Il presente regolamento stabilisce le norme per il rilascio di dati di identificazione personale e di attestati elettronici di attributi alle unità di portafoglio, da aggiornare periodicamente per tenere conto degli sviluppi tecnologici, della normazione e del lavoro svolto sulla base della raccomandazione (UE) 2021/946 della Commissione, in particolare dell'architettura e del quadro di riferimento.

Ai fini del presente regolamento si applicano le definizioni seguenti:

1) «utente del portafoglio»: un utente che ha il controllo dell'unità di portafoglio;

2) «unità di portafoglio»: una configurazione unica di una soluzione di portafoglio che comprende istanze di portafoglio, applicazioni crittografiche sicure per il portafoglio e dispositivi crittografici sicuri per il portafoglio forniti da un fornitore del portafoglio a un singolo utente del portafoglio;

3) «soluzione di portafoglio»: una combinazione di software, hardware, servizi, impostazioni e configurazioni, comprese le istanze di portafoglio, una o più applicazioni crittografiche sicure per il portafoglio e uno o più dispositivi crittografici sicuri per il portafoglio;

4) «fornitore di dati di identificazione personale»: la persona fisica o giuridica responsabile del rilascio e della revoca dei dati di identificazione personale e che garantisce che i dati di identificazione personale di un utente siano associati crittograficamente a un'unità di portafoglio;

5) «attestato di unità di portafoglio»: un oggetto di dati che descrive i componenti dell'unità di portafoglio o consente la loro autenticazione e convalida;

6) «istanza di portafoglio»: l'applicazione installata e configurata su un dispositivo o su un ambiente di un utente del portafoglio, che fa parte di un'unità di portafoglio, e che l'utente del portafoglio utilizza per interagire con l'unità di portafoglio;

7) «applicazione crittografica sicura per il portafoglio»: un'applicazione che gestisce risorse critiche tramite un collegamento alle funzioni crittografiche e non crittografiche fornite dal dispositivo crittografico sicuro per il portafoglio e l'uso di tali funzioni;

8) «dispositivo crittografico sicuro per il portafoglio»: un dispositivo resistente alle manomissioni che fornisce un ambiente collegato all'applicazione crittografica sicura per il portafoglio e da essa utilizzato per proteggere le risorse critiche e fornire funzioni crittografiche per l'esecuzione sicura di operazioni critiche;

9) «fornitore del portafoglio»: una persona fisica o giuridica che fornisce soluzioni di portafoglio;

10) «risorse critiche»: risorse all'interno di un'unità di portafoglio o ad essa relative, di importanza tale che un'eventuale compromissione della loro disponibilità, riservatezza o integrità avrebbe un effetto estremamente grave e debilitante sulla possibilità di fare affidamento sull'unità di portafoglio;

11) «parte facente affidamento sul portafoglio»: una parte facente affidamento che intende fare affidamento sulle unità di portafoglio per la prestazione di servizi pubblici o privati mediante interazione digitale;

12) «certificato di accesso della parte facente affidamento sul portafoglio»: un certificato per sigilli elettronici o firme elettroniche che autenticano e convalidano la parte facente affidamento sul portafoglio, rilasciato da un fornitore di certificati di accesso della parte facente affidamento sul portafoglio;

13) «fornitore di certificati di accesso della parte facente affidamento sul portafoglio»: una persona fisica o giuridica incaricata da uno Stato membro di rilasciare certificati di accesso delle parti facenti affidamento alle parti facenti affidamento sul portafoglio registrate in tale Stato membro.

1. I fornitori di dati di identificazione personale rilasciano dati di identificazione personale alle unità di portafoglio conformemente ai regimi di identificazione elettronica nel contesto dei quali le soluzioni di portafoglio sono fornite.

2. I fornitori di dati di identificazione personale garantiscono che i dati di identificazione personale rilasciati alle unità di portafoglio contengano le informazioni necessarie per l'autenticazione e la convalida dei dati di identificazione personale.

3. I fornitori di dati di identificazione personale garantiscono che i dati di identificazione personale rilasciati alle unità di portafoglio siano conformi alle specifiche tecniche di cui all'allegato.

4. Gli Stati membri provvedono affinché i dati di identificazione personale rilasciati a un determinato utente del portafoglio siano univoci per lo Stato membro.

5. I fornitori di dati di identificazione personale garantiscono che i dati di identificazione personale da essi rilasciati siano associati crittograficamente all'unità di portafoglio a cui sono rilasciati.

6. Gli Stati membri rendono pubblicamente disponibile un elenco delle soluzioni di portafoglio supportate da fornitori di dati di identificazione personale che fanno parte dei regimi di identificazione elettronica dello Stato membro in questione.

7. Gli Stati membri registrano gli utenti del portafoglio conformemente ai requisiti relativi alla registrazione al livello di garanzia elevato di cui al regolamento di esecuzione (UE) 2015/1502 della Commissione (1). Nel contesto del processo di registrazione, i fornitori di dati di identificazione personale effettuano la verifica dell'identità dell'utente del portafoglio conformemente ai requisiti relativi al controllo dell'identità e alla verifica prima di rilasciare i dati di identificazione personale all'unità di portafoglio dell'utente del portafoglio corrispondente.

8. Quando rilasciano dati di identificazione personale a unità di portafoglio, i fornitori di dati di identificazione personale si identificano nei confronti delle unità di portafoglio utilizzando il loro certificato di accesso della parte facente affidamento sul portafoglio oppure utilizzando un altro meccanismo di autenticazione conformemente ad un regime di identificazione elettronica notificato al livello di garanzia elevato.

9. Prima di rilasciare dati di identificazione personale a un'unità di portafoglio, i fornitori di dati di identificazione personale autenticano e convalidano l'attestato di unità di portafoglio dell'unità di portafoglio e verificano che l'unità di portafoglio appartenga a una soluzione di portafoglio accettata dal fornitore di dati di identificazione personale oppure utilizzano un altro meccanismo di autenticazione conformemente ad un regime di identificazione elettronica notificato al livello di garanzia elevato.

1. Gli attestati elettronici di attributi rilasciati a unità di portafoglio sono conformi ad almeno una delle norme dell'elenco di cui all'allegato I del regolamento di esecuzione (UE) 2024/2979 della Commissione.

2. I fornitori di attestati elettronici di attributi si identificano nei confronti delle unità di portafoglio utilizzando il loro certificato di accesso della parte facente affidamento sul portafoglio.

3. I fornitori di attestati elettronici di attributi garantiscono che gli attestati elettronici di attributi rilasciati a unità di portafoglio contengano le informazioni necessarie per l'autenticazione e la convalida di tali attestati elettronici di attributi.

1. I fornitori di dati di identificazione personale rilasciati a un'unità di portafoglio dispongono di politiche scritte e accessibili al pubblico relative alla gestione dello stato della validità, comprese, se del caso, le condizioni alle quali tali dati di identificazione personale possono essere revocati senza indugio.

2. Soltanto i fornitori di dati di identificazione personale o di attestati elettronici di attributi possono revocare i dati di identificazione personale o gli attestati elettronici di attributi da essi rilasciati.

3. Qualora abbiano revocato i dati di identificazione personale, i fornitori di dati di identificazione personale, entro 24 ore dalla revoca, informano attraverso canali dedicati e sicuri gli utenti del portafoglio interessati da tali dati di identificazione personale, indicando altresì i motivi della revoca. Ciò avviene in maniera concisa, facilmente accessibile e utilizzando un linguaggio semplice e chiaro.

4. Qualora revochino dati di identificazione personale rilasciati a unità di portafoglio, i fornitori di dati di identificazione personale procedono in tal senso in ciascuna delle circostanze seguenti:

a) su richiesta esplicita dell'utente del portafoglio alla cui unità di portafoglio sono stati rilasciati i dati di identificazione personale o l'attestato elettronico di attributi;

b) qualora l'attestato di unità di portafoglio a cui sono stati rilasciati i dati di identificazione personale sia stato revocato;

c) in altre situazioni determinate dai fornitori di dati di identificazione personale o di attestati elettronici di attributi nelle loro politiche di cui al paragrafo 1.

5. I fornitori di dati di identificazione personale rilasciati a un'unità di portafoglio garantiscono che le revoche non possano essere annullate.

6. I dati di identificazione personale revocati rimangono accessibili per il tempo previsto dal diritto dell'Unione o dal diritto nazionale.

7. Qualora revochino dati di identificazione personale rilasciati a unità di portafoglio, i fornitori di dati di identificazione personale rendono pubblicamente disponibili lo stato di validità dei dati di identificazione personale da essi rilasciati, secondo modalità tali da tutelare la vita privata, e indicano l'ubicazione di tali informazioni nei dati di identificazione personale.

8. I fornitori di dati di identificazione personale rendono possibili tecniche di tutela della vita privata che impediscono i collegamenti laddove gli attestati elettronici di attributi non richiedano l'identificazione dell'utente.

Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.

Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.

Fatto a Bruxelles, il 28 novembre 2024

Per la Commissione

La presidente

URSULA VON DER LEYEN