
a) certifikát, na němž je podpis založen, byl v okamžiku podpisu kvalifikovaným certifikátem pro elektronický podpis, jenž je v souladu s přílohou I;
b) kvalifikovaný certifikát byl vydán kvalifikovaným poskytovatelem služeb vytvářejících důvěru a v okamžiku podpisu byl platný;
c) data pro ověřování platnosti podpisu odpovídají datům poskytnutým spoléhající se straně;
d) spoléhající se straně je řádně poskytnut jedinečný soubor dat identifikujících podepisující osobu v certifikátu;
e) pokud byl v okamžiku podpisu použit pseudonym, je jeho použití jednoznačně sděleno spoléhající se straně;
f) nebyla ohrožena integrita podepsaných dat;
g) v okamžiku podpisu byly splněny požadavky stanovené v článku 26.
2. Systém použitý k ověření platnosti zaručeného elektronického podpisu založeného na kvalifikovaném certifikátu musí poskytnout spoléhající se straně řádný výsledek postupu ověření platnosti a umožňovat jí zjistit jakékoli problémy týkající se bezpečnosti.
3. Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely ověřování platnosti zaručených elektronických podpisů založených na kvalifikovaných certifikátech. Pokud ověřování platnosti zaručených elektronických podpisů založených na kvalifikovaných certifikátech splňuje tyto normy, specifikace a postupy, předpokládá se shoda s požadavky stanovenými v odstavci 1 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 33
Kvalifikovaná služba ověřování platnosti kvalifikovaných elektronických podpisů
1. Kvalifikovanou službu ověřování platnosti kvalifikovaných elektronických podpisů může poskytovat pouze kvalifikovaný poskytovatel služeb vytvářejících důvěru, který:
a) zajišťuje ověřování platnosti v souladu s čl. 32 odst. 1 a
b) umožňuje, aby spoléhající se strany obdržely výsledek postupu ověření platnosti automatizovaným způsobem, který je spolehlivý, účinný a je opatřen zaručeným elektronickým podpisem nebo zaručenou elektronickou pečetí poskytovatele kvalifikované služby ověřování platnosti.
2. Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely kvalifikované služby ověřování platnosti uvedené v odstavci 1 tohoto článku. Pokud služba ověřování platnosti kvalifikovaných elektronických podpisů splňuje tyto normy, specifikace a postupy, předpokládá se shoda s požadavky stanovenými v odstavci 1 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 34
Kvalifikovaná služba uchovávání kvalifikovaných elektronických podpisů
1. Kvalifikovanou službu uchovávání kvalifikovaných elektronických podpisů může poskytovat pouze kvalifikovaný poskytovatel služeb vytvářejících důvěru, který používá postupy a technologie, jež jsou s to zajistit důvěryhodnost kvalifikovaného elektronického podpisu i po uplynutí doby technické platnosti.
1a. Pokud postupy pro kvalifikovanou službu uchovávání kvalifikovaných elektronických podpisů splňují normy, specifikace a postupy uvedené v odstavci 2, předpokládá se shoda s požadavky stanovenými v odstavci 1.
2. Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely kvalifikované služby uchovávání kvalifikovaných elektronických podpisů. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
ODDÍL 5
Elektronické pečetě
Článek 35
Právní účinky elektronických pečetí
1. Elektronické pečeti nesmějí být upírány právní účinky a nesmí být odmítána jako důkaz v soudním a správním řízení pouze z toho důvodu, že má elektronickou podobu nebo že nesplňuje požadavky na kvalifikované elektronické pečetě.
2. U kvalifikované elektronické pečeti platí domněnka integrity dat a správnosti původu těch dat, s nimiž je kvalifikovaná elektronická pečeť spojena.
3. Kvalifikovaná elektronická pečeť založená na kvalifikovaném certifikátu vydaném v jednom členském státě se uznává jako kvalifikovaná elektronická pečeť ve všech ostatních členských státech.
Článek 36
Požadavky na zaručené elektronické pečetě
1. Zaručená elektronická pečeť musí splňovat tyto požadavky:
a) je jednoznačně spojena s pečetící osobou;
b) umožňuje identifikaci pečetící osoby;
c) je vytvořena pomocí dat pro vytváření elektronických pečetí, která může pečetící osoba s vysokou úrovní důvěry použít k vytváření elektronické pečeti pod svou kontrolou; a
d) je k datům, ke kterým se vztahuje, připojena takovým způsobem, že je možné zjistit jakoukoliv následnou změnu dat.
2. Do 21. května 2026 Komise posoudí, zda je nezbytné přijmout prováděcí akty, kterými se stanoví seznam referenčních norem a kterými se v případě potřeby stanoví specifikace a postupy pro zaručené elektronické pečeti. Na základě tohoto posouzení může Komise takové prováděcí akty přijmout. Pokud zaručená elektronická pečeť splňuje tyto normy, specifikace a postupy, předpokládá se shoda s požadavky pro zaručené elektronické pečeti. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 37
Elektronické pečetě ve veřejných službách
1. Pokud členský stát pro využití určité on-line služby, která je poskytována subjektem veřejného sektoru nebo jeho jménem, požaduje zaručenou elektronickou pečeť, uznává zaručené elektronické pečetě, zaručené elektronické pečetě založené na kvalifikovaném certifikátu pro elektronické pečetě a kvalifikované elektronické pečetě alespoň ve formátech nebo s použitím metod stanovených v prováděcích aktech uvedených v odstavci 5.
2. Pokud členský stát pro využití určité on-line služby, která je poskytována subjektem veřejného sektoru nebo jeho jménem, požaduje zaručenou elektronickou pečeť založenou na kvalifikovaném certifikátu, uznává zaručené elektronické pečetě založené na kvalifikovaném certifikátu a kvalifikované elektronické pečetě alespoň ve formátech nebo s použitím metod stanovených v prováděcích aktech uvedených v odstavci 5.
3. Členské státy nesmějí v případě přeshraničního využívání on-line služby poskytované subjektem veřejného sektoru vyžadovat elektronickou pečeť s vyšší zárukou bezpečnosti než kvalifikovanou elektronickou pečeť.
4. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro zaručené elektronické pečetě. Pokud zaručená elektronická pečeť vyhovuje těmto normám, předpokládá se shoda s požadavky na zaručené elektronické pečetě uvedenými v odstavcích 1 a 2 tohoto článku a v článku 36. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
5. Do 18. září 2015 Komise s přihlédnutím ke stávajícím postupům, normám a právním aktům Unie stanoví prostřednictvím prováděcích aktů referenční formáty zaručených elektronických pečetí nebo referenční metody, jsou-li používány alternativní formáty. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 38
Kvalifikované certifikáty pro elektronické pečetě
1. Kvalifikované certifikáty pro elektronické pečetě musí splňovat požadavky stanovené v příloze III.
2. Kvalifikované certifikáty pro elektronické pečetě nepodléhají žádným závazným požadavkům, které přesahují požadavky stanovené v příloze III.
3. Kvalifikované certifikáty pro elektronické pečetě mohou obsahovat další zvláštní atributy, které nejsou povinné. Těmito atributy nesmějí být dotčeny interoperabilita a uznávání kvalifikovaných elektronických pečetí.
4. Pokud byl kvalifikovaný certifikát pro elektronickou pečeť po počáteční aktivaci zneplatněn, ztrácí okamžikem zneplatnění platnost a jeho status se nemůže v žádném případě změnit zpět.
5. Členské státy mohou stanovit vnitrostátní pravidla dočasného pozastavení platnosti kvalifikovaných certifikátů pro elektronické pečetě s výhradou těchto podmínek:
a) je-li platnost kvalifikovaného certifikátu pro elektronickou pečeť dočasně pozastavena, pozbývá tento certifikát na dobu pozastavení platnosti;
b) doba pozastavení platnosti je jasně vyznačena v databázi certifikátů a pozastavení platnosti je po svou dobu viditelné ve službě poskytující informace o statusu certifikátu.
6. Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely kvalifikovaných certifikátů pro elektronické pečetě. Pokud kvalifikovaný certifikát pro elektronickou pečeť splňuje tyto normy, specifikace a postupy, předpokládá se shoda s požadavky stanovenými v příloze III. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 39
Kvalifikované prostředky pro vytváření elektronických pečetí
1. Na kvalifikované prostředky pro vytváření elektronických pečetí se použije přiměřeně článek 29.
2. Na certifikaci kvalifikovaných prostředků pro vytváření elektronických pečetí se použije přiměřeně článek 30.
3. Na zveřejnění seznamu certifikovaných kvalifikovaných prostředků pro vytváření elektronických pečetí se použije přiměřeně článek 31.
Článek 39a
Požadavky na kvalifikovanou službu správy kvalifikovaných prostředků pro vytváření elektronických pečetí na dálku
Článek 40
Ověřování platnosti a uchovávání kvalifikovaných elektronických pečetí
Článek 40a
Požadavky na ověřování zaručených elektronických pečetí založených na kvalifikovaných certifikátech
ODDÍL 6
Elektronická časová razítka
Článek 41
Právní účinek elektronických časových razítek
1. Elektronickému časovému razítku nesmějí být upírány právní účinky a nesmí být odmítáno jako důkaz v soudním a správním řízení pouze z toho důvodu, že má elektronickou podobu nebo že nesplňuje požadavky na kvalifikované elektronické časové razítko.
2. U kvalifikovaného elektronického časového razítka platí domněnka správnosti data a času, které udává, a integrity dat, s nimiž jsou toto datum a tento čas spojeny.
3. Kvalifikované elektronické časové razítko vydané v jednom členském státě se uznává jako kvalifikované elektronické časové razítko ve všech členských státech.
Článek 42
Požadavky na kvalifikovaná elektronická časová razítka
1. Kvalifikované elektronické časové razítko musí splňovat tyto požadavky:
a) spojuje datum a čas s daty takovým způsobem, aby byla přiměřeně zamezena možnost nezjistitelné změny dat;
b) je založeno na zdroji přesného času, který je spojen s koordinovaným světovým časem; a
c) je podepsáno s použitím zaručeného elektronického podpisu, opatřeno zaručenou elektronickou pečetí kvalifikovaného poskytovatele služeb vytvářejících důvěru nebo označeno jinou rovnocennou metodou.
1a. Pokud spojení data a času s příslušnými daty a přesnost zdroje času splňují normy, specifikace a postupy uvedené v odstavci 2, předpokládá se shoda s požadavky stanovenými v odstavci 1.
2. Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely spojení data a času s příslušnými daty a pro účely stanovení přesnosti zdrojů času. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
ODDÍL 7
Služba elektronického doporučeného doručování
Článek 43
Právní účinek služby elektronického doporučeného doručování
1. Datům odeslaným a přijatým prostřednictvím služby elektronického doporučeného doručování nesmějí být upírány právní účinky a nesmějí být odmítána jako důkaz v soudním a správním řízení pouze z toho důvodu, že mají elektronickou podobu nebo že nesplňují požadavky na kvalifikovanou službu elektronického doporučeného doručování.
2. U dat odeslaných a přijatých prostřednictvím kvalifikované služby elektronického doporučeného doručování platí domněnka integrity dat, odeslání těchto dat identifikovaným odesílatelem, jejich přijetí identifikovaným příjemcem a správnosti data a času odeslání a přijetí, jež jsou u kvalifikované služby elektronického doporučeného doručování uvedeny.
Článek 44
Požadavky na kvalifikované služby elektronického doporučeného doručování
1. Kvalifikované služby elektronického doporučeného doručování musí splňovat tyto požadavky:
V případě přenosu dat mezi dvěma či více kvalifikovanými poskytovateli služeb vytvářejících důvěru se požadavky uvedené v písm. a) až f) vztahují na všechny tyto kvalifikované poskytovatele služeb vytvářejících důvěru.
a) jsou poskytovány jedním či více kvalifikovanými poskytovateli služeb vytvářejících důvěru;
b) s vysokou úrovní spolehlivosti zajišťují identifikaci odesílatele;
c) zajišťují identifikaci příjemce před doručením dat;
d) odesílání a přijímání dat je zabezpečeno prostřednictvím zaručeného elektronického podpisu nebo zaručené elektronické pečeti kvalifikovaného poskytovatele služeb vytvářejících důvěru tak, aby byla vyloučena možnost nezjistitelné změny dat;
e) odesílatel a příjemce dat jsou jednoznačně vyrozuměni o případných změnách dat potřebných za účelem odeslání nebo přijetí dat;
f) datum a čas odeslání, přijetí a případná změna dat jsou označeny prostřednictvím kvalifikovaného elektronického časového razítka.
1a. Pokud postup odesílání a přijímání dat splňuje normy, specifikace a postupy uvedené v odstavci 2, předpokládá se shoda s požadavky stanovenými v odstavci 1.
2. Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely odesílání a přijímání dat. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
2a. Poskytovatelé kvalifikovaných služeb elektronického doporučeného doručování se mohou dohodnout na interoperabilitě mezi kvalifikovanými službami elektronického doporučeného doručování, které poskytují. Tento rámec interoperability musí splňovat požadavky stanovené v odstavci 1 a tato shoda musí být potvrzena subjektem posuzování shody.
2b. Komise může prostřednictvím prováděcích aktů stanovit seznam referenčních norem a v případě potřeby stanovit specifikace a postupy pro účely rámce interoperability uvedeného v odstavci 2a tohoto článku. Technické specifikace a obsah norem musí být nákladově efektivní a přiměřené. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
ODDÍL 8
Autentizace internetových stránek
Článek 45
Požadavky na kvalifikované certifikáty pro autentizaci internetových stránek
1. Kvalifikované certifikáty pro autentizaci internetových stránek musí splňovat požadavky stanovené v příloze IV. Hodnocení shody s těmito požadavky se provádí v souladu s normami, specifikacemi a postupy uvedenými v odstavci 2 tohoto článku.
1a. Kvalifikované certifikáty pro autentizaci internetových stránek vydané v souladu s odstavcem 1 tohoto článku jsou uznávány poskytovateli internetových prohlížečů. Poskytovatelé internetových prohlížečů zajistí, aby údaje o totožnosti potvrzené v certifikátu a další potvrzené atributy byly zobrazeny uživatelsky přívětivým způsobem. Poskytovatelé internetových prohlížečů zajistí podporu a interoperabilitu s kvalifikovanými certifikáty pro autentizaci internetových stránek uvedenými v odstavci 1 tohoto článku, s výjimkou mikropodniků nebo malých podniků, jak jsou vymezeny v článku 2 přílohy doporučení 2003/361/ES, v prvních pěti letech fungování jako poskytovatelé služeb prohlížení internetových stránek.
1b. Kvalifikované certifikáty pro autentizaci internetových stránek nepodléhají žádným jiným závazným požadavkům, než jsou požadavky stanovené v odstavci 1.
2. Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely kvalifikovaných certifikátů pro autentizaci internetových stránek uvedené v odstavci 1 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 45a
Předběžná opatření týkající se kybernetické bezpečnosti
1. Poskytovatelé internetových prohlížečů nepřijmou žádná opatření, která by byla v rozporu s jejich povinnostmi stanovenými v článku 45, zejména s požadavky na uznávání kvalifikovaných certifikátů pro autentizaci internetových stránek a na zobrazování poskytnutých údajů o totožnosti uživatelsky přívětivým způsobem.
2. Odchylně od odstavce 1 a pouze v případě odůvodněných obav týkajících se narušení bezpečnosti nebo ztráty integrity identifikovaného certifikátu nebo souboru certifikátů mohou poskytovatelé internetových prohlížečů v souvislosti s tímto certifikátem nebo souborem certifikátů přijmout předběžná opatření.
3. Pokud poskytovatel internetového prohlížeče přijme předběžná opatření podle odstavce 2, oznámí své obavy spolu s popisem opatření přijatých ke zmírnění těchto obav bez zbytečného odkladu písemně Komisi, příslušnému orgánu dohledu, subjektu, kterému byl certifikát vydán, a kvalifikovanému poskytovateli služeb vytvářejících důvěru, který daný certifikát nebo soubor certifikátů vydal. Po obdržení takového oznámení vydá příslušný orgán dohledu danému poskytovateli internetového prohlížeče potvrzení o přijetí.
4. Příslušný orgán dohledu prošetří otázky uvedené v oznámení v souladu s čl. 46b odst. 4 písm. k). Pokud výsledek tohoto šetření nevede k odnětí statusu kvalifikovaného certifikátu, orgán dohledu o tom informuje poskytovatele internetového prohlížeče a požádá ho, aby ukončil předběžná opatření uvedená v odstavci 2 tohoto článku.
ODDÍL 9
elektronické potvrzení atributů
Článek 45b
Právní účinky elektronického potvrzení atributů
1. Elektronickému potvrzení atributů nesmějí být upírány právní účinky ani nesmí být odmítáno jako důkaz v soudním a správním řízení pouze z toho důvodu, že má elektronickou podobu nebo že nesplňuje požadavky na kvalifikované elektronické potvrzení atributů.
2. Kvalifikované elektronické potvrzení atributů a potvrzení atributů vydané subjektem veřejného sektoru odpovědným za autentický zdroj nebo jeho jménem má stejný právní účinek jako potvrzení v listinné podobě vydaná v souladu s právními předpisy.
3. Potvrzení atributů vydané subjektem veřejného sektoru odpovědným za autentický zdroj nebo jeho jménem v jednom členském státě se ve všech členských státech uznává jako potvrzení atributů vydané subjektem veřejného sektoru odpovědným za autentický zdroj nebo jeho jménem.
Článek 45c
Elektronické potvrzení atributů ve veřejných službách
Článek 45d
Požadavky na kvalifikované elektronické potvrzení atributů
1. Kvalifikované elektronické potvrzení atributů musí splňovat požadavky stanovené v příloze V.
2. Hodnocení shody požadavků stanovených v příloze V se provádí v souladu s normami, specifikacemi a postupy uvedenými v odstavci 5 tohoto článku.
3. Kvalifikovaná elektronická potvrzení atributů nepodléhají žádným závazným požadavkům kromě požadavků stanovených v příloze V.
4. Pokud bylo kvalifikované elektronické potvrzení atributů po počátečním vydání zneplatněno, ztrácí okamžikem zneplatnění platnost a jeho status nelze v žádném případě změnit zpět.
5. Do 21. listopadu 2024 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely kvalifikovaných elektronických potvrzení atributů. Tyto prováděcí akty jsou v souladu s prováděcími akty o zavedení evropské peněženky digitální identity, uvedenými v čl. 5a odst. 23. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 45e
Ověřování atributů podle autentických zdrojů
1. Členské státy do 24 měsíců ode dne vstupu prováděcích aktů uvedených v čl. 5a odst. 23 a čl. 5c odst. 6 v platnost zajistí, aby přinejmenším pro atributy uvedené v příloze VI, pokud tyto atributy vycházejí z autentických zdrojů v rámci veřejného sektoru, byla přijata opatření, která kvalifikovaným poskytovatelům služeb vytvářejících důvěru vydávajícím elektronická potvrzení atributů umožní na žádost uživatele v souladu s právem Unie nebo s vnitrostátním právem tyto atributy elektronickými prostředky ověřit.
2. Do 21. listopadu 2024 Komise s přihlédnutím k příslušným mezinárodním normám prostřednictvím prováděcích aktů stanoví seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro katalog atributů, jakož i schémata pro potvrzování atributů a ověřovací postupy pro kvalifikovaná elektronická potvrzení atributů pro účely odstavce 1 tohoto článku. Tyto prováděcí akty jsou v souladu s prováděcími akty o zavedení evropské peněženky digitální identity, uvedeným v čl. 5a odst. 23. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 45f
Požadavky na elektronické potvrzení atributů vydané subjektem veřejného sektoru odpovědným za autentický zdroj nebo jeho jménem
1. Elektronické potvrzení atributů vydané subjektem veřejného sektoru odpovědným za autentický zdroj nebo jeho jménem musí splňovat tyto požadavky:
a) požadavky uvedené v příloze VII;
b) kvalifikovaný certifikát, na němž jsou založeny kvalifikovaný elektronický podpis nebo kvalifikovaná elektronická pečeť subjektu veřejného sektoru uvedeného v čl. 3 bodu 46, identifikovaného jako vydavatel podle písmene b) přílohy VII, který obsahuje specifický soubor certifikovaných atributů ve formě vhodné pro automatické zpracování a:
- i) uvádí, že vydávající subjekt je zřízen v souladu s právem Unie nebo vnitrostátním právem jakožto subjekt odpovědný za autentický zdroj, na jehož základě je vydáváno elektronické potvrzení atributů, nebo jako subjekt pověřený jednat jeho jménem;
- ii) poskytuje soubor dat jednoznačně identifikujících autentický zdroj uvedený v bodu i) a
- iii) odkazuje na právo Unie nebo vnitrostátní právo podle bodu i).
2. Členský stát, v němž jsou subjekty veřejného sektoru uvedené v čl. 3 bodu 46 usazeny, zajistí, aby subjekty veřejného sektoru vydávající elektronické potvrzení atributů měly rovnocennou úroveň spolehlivosti a důvěryhodnosti jako kvalifikovaní poskytovatelé služeb vytvářejících důvěru v souladu s článkem 24.
3. Členské státy oznámí subjekty veřejného sektoru uvedené v čl. 3 bodu 46 Komisi. Toto oznámení obsahuje zprávu o posouzení shody vydanou subjektem posuzování shody potvrzující splnění požadavků stanovených v odstavcích 1, 2 a 6 tohoto článku. Seznam subjektů veřejného sektoru uvedených v čl. 3 bodu 46 Komise bezpečnou cestou zpřístupní veřejnosti ve formě opatřené elektronickým podpisem nebo pečetí a vhodné pro automatické zpracování.
4. Pokud bylo elektronické potvrzení atributů vydané subjektem veřejného sektoru odpovědným za autentický zdroj nebo jeho jménem po počátečním vydání zneplatněno, ztrácí platnost okamžikem zneplatnění a jeho status nelze změnit zpět.
5. Pokud elektronické potvrzení atributů vydané subjektem veřejného sektoru odpovědným za autentický zdroj nebo jeho jménem splňuje normy, specifikace a postupy uvedené v odstavci 6, předpokládá se shoda s požadavky stanovenými v odstavci 1.
6. Do 21. listopadu 2024 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely elektronického potvrzení atributů vydaných subjektem veřejného sektoru odpovědným za autentický zdroj nebo jeho jménem. Tyto prováděcí akty jsou v souladu s prováděcím aktem o zavedení evropské peněženky digitální identity, uvedeným v čl. 5a odst. 23. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
7. Do 21. listopadu 2024 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely odstavce 3 tohoto článku. Tyto prováděcí akty jsou v souladu s prováděcím aktem o zavedení evropské peněženky digitální identity, uvedeným v čl. 5a odst. 23. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
8. Subjekty veřejného sektoru uvedené v čl. 3 bodu 46, vydávající elektronické potvrzení atributů poskytují rozhraní s evropskými peněženkami digitální identity v souladu s článkem 5a.
Článek 45g
Vydávání elektronických potvrzení atributů pro evropské peněženky digitální identity
1. Poskytovatelé elektronických potvrzení atributů poskytnou uživatelům evropské peněženky digitální identity možnost požadovat, získat, uchovávat a spravovat elektronické potvrzení atributů bez ohledu na členský stát, který evropskou peněženku digitální identity poskytuje.
2. Poskytovatelé kvalifikovaných elektronických potvrzení atributů poskytují rozhraní s evropskými peněženkami digitální identity poskytovanými v souladu s článkem 5a.
Článek 45h
Dodatečná pravidla poskytování služeb elektronického potvrzování atributů
1. Poskytovatelé kvalifikovaných a nekvalifikovaných služeb elektronického potvrzování atributů nesmějí kombinovat osobní údaje týkající se poskytování těchto služeb s osobními údaji z jiných služeb, které nabízejí oni nebo jejich obchodní partneři.
2. Osobní údaje týkající se poskytování služeb elektronického potvrzování atributů jsou uchovávány logicky odděleně od jiných dat uchovávaných poskytovatelem elektronického potvrzování atributů.
3. Poskytovatelé kvalifikovaných služeb elektronického potvrzování atributů zavedou poskytování těchto kvalifikovaných služeb vytvářejících důvěru způsobem, který je funkčně oddělen od jiných jimi poskytovaných služeb.
ODDÍL 10
služby elektronické archivace
Článek 45i
Právní účinek služby elektronické archivace
1. Elektronickým datům a elektronickým dokumentům uchovávaným s použitím služby elektronické archivace nesmějí být upírány právní účinky ani nesmějí být odmítány jako důkaz v soudním nebo správním řízení pouze z toho důvodu, že mají elektronickou podobu nebo že nejsou uchovávány s použitím kvalifikované služby elektronické archivace.
2. U elektronických dat a elektronických dokumentů uchovávaných s použitím kvalifikované služby elektronické archivace platí předpoklad integrity dat a jejich původu, a to po dobu uchovávání kvalifikovaným poskytovatelem služeb vytvářejících důvěru.
Článek 45j
Požadavky na kvalifikované služby elektronické archivace
1. Kvalifikované služby elektronické archivace musí splňovat tyto požadavky:
a) jsou poskytovány kvalifikovanými poskytovateli služeb vytvářejících důvěru;
b) používají postupy a technologie umožňující zajistit trvanlivost a čitelnost elektronických dat a elektronických dokumentů i po uplynutí doby technologické použitelnosti – a alespoň po zákonně či smluvně stanovenou dobu uchovávání a současně zachovat jejich integritu a přesnost původu;
c) zajišťují, aby byla elektronická data a elektronické dokumenty uchovávány způsobem, který je chrání před ztrátou a pozměněním, s výjimkou změn jejich nosiče nebo elektronického formátu;
d) oprávněným spoléhajícím se stranám umožňují obdržet automatizovaným způsobem zprávu, která potvrzuje, že u elektronických dat a elektronických dokumentů získaných z kvalifikovaného elektronického archivu platí předpoklad integrity dat od začátku doby uchovávání do doby jejich zpřístupnění.
Zpráva uvedená v prvním pododstavci písm. d) se poskytne spolehlivým a účinným způsobem a musí být opatřena kvalifikovaným elektronickým podpisem nebo kvalifikovanou elektronickou pečetí poskytovatele kvalifikované služby elektronické archivace.
2. Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely kvalifikovaných služeb elektronické archivace. Pokud kvalifikovaná služba elektronické archivace splňuje tyto normy, specifikace a postupy, předpokládá se shoda s požadavky pro kvalifikované služby elektronické archivace. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
ODDÍL 11
elektronické knihy záznamů
Článek 45k
Právní účinky elektronických knih záznamů
1. Elektronické knize záznamů nesmějí být upírány právní účinky ani nesmí být odmítána jako důkaz v soudním a správním řízení pouze z toho důvodu, že má elektronickou podobu nebo že nesplňuje požadavky na kvalifikované elektronické knihy záznamů.
2. U datových záznamů obsažených v kvalifikované elektronické knize záznamů platí předpoklad jejich jedinečného a přesného sekvenčního chronologického řazení a jejich integrity.
Článek 45l
Požadavky na kvalifikované elektronické knihy záznamů
1. Kvalifikované elektronické knihy záznamů musí splňovat tyto požadavky:
a) jsou vytvářeny a spravovány jedním či více kvalifikovanými poskytovateli služeb vytvářejících důvěru;
b) identifikují původ datových záznamů v knize záznamů;
c) zajišťují jedinečné sekvenční chronologické řazení datových záznamů v knize záznamů;
d) zaznamenávají data takovým způsobem, že je možné okamžitě zjistit jakoukoliv následnou změnu dat, čímž zajišťují jejich integritu v čase.
2. Pokud elektronická kniha záznamů splňuje normy, specifikace a postupy uvedené v odstavci 3, předpokládá se shoda s požadavky stanovenými v odstavci 1.
3. Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro požadavky stanovené v odstavci 1 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
KAPITOLA IV
ELEKTRONICKÉ DOKUMENTY
Článek 46
Právní účinky elektronických dokumentů
KAPITOLA IVa
SPRÁVNÍ RÁMEC
Článek 46a
Dohled nad rámcem pro evropskou peněženku digitální identity
1. Členské státy určí jeden nebo více orgánů dohledu usazených na jejich území.
Orgánům dohledu určeným podle prvního pododstavce jsou uděleny nezbytné pravomoci a přiměřené zdroje, které jim umožňují účinně, účelně a nezávisle plnit jejich úkoly.
2. Členské státy oznámí Komisi názvy a adresy svých orgánů dohledu určených podle odstavce 1 a veškeré jejich následné změny. Komise seznam oznámených orgánů dohledu zveřejní.
3. Úlohou orgánů dohledu určených podle odstavce 1 je:
a) vykonávat dohled nad poskytovateli evropských peněženek digitální identity usazenými v členském státě, který provedl určení, a prostřednictvím činností předběžného a následného dohledu zajistit, aby tito poskytovatelé a jimi poskytované evropské peněženky digitální identity splňovali požadavky stanovené v tomto nařízení;
b) přijmout v případě potřeby prostřednictvím činností následného dohledu opatření ve vztahu k poskytovatelům evropských peněženek digitální identity usazeným na území členského státu, který provedl určení, pokud jsou informovány o tom, že tito poskytovatelé nebo jimi poskytované evropské peněženky digitální identity porušují toto nařízení.
4. Mezi úkoly orgánů dohledu určených podle odstavce 1 patří zejména:
a) spolupracovat s dalšími orgány dohledu a poskytovat jim pomoc v souladu s články 46c a 46e;
b) požadovat informace nezbytné k monitorování souladu s tímto nařízením;
c) informovat relevantní příslušné orgány dotčených členských států určené nebo zřízené podle čl. 8 odst. 1 směrnice (EU) 2022/2555 o jakémkoli závažném narušení bezpečnosti nebo ztrátě integrity, o nichž se dozví při plnění svých úkolů, a v případě závažného narušení bezpečnosti nebo ztráty integrity, které se týkají dalších členských států, informovat jednotné kontaktní místo dotčeného členského státu určené nebo zřízené podle čl. 8 odst. 3 směrnice (EU) 2022/2555 a jednotná kontaktní místa v ostatních dotčených členských státech určená podle čl. 46c odst. 1 tohoto nařízení a informovat veřejnost nebo požadovat, aby tak učinili poskytovatelé evropské peněženky digitální identity, pokud orgán dohledu rozhodne, že zveřejnění tohoto narušení bezpečnosti nebo ztráty integrity je ve veřejném zájmu;
d) provádět kontroly na místě a vzdálený dohled;
e) požadovat, aby poskytovatelé evropských peněženek digitální identity napravili případné neplnění požadavků stanovených v tomto nařízení;
f) v případě nezákonného nebo podvodného používání evropské peněženky digitální identity pozastavit nebo zrušit registraci spoléhajících se stran a začlenění spoléhajících se stran do mechanismu uvedeného v čl. 5b odst. 7;
g) spolupracovat s příslušnými dozorovými úřady zřízenými podle článku 51 nařízení (EU) 2016/679, zejména tak, že je bez zbytečného odkladu informují o tom, že zřejmě došlo k porušení pravidel týkajících se ochrany osobních údajů, jakož i o narušeních bezpečnosti, která podle všeho představují porušení zabezpečení osobních údajů.
5. Pokud orgán dohledu určený podle odstavce 1 požaduje, aby poskytovatel evropské peněženky digitální identity napravil neplnění požadavků stanovených v tomto nařízení podle odst. 4 písm. e), a tento poskytovatel odpovídajícím způsobem nejedná a případně nejedná ve lhůtě stanovené orgánem dohledu, orgán dohledu určený podle odstavce 1 může poskytovateli nařídit, aby pozastavil nebo ukončil poskytování evropské peněženky digitální identity, a to zejména s ohledem na rozsah, dobu trvání a důsledky tohoto neplnění. Orgán dohledu o rozhodnutí požadovat pozastavení nebo ukončení poskytování evropské peněženky digitální identity bez zbytečného odkladu informuje orgány dohledu ostatních členských států, Komisi, spoléhající se strany a uživatele evropské peněženky digitální identity.
6. Do 31. března každého roku každý orgán dohledu určený podle odstavce 1 předloží Komisi zprávu o svých hlavních činnostech v předchozím kalendářním roce. Komise poskytne tyto výroční zprávy Evropskému parlamentu a Radě.
7. Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů formáty a postupy pro účely zprávy uvedené v odstavci 6 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 46b
Dohled nad službami vytvářejícími důvěru
1. Členské státy určí orgán dohledu na svém území nebo, po vzájemné dohodě s jiným členským státem, určí orgán dohledu v tomto jiném členském státě. Tento orgán dohledu odpovídá za plnění úkolů v oblasti dohledu nad službami vytvářejícími důvěru v členském státě, který provedl určení.
Orgánům dohledu určeným podle prvního pododstavce jsou k plnění těchto úkolů uděleny nezbytné pravomoci a přiměřené zdroje.
2. Členské státy oznámí Komisi názvy a adresy svých orgánů dohledu určených podle odstavce 1 a veškeré jejich následné změny. Komise seznam oznámených orgánů dohledu zveřejní.
3. Úlohou orgánů dohledu určených podle odstavce 1 je:
a) vykonávat dohled nad kvalifikovanými poskytovateli služeb vytvářejících důvěru usazenými na území členského státu, který provedl určení, a prostřednictvím činností předběžného a následného dohledu zajistit, aby tito kvalifikovaní poskytovatelé služeb vytvářejících důvěru a jimi poskytované kvalifikované služby vytvářející důvěru splňovali požadavky stanovené v tomto nařízení;
b) přijmout v případě potřeby prostřednictvím činností následného dohledu opatření ve vztahu nekvalifikovaným poskytovatelům služeb vytvářejících důvěru usazeným na území členského státu, který provedl určení, pokud jsou informovány o tom, že tito nekvalifikovaní poskytovatelé služeb vytvářejících důvěru nebo jimi poskytované služby vytvářející důvěru údajně nesplňují požadavky stanovené v tomto nařízení.
4. Mezi úkoly orgánů dohledu určených podle odstavce 1 patří zejména:
a) informovat relevantní příslušné orgány dotčených členských států určené nebo zřízené podle čl. 8 odst. 1 směrnice (EU) 2022/2555 o jakémkoli závažném narušení bezpečnosti nebo ztrátě integrity, o nichž se dozví při plnění svých úkolů, a v případě závažného narušení bezpečnosti nebo ztráty integrity, které se týká dalších členských států, informovat jednotné kontaktní místo dotčeného členského státu určené nebo zřízené podle čl. 8 odst. 3 směrnice (EU) 2022/2555 a jednotná kontaktní místa v ostatních dotčených členských státech určená podle čl. 46c odst. 1 tohoto nařízení a informovat veřejnost nebo požadovat, aby tak učinili poskytovatelé služeb vytvářejících důvěru, pokud orgán dohledu rozhodne, že zveřejnění tohoto narušení bezpečnosti nebo ztráty integrity je ve veřejném zájmu;
b) spolupracovat s dalšími orgány dohledu a poskytovat jim pomoc v souladu s články 46c a 46e;
c) provádět analýzu zpráv o posouzení shody uvedených v čl. 20 odst. 1 a čl. 21 odst. 1;
d) podávat Komisi zprávy o svých hlavních činnostech v souladu s odstavcem 6 tohoto článku;
e) provádět audity kvalifikovaných poskytovatelů služeb vytvářejících důvěru nebo požadovat, aby subjekt posuzování shody provedl posouzení shody těchto poskytovatelů v souladu s čl. 20 odst. 2;
f) spolupracovat s příslušnými dozorovými úřady zřízenými podle článku 51 nařízení (EU) 2016/679, zejména tak, že je bez zbytečného odkladu informuje o tom, že zřejmě došlo k porušení pravidel týkajících se ochrany osobních údajů, jakož i o narušeních bezpečnosti, která podle všeho představují porušení zabezpečení osobních údajů;
g) v souladu s články 20 a 21 udělovat poskytovatelům služeb vytvářejících důvěru a jimi poskytovaným službám status kvalifikovaného poskytovatele nebo kvalifikované služby a odnímat tento status;
h) informovat subjekt odpovědný za vnitrostátní důvěryhodný seznam podle čl. 22 odst. 3 o svých rozhodnutích udělit nebo odejmout status kvalifikovaného poskytovatele nebo kvalifikované služby, pokud tento subjekt není rovněž orgánem dohledu určeným podle odstavce 1 tohoto článku;
i) ověřovat existenci a správné uplatňování ustanovení o plánech ukončení činnosti v případech, kdy kvalifikovaný poskytovatel služeb vytvářejících důvěru ukončí svou činnost, včetně způsobu zpřístupňování informací v souladu s čl. 24 odst. 2 písm. h);
j) požadovat, aby poskytovatelé služeb vytvářejících důvěru napravili případné neplnění požadavků stanovených v tomto nařízení;
k) prošetřovat tvrzení poskytovatelů internetových prohlížečů podle článku 45a a v případě potřeby přijmout opatření.
5. Členské státy mohou vyžadovat, aby orgán dohledu určený podle odstavce 1 zavedl, udržoval a aktualizoval důvěryhodnou infrastrukturu v souladu s vnitrostátním právem.
6. Do 31. března každého roku každý orgán dohledu určený podle odstavce 1 předloží Komisi zprávu o svých hlavních činnostech v předchozím kalendářním roce. Komise poskytne tyto výroční zprávy Evropskému parlamentu a Radě.
7. Do 21. května 2025 přijme Komise pokyny k provádění úkolů uvedených v odstavci 4 tohoto článku orgány dohledu určenými podle odstavce 1 tohoto článku a prostřednictvím prováděcích aktů stanoví formáty a postupy pro účely zprávy uvedené v odstavci 6 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 46c
Jednotná kontaktní místa
1. Každý členský stát určí jednotné kontaktní místo pro služby vytvářející důvěru, evropské peněženky digitální identity a oznámené systémy elektronické identifikace.
2. Každé jednotné kontaktní místo plní styčnou funkci, jejímž cílem je usnadnit přeshraniční spolupráci mezi orgány dohledu nad poskytovateli služeb vytvářejících důvěru a mezi orgány dohledu nad poskytovateli evropských peněženek digitální identity a případně s Komisí, Agenturou Evropské unie pro kybernetickou bezpečnost (ENISA) a dalšími příslušnými orgány v rámci svého členského státu.
3. Každý členský stát zveřejní a bez zbytečného odkladu oznámí Komisi název a adresu jednotného kontaktního místa určeného podle odstavce 1 a veškeré jejich následné změny.
4. Komise zveřejní seznam jednotných kontaktních míst oznámených podle odstavce 3.
Článek 46d
Vzájemná pomoc
1. S cílem usnadnit dohled nad plněním povinností podle tohoto nařízení a jejich vymáhání mohou orgány dohledu určené podle čl. 46a odst. 1 a čl. 46b odst. 1 požádat, a to i prostřednictvím skupiny pro spolupráci zřízené podle čl. 46e odst. 1, o vzájemnou pomoc orgány dohledu jiného členského státu, v němž je usazen poskytovatel evropské peněženky digitální identity nebo poskytovatel služeb vytvářejících důvěru nebo v němž se nachází jeho síť a informační systémy nebo v němž jsou poskytovány jeho služby.
2. Vzájemná pomoc obnáší alespoň to, že:
Ujednání a postupy pro společné činnosti podle prvního pododstavce dohodnou a zavedou dotčené členské státy v souladu se svým vnitrostátním právem.
a) orgán dohledu, který uplatňuje opatření v oblasti dohledu a vymáhání v jednom členském státě, informuje orgán dohledu z druhého dotčeného členského státu a konzultuje s ním;
b) orgán dohledu může požádat orgán dohledu jiného dotčeného členského státu, aby přijal opatření v oblasti dohledu nebo vymáhání, zahrnující například žádosti o provedení kontrol v souvislosti se zprávami o posouzení shody podle článků 20 a 21, pokud jde o poskytování služeb vytvářejících důvěru;
c) orgány dohledu mohou případně provádět společná šetření s orgány dohledu jiných členských států.
3. Orgán dohledu, jemuž byla podána žádost o pomoc, může tuto žádost odmítnout z kteréhokoliv z těchto důvodů:
a) požadovaná pomoc je nepřiměřená činnostem v oblasti dohledu, které daný orgán dohledu vykonává v souladu s články 46a a 46b;
b) orgán dohledu není k poskytnutí požadované pomoci příslušný;
c) poskytnutí požadované pomoci by nebylo slučitelné s tímto nařízením.
4. Do 21. května 2025 a poté každé dva roky vydá skupina pro spolupráci zřízená podle čl. 46e odst. 1 pokyny týkající se organizačních aspektů a postupů vzájemné pomoci uvedené v odstavcích 1 a 2 tohoto článku.
Článek 46e
Skupina pro evropskou spolupráci v oblasti digitální identity
1. S cílem podpořit a usnadnit přeshraniční spolupráci členských států a výměnu informací v souvislosti se službami vytvářejícími důvěru, evropskými peněženkami digitální identity a oznámenými systémy elektronické identifikace zřídí Komise skupinu pro evropskou spolupráci v oblasti digitální identity (dále jen „skupina pro spolupráci“).
2. Skupinu pro spolupráci tvoří zástupci jmenovaní členskými státy a zástupci Komise. Skupině pro spolupráci předsedá Komise. Komise zajišťuje sekretariát skupiny pro spolupráci.
3. K účasti na zasedáních skupiny pro spolupráci a k účasti na její činnosti mohou být ad hoc jako pozorovatelé přizváni zástupci příslušných zúčastněných stran.
4. K účasti na činnosti skupiny pro spolupráci je jako pozorovatel přizvána agentura ENISA, pokud ve skupině probíhá výměna názorů, osvědčených postupů a informací týkajících se relevantních aspektů kybernetické bezpečnosti, jako je oznamování narušení bezpečnosti, a pokud se projednává používání certifikátů nebo norem kybernetické bezpečnosti.
5. Skupina pro spolupráci má tyto úkoly:
a) vyměňovat si názory a spolupracovat s Komisí na nových politických iniciativách v oblasti peněženek digitální identity, prostředků pro elektronickou identifikaci a služeb vytvářejících důvěru;
b) ve vhodných případech poskytovat Komisi poradenství při včasné přípravě návrhů prováděcích aktů a aktů v přenesené pravomoci, které mají být přijaty podle tohoto nařízení;
c) za účelem podpory orgánů dohledu při provádění ustanovení tohoto nařízení vykonávat tyto činnosti:
- i) vyměňovat si osvědčené postupy a informace týkající se uplatňování ustanovení tohoto nařízení;
- ii) posuzovat relevantní vývoj v oblasti peněženek digitální identity, elektronické identifikace a služeb vytvářejících důvěru;
- iii) pořádat společná setkání s příslušnými zainteresovanými stranami z celé Unie za účelem projednávání činností vykonávaných skupinou pro spolupráci a shromažďování poznatků o nových výzvách v oblasti této politiky;
- iv) s podporou agentury ENISA si vyměňovat názory, osvědčené postupy a informace v souvislosti s příslušnými aspekty kybernetické bezpečnosti týkajícími se evropských peněženek digitální identity, systémů elektronické identifikace a služeb vytvářejících důvěru;
- v) vyměňovat si osvědčené postupy v souvislosti s vývojem a prováděním politik týkajících se oznamování narušení bezpečnosti a společných opatření podle článků 5e a 10;
- vi) pořádat společná setkání se skupinou pro spolupráci v oblasti bezpečnosti sítí a informací zřízenou podle čl. 14 odst. 1 směrnice (EU) 2022/2555 s cílem vyměňovat si v souvislosti se službami vytvářejícími důvěru a s elektronickou identifikací relevantní informace týkající se kybernetických hrozeb, incidentů, zranitelností, iniciativ zaměřených na zvyšování povědomí, školení, cvičení a dovedností, budování kapacit, kapacity v oblasti norem a technických specifikací, jakož i norem a technických specifikací;
- vii) na žádost orgánu dohledu projednávat konkrétní žádosti o vzájemnou pomoc podle článku 46d;
- viii) usnadňovat výměnu informací mezi orgány dohledu poskytováním pokynů týkajících se organizačních aspektů a postupů vzájemné pomoci podle článku 46d;
d) organizovat vzájemná hodnocení systémů elektronické identifikace, které mají být oznámeny podle tohoto nařízení.
6. Členské státy zajistí, aby jimi jmenovaní zástupci ve skupině pro spolupráci účinně a účelně spolupracovali.
7. Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů nezbytná procesní opatření pro usnadnění spolupráce mezi členskými státy uvedené v odst. 5 písm. d) tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
KAPITOLA V
PŘENESENÍ PRAVOMOCI A PROVÁDĚCÍ USTANOVENÍ
Článek 47
Výkon přenesené pravomoci
1. Pravomoc přijímat akty v přenesené pravomoci je svěřena Komisi za podmínek stanovených v tomto článku.
2. Pravomoc přijímat akty v přenesené pravomoci uvedená v čl. 5c odst. 8, čl. 24 odst. 4b a v čl. 30 odst. 4 je svěřena Komisi na dobu neurčitou ode dne 17. září 2014.
3. Evropský parlament nebo Rada mohou přenesení pravomocí uvedené v čl. 5c odst. 8, čl. 24 odst. 4b a čl. 30 odst. 4 kdykoliv zrušit. Rozhodnutím o zrušení se ukončuje přenesení pravomoci v něm blíže určené. Rozhodnutí nabývá účinku prvním dnem po zveřejnění rozhodnutí v Úředním věstníku Evropské unie nebo k pozdějšímu dni, který je v něm upřesněn. Nedotýká se platnosti již platných aktů v přenesené pravomoci.
4. Přijetí aktu v přenesené pravomoci Komise neprodleně oznámí současně Evropskému parlamentu a Radě.
5. Akt v přenesené pravomoci přijatý podle čl. 5c odst. 8, čl. 24 odst. 4b a čl. 30 odst. 4 vstoupí v platnost pouze tehdy, pokud proti němu Evropský parlament ani Rada nevysloví námitky ve lhůtě dvou měsíců ode dne, kdy jim byl tento akt oznámen, nebo pokud Evropský parlament i Rada před uplynutím této lhůty informují Komisi o tom, že námitky nevysloví. Z podnětu Evropského parlamentu nebo Rady se tato lhůta prodlouží o dva měsíce.
Článek 48
Postup projednávání ve výboru
1. Komisi je nápomocen výbor. Tento výbor je výborem ve smyslu nařízení (EU) č. 182/2011.
2. Odkazuje-li se na tento odstavec, použije se článek 5 nařízení (EU) č. 182/2011.
KAPITOLA VI
ZÁVĚREČNÁ USTANOVENÍ
Článek 48a
Požadavky na podávání zpráv
1. Členské státy zajistí shromažďování statistických údajů týkajících se fungování evropských peněženek digitální identity a kvalifikovaných služeb vytvářejících důvěru poskytovaných na jejich území.
2. Statistické údaje shromážděné v souladu s odstavcem 1 zahrnují:
a) počet fyzických a právnických osob s platnou evropskou peněženkou digitální identity;
b) druh a počet služeb, které akceptují používání evropské peněženky digitální identity;
c) počet stížností uživatelů a počet incidentů týkajících se ochrany spotřebitelů a ochrany údajů ve vztahu ke spoléhajícím se stranám a kvalifikovaným službám vytvářejícím důvěru;
d) souhrnnou zprávu včetně údajů o incidentech, jež zabránily použití evropské peněženky digitální identity;
e) souhrn významných bezpečnostních incidentů, případů porušení zabezpečení údajů a dotčených uživatelů evropské peněženky digitální identity nebo kvalifikovaných služeb vytvářejících důvěru.
3. Statistické údaje uvedené v odstavci 2 se zpřístupní veřejnosti v otevřeném a běžně používaném strojově čitelném formátu.
4. Do 31. března každého roku předloží členské státy Komisi zprávu o statistických údajích shromážděných v souladu s odstavcem 2.
Článek 49
Přezkum
1. Do 21. května 2026 přezkoumá Komise uplatňování tohoto nařízení a podá zprávu Evropskému parlamentu a Radě. Komise v uvedené zprávě zejména vyhodnotí, zda je s přihlédnutím ke zkušenostem s uplatňováním tohoto nařízení a k technologickému, tržnímu a právnímu vývoji vhodné upravit oblast působnosti tohoto nařízení nebo jeho konkrétní ustanovení, včetně zejména ustanovení čl. 5c odst. 5. V případě potřeby se ke zprávě připojí návrh na změnu tohoto nařízení.
2. Zpráva uvedená v odstavci 1 zahrnuje posouzení dostupnosti, bezpečnosti a použitelnosti oznámených prostředků pro elektronickou identifikaci a evropských peněženek digitální identity, které spadají do oblasti působnosti tohoto nařízení, a posuzuje, zda by všichni soukromí poskytovatelé on-line služeb využívající pro autentizaci uživatelů služby elektronické identifikace třetích stran měli být povinni akceptovat používání oznámených prostředků pro elektronickou identifikaci a evropských peněženek digitální identity.
3. Do 21. května 2030 a poté každé čtyři roky předloží Komise Evropskému parlamentu a Radě zprávu o pokroku v dosahování cílů tohoto nařízení.
Článek 50
Zrušení
1. Směrnice 1999/93/ES se zrušuje s účinkem ode dne 1. července 2016.
2. Odkazy na zrušenou směrnici se považují za odkazy na toto nařízení.
Článek 51
Přechodná ustanovení
1. Prostředky pro bezpečné vytváření podpisu, jejichž shoda byla stanovena podle čl. 3 odst. 4 směrnice 1999/93/ES, se považují za kvalifikované prostředky pro vytváření elektronických podpisů podle tohoto nařízení do 21. května 2027.
2. Kvalifikovaná osvědčení vydaná fyzickým osobám podle směrnice 1999/93/ES se považují za kvalifikované certifikáty pro elektronické podpisy podle tohoto nařízení do 21. května 2026.
3. Správa kvalifikovaných prostředků pro vytváření elektronických podpisů a pečetí na dálku jinými kvalifikovanými poskytovateli služeb vytvářejících důvěru, než jsou kvalifikovaní poskytovatelé služeb vytvářejících důvěru poskytující kvalifikované služby vytvářející důvěru pro účely správy kvalifikovaných prostředků pro vytváření elektronických podpisů a pečetí na dálku v souladu s články 29a a 39a může být do 21. května 2026 vykonávána i bez získání statusu kvalifikované služby pro poskytování těchto služeb souvisejících se správou.
4. Kvalifikovaní poskytovatelé služeb vytvářejících důvěru, kteří kvalifikovaný status podle tohoto nařízení získali před 20. květnem 2024, předloží orgánu dohledu co nejdříve a v každém případě do 21. května 2026 zprávu o posouzení shody dokládající soulad s čl. 24 odst. 1, 1a a 1b.
Článek 52
Vstup v platnost
1. Toto nařízení vstupuje v platnost dvacátým dnem po vyhlášení v Úředním věstníku Evropské unie.
2. Toto nařízení se použije ode dne 1. července 2016, s těmito výjimkami:
a) čl. 8 odst. 3, čl. 9 odst. 5, čl. 12 odst. 2 až 9, čl. 17 odst. 8, čl. 19 odst. 4, čl. 20 odst. 4, čl. 21 odst. 4, čl. 22 odst. 5, čl. 23 odst. 3, čl. 24 odst. 5, čl. 27 odst. 4 a 5, čl. 28 odst. 6, čl. 29 odst. 2, čl. 30 odst. 3 a 4, čl. 31 odst. 3, čl. 32 odst. 3, čl. 33 odst. 2, čl. 34 odst. 2, čl. 37 odst. 4 a 5, čl. 38 odst. 6, čl. 42 odst. 2, čl. 44 odst. 2, čl. 45 odst. 2 a články 47 a 48 se použijí ode dne 17. září 2014;
b) článek 7, čl. 8 odst. 1 a 2, články 9, 10 a 11 a čl. 12 odst. 1 se použijí ode dne použitelnosti prováděcích aktů uvedených v čl. 8 odst. 3 a čl. 12 odst. 8;
c) článek 6 se použije od uplynutí tří let ode dne použitelnosti prováděcích aktů uvedených v čl. 8 odst. 3 a čl. 12 odst. 8.
3. Pokud je oznámený systém elektronické identifikace na seznamu, který Komise zveřejní podle článku 9, uveden přede dnem uvedeným v odst. 2 písm. c) tohoto článku, dojde k uznání prostředků pro elektronickou identifikaci v rámci tohoto systému podle článku 6 nejpozději dvanáct měsíců po zveřejnění tohoto systému, avšak nejdříve ke dni uvedenému v odst. 2 písm. c) tohoto článku.
4. Bez ohledu na odst. 2 písm. c) tohoto článku může členský stát rozhodnout, že prostředky pro elektronickou identifikaci v rámci systému elektronické identifikace, který jiný členský stát oznámil podle čl. 9 odst. 1, se v prvním členském státě uznávají ode dne použitelnosti prováděcích aktů uvedených v čl. 8 odst. 3 a čl. 12 odst. 8. Dotyčné členské státy informují Komisi. Komise tyto informace zveřejní.
Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.
PŘÍLOHA I
POŽADAVKY NA KVALIFIKOVANÉ CERTIFIKÁTY PRO ELEKTRONICKÉ PODPISY
Kvalifikované certifikáty pro elektronické podpisy obsahují:
a) označení, alespoň ve formě vhodné pro automatické zpracování, že se certifikát vydává jako kvalifikovaný certifikát pro elektronický podpis;
b) soubor dat jednoznačně identifikujících kvalifikovaného poskytovatele služeb vytvářejících důvěru, který vydává kvalifikované certifikáty, včetně alespoň členského státu, v němž je poskytovatel usazen, a
v případě právnické osoby: název a případné registrační číslo uvedené v úředních záznamech,
v případě fyzické osoby: jméno osoby;
c) alespoň jméno podepisující osoby nebo pseudonym. Je-li použit pseudonym, musí být tato skutečnost jasně vyznačena;
d) data pro ověřování platnosti elektronických podpisů, která odpovídají datům pro vytváření elektronických podpisů;
e) označení začátku a konce doby platnosti certifikátu;
f) identifikační číslo certifikátu, které musí být jedinečné pro daného kvalifikovaného poskytovatele služeb vytvářejících důvěru;
g) zaručený elektronický podpis nebo zaručenou elektronickou pečeť kvalifikovaného poskytovatele služeb vytvářejících důvěru, který certifikát vydává;
h) údaj o místu, kde je bezplatně k dispozici certifikát, na němž je založen zaručený elektronický podpis nebo zaručená elektronická pečeť podle písmene g);
i) informace o platnosti kvalifikovaného certifikátu nebo údaj o umístění služeb, které lze využít k zjištění platnosti kvalifikovaného certifikátu;
j) pokud jsou data pro vytváření elektronických podpisů spojená s daty pro ověřování platnosti elektronických podpisů obsažena v kvalifikovaném prostředku pro vytváření elektronických podpisů, příslušnou poznámku, alespoň ve formě vhodné pro automatické zpracování.
PŘÍLOHA II
POŽADAVKY NA KVALIFIKOVANÉ PROSTŘEDKY PRO VYTVÁŘENÍ ELEKTRONICKÝCH PODPISŮ
1. Kvalifikované prostředky pro vytváření elektronických podpisů vhodnými technickými prostředky a postupy přinejmenším zajistí, aby:
- a) byla přiměřeně zajištěna důvěrnost dat pro vytváření elektronických podpisů, která byla použita při vytváření elektronického podpisu;
- b) data pro vytváření elektronických podpisů použitá při vytváření elektronického podpisu se mohla prakticky vyskytnout pouze jednou;
- c) bylo přiměřeně zajištěno, že data pro vytváření elektronických podpisů použitá při vytváření elektronického podpisu nelze odvodit a že elektronický podpis je v současnosti dostupnými technickými prostředky spolehlivě chráněn proti padělání;
- d) oprávněná podepisující osoba měla možnost data pro vytváření elektronických podpisů použitá při vytváření elektronického podpisu spolehlivě chránit před jejich zneužitím třetí osobou.
2. Kvalifikované prostředky pro vytváření elektronických podpisů nesmějí měnit podepisovaná data ani bránit tomu, aby byla tato data předložena podepisující osobě před vlastním podepsáním.
3. Data pro vytváření elektronických podpisů může jménem podepisující osoby vytvářet nebo spravovat pouze kvalifikovaný poskytovatel služeb vytvářejících důvěru.
4. Aniž je dotčen bod 1 písm. d), smějí kvalifikovaní poskytovatelé služeb vytvářejících důvěru, kteří spravují data pro vytváření elektronických podpisů jménem podepisující osoby, kopírovat data pro vytváření elektronických podpisů pouze pro účely zálohování a jsou-li splněny tyto požadavky:
- a) bezpečnost zkopírovaných souborů dat je na stejné úrovni jako u původních souborů dat;
- b) počet zkopírovaných souborů dat nepřesáhne minimum potřebné pro zajištění kontinuity služby.
PŘÍLOHA III
POŽADAVKY NA KVALIFIKOVANÉ CERTIFIKÁTY PRO ELEKTRONICKÉ PEČETĚ
Kvalifikované certifikáty pro elektronické pečetě obsahují:
a) označení, alespoň ve formě vhodné pro automatické zpracování, že se certifikát vydává jako kvalifikovaný certifikát pro elektronickou pečeť;
b) soubor dat jednoznačně identifikujících kvalifikovaného poskytovatele služeb vytvářejících důvěru, který vydává kvalifikované certifikáty, včetně alespoň členského státu, v němž je poskytovatel usazen, a
v případě právnické osoby: název a případné registrační číslo uvedené v úředních záznamech,
v případě fyzické osoby: jméno osoby;
c) alespoň jméno pečetící osoby a případné registrační číslo uvedené v úředních záznamech;
d) data pro ověřování platnosti elektronických pečetí, která odpovídají datům pro vytváření elektronických pečetí;
e) označení začátku a konce doby platnosti certifikátu;
f) identifikační číslo certifikátu, které musí být jedinečné pro daného kvalifikovaného poskytovatele služeb vytvářejících důvěru;
g) zaručený elektronický podpis nebo zaručenou elektronickou pečeť kvalifikovaného poskytovatele služeb vytvářejících důvěru, který certifikát vydává;
h) údaj o místu, kde je bezplatně k dispozici certifikát, na němž je založen zaručený elektronický podpis nebo zaručená elektronická pečeť podle písmene g);
i) informace o platnosti kvalifikovaného certifikátu nebo údaj o umístění služeb, které lze využít k zjištění platnosti kvalifikovaného certifikátu;
j) pokud jsou data pro vytváření elektronických pečetí spojená s daty pro ověřování platnosti elektronických pečetí obsažena v kvalifikovaném prostředku pro vytváření elektronických pečetí, příslušnou poznámku, alespoň ve formě vhodné pro automatické zpracování.
PŘÍLOHA IV
POŽADAVKY NA KVALIFIKOVANÉ CERTIFIKÁTY PRO AUTENTIZACI INTERNETOVÝCH STRÁNEK
Kvalifikované certifikáty pro autentizaci internetových stránek obsahují:
a) označení, alespoň ve formě vhodné pro automatické zpracování, že se certifikát vydává jako kvalifikovaný certifikát pro autentizaci internetových stránek;
b) soubor dat jednoznačně identifikujících kvalifikovaného poskytovatele služeb vytvářejících důvěru, který vydává kvalifikované certifikáty, včetně alespoň členského státu, v němž je poskytovatel usazen, a
v případě právnické osoby: název a případné registrační číslo uvedené v úředních záznamech,
v případě fyzické osoby: jméno osoby;
c) v případě fyzických osob: alespoň jméno osoby, jíž byl certifikát vydán, nebo pseudonym; je-li použit pseudonym, musí být tato skutečnost jasně vyznačena;
ca) v případě právnických osob: jedinečný soubor dat jednoznačně identifikujících právnickou osobu, jíž je certifikát vydán, včetně alespoň názvu právnické osoby, jíž je certifikát vydán, a případně registračního čísla uvedeného v úředních záznamech;
d) údaje z adresy (včetně alespoň města a státu) fyzické nebo právnické osoby, jíž je certifikát vydán, jak je uvedena v případných úředních záznamech;
e) název domény nebo domén, které provozuje fyzická nebo právnická osoba, jíž je certifikát vydán;
f) označení začátku a konce doby platnosti certifikátu;
g) identifikační číslo certifikátu, které musí být jedinečné u daného kvalifikovaného poskytovatele služeb vytvářejících důvěru;
h) zaručený elektronický podpis nebo zaručenou elektronickou pečeť kvalifikovaného poskytovatele služeb vytvářejících důvěru, který certifikát vydává;
i) údaj o místu, kde je bezplatně k dispozici certifikát, na němž je založen zaručený elektronický podpis nebo zaručená elektronická pečeť podle písmene h);
j) informace o platnosti kvalifikovaného certifikátu nebo údaj o umístění služeb pro ověření platnosti certifikátu, které lze využít k zjištění platnosti kvalifikovaného certifikátu.
PŘÍLOHA V POŽADAVKY NA KVALIFIKOVANÉ ELEKTRONICKÉ POTVRZENÍ ATRIBUTŮ
Kvalifikované elektronické potvrzení atributů obsahuje:
a) informaci, alespoň ve formě vhodné pro automatické zpracování, že se potvrzení vydává jako kvalifikované elektronické potvrzení atributů;
b) soubor dat jednoznačně identifikujících kvalifikovaného poskytovatele služeb vytvářejících důvěru, který vydává kvalifikovaná elektronická potvrzení atributů, včetně alespoň členského státu, v němž je poskytovatel usazen, a:
- i) v případě právnické osoby: název a případně registrační číslo uvedené v úředních záznamech,
- ii) v případě fyzické osoby: jméno a příjmení osoby;
c) soubor dat jednoznačně identifikujících subjekt, kterého se potvrzené atributy týkají; je-li použit pseudonym, musí být tato skutečnost jasně vyznačena;
d) potvrzený atribut nebo potvrzené atributy a případné informace nezbytné k určení rozsahu těchto atributů;
e) označení začátku a konce doby platnosti potvrzení;
f) identifikační číslo potvrzení, které musí být jedinečné pro daného kvalifikovaného poskytovatele služeb vytvářejících důvěru, a případně označení schématu potvrzování, jehož je potvrzení atributů součástí;
g) kvalifikovaný elektronický podpis nebo kvalifikovanou elektronickou pečeť kvalifikovaného poskytovatele služeb vytvářejících důvěru, který potvrzení vydává;
h) údaj o místu, kde je bezplatně k dispozici certifikát, na němž je založen kvalifikovaný elektronický podpis nebo kvalifikovaná elektronická pečeť podle písmene g);
i) informace o platnosti kvalifikovaného potvrzení nebo údaj o umístění služeb, které lze využít k zjištění platnosti kvalifikovaného potvrzení.
PŘÍLOHA VI MINIMÁLNÍ SEZNAM ATRIBUTŮ
Podle článku 45e členské státy zajistí, aby byla přijata opatření, která kvalifikovaným poskytovatelům služeb vytvářejících důvěru vydávajícím elektronická potvrzení atributů umožní na žádost uživatele ověřit elektronickými prostředky oproti příslušnému autentickému zdroji na vnitrostátní úrovni nebo prostřednictvím určených zprostředkovatelů uznaných na vnitrostátní úrovni v souladu s právem Unie nebo vnitrostátním právem, pokud se tyto atributy opírají o autentické zdroje v rámci veřejného sektoru, pravost následujících atributů:
1. adresa;
2. věk;
3. pohlaví;
4. rodinný stav;
5. složení rodiny;
6. státní příslušnost nebo občanství;
7. dosažené vzdělání, tituly a osvědčení;
8. odborná kvalifikace, tituly a osvědčení;
9. plné moci a pověření k zastupování fyzických nebo právnických osob;
10. veřejná povolení a osvědčení;
11. v případě právnických osob: finanční údaje a údaje o společnosti.
PŘÍLOHA VII POŽADAVKY NA ELEKTRONICKÉ POTVRZENÍ ATRIBUTŮ VYDANÉ VEŘEJNÝM SUBJEKTEM ODPOVĚDNÝM ZA AUTENTICKÝ ZDROJ NEBO JEHO JMÉNEM
Elektronické potvrzení atributů vydané veřejným subjektem odpovědným za autentický zdroj nebo jeho jménem musí obsahovat:
a) informaci, přinejmenším ve formě vhodné pro automatické zpracování, že potvrzení bylo vydáno jako elektronické potvrzení atributů vydané veřejným subjektem odpovědným za autentický zdroj nebo jeho jménem;
b) soubor dat jednoznačně identifikujících veřejný subjekt vydávající elektronické potvrzení atributů, včetně alespoň členského státu, v němž je tento veřejný subjekt usazen, a názvu veřejného subjektu a případně registračního čísla uvedeného v úředních záznamech;
c) soubor dat jednoznačně identifikujících subjekt, kterého se potvrzené atributy týkají; je-li použit pseudonym, musí být tato skutečnost jasně vyznačena;
d) potvrzený atribut nebo potvrzené atributy a případné informace nezbytné k určení rozsahu těchto atributů;
e) označení začátku a konce doby platnosti potvrzení;
f) identifikační číslo potvrzení, které musí být jedinečné pro daný veřejný subjekt, který potvrzení vydává, a případně označení schématu potvrzování, jehož je potvrzení atributů součástí;
g) kvalifikovaný elektronický podpis nebo kvalifikovanou elektronickou pečeť subjektu, který potvrzení vydává;
h) údaj o místu, kde je bezplatně k dispozici certifikát, na němž je založen kvalifikovaný elektronický podpis nebo kvalifikovaná elektronická pečeť podle písmene g);
i) informace o platnosti potvrzení nebo údaj o umístění služeb, které lze využít ke zjištění platnosti potvrzení.