Il presente regolamento stabilisce norme relative ai protocolli e alle interfacce delle soluzioni di portafoglio per:

1) il rilascio di dati di identificazione personale e di attestati elettronici di attributi alle unità di portafoglio;

2) la presentazione degli attributi dei dati di identificazione personale e degli attestati elettronici di attributi alle parti facenti affidamento sul portafoglio e ad altre unità di portafoglio;

3) la comunicazione delle richieste di cancellazione dei dati alle parti facenti affidamento sul portafoglio;

4) le segnalazioni delle parti facenti affidamento sul portafoglio alle autorità di controllo istituite a norma dell'articolo 51 del regolamento (UE) 2016/679;

da aggiornare periodicamente per tenere conto degli sviluppi tecnologici, della normazione e del lavoro svolto sulla base della raccomandazione (UE) 2021/946 della Commissione, in particolare dell'architettura e del quadro di riferimento.

Ai fini del presente regolamento si applicano le definizioni seguenti:

1) «parte facente affidamento sul portafoglio»: una parte facente affidamento che intende fare affidamento sulle unità di portafoglio per la prestazione di servizi pubblici o privati mediante interazione digitale;

2) «utente del portafoglio»: un utente che ha il controllo dell'unità di portafoglio;

3) «soluzione di portafoglio»: una combinazione di software, hardware, servizi, impostazioni e configurazioni, comprese le istanze di portafoglio, una o più applicazioni crittografiche sicure per il portafoglio e uno o più dispositivi crittografici sicuri per il portafoglio;

4) «unità di portafoglio»: una configurazione unica di una soluzione di portafoglio che comprende istanze di portafoglio, applicazioni crittografiche sicure per il portafoglio e dispositivi crittografici sicuri per il portafoglio forniti da un fornitore del portafoglio a un singolo utente del portafoglio;

5) «fornitore del portafoglio»: una persona fisica o giuridica che fornisce soluzioni di portafoglio;

6) «istanza di portafoglio»: l'applicazione installata e configurata su un dispositivo o su un ambiente di un utente del portafoglio, che fa parte di un'unità di portafoglio, e che l'utente del portafoglio utilizza per interagire con l'unità di portafoglio;

7) «applicazione crittografica sicura per il portafoglio»: un'applicazione che gestisce risorse critiche tramite un collegamento alle funzioni crittografiche e non crittografiche fornite dal dispositivo crittografico sicuro per il portafoglio e l'uso di tali funzioni;

8) «dispositivo crittografico sicuro per il portafoglio»: un dispositivo resistente alle manomissioni che fornisce un ambiente collegato all'applicazione crittografica sicura per il portafoglio e da essa utilizzato per proteggere le risorse critiche e fornire funzioni crittografiche per l'esecuzione sicura di operazioni critiche;

9) «risorse critiche»: risorse all'interno di un'unità di portafoglio o ad essa relative, di importanza tale che un'eventuale compromissione della loro disponibilità, riservatezza o integrità avrebbe un effetto estremamente grave e debilitante sulla possibilità di fare affidamento sull'unità di portafoglio;

10) «certificato di accesso della parte facente affidamento sul portafoglio»: un certificato per sigilli elettronici o firme elettroniche che autenticano e convalidano la parte facente affidamento sul portafoglio, rilasciato da un fornitore di certificati di accesso della parte facente affidamento sul portafoglio;

11) «fornitore di certificati di accesso della parte facente affidamento sul portafoglio»: una persona fisica o giuridica incaricata da uno Stato membro di rilasciare certificati di accesso delle parti facenti affidamento alle parti facenti affidamento sul portafoglio registrate in tale Stato membro;

12) «attestato di unità di portafoglio»: un oggetto di dati che descrive i componenti dell'unità di portafoglio o consente la loro autenticazione e convalida;

13) «politica di divulgazione incorporata»: un insieme di norme, incorporato in un attestato elettronico di attributi dal suo fornitore, che indica le condizioni che una parte facente affidamento sul portafoglio deve soddisfare per accedere all'attestato elettronico di attributi;

14) «certificato di registrazione della parte facente affidamento sul portafoglio»: un oggetto di dati che indica gli attributi che la parte facente affidamento sulla certificazione ha registrato per richiederli agli utenti;

15) «fornitore di dati di identificazione personale»: la persona fisica o giuridica responsabile del rilascio e della revoca dei dati di identificazione personale e che garantisce che i dati di identificazione personale di un utente siano associati crittograficamente a un'unità di portafoglio;

16) «associazione crittografica»: il metodo per collegare i dati di identificazione personale o gli attestati elettronici di attributi alle unità di portafoglio mediante mezzi crittografici.

Per quanto riguarda i protocolli e le interfacce di cui agli articoli 4 e 5, i fornitori di portafogli garantiscono che le unità di portafoglio:

1) autentichino e convalidino i certificati di accesso della parte facente affidamento sul portafoglio quando interagiscono con parti facenti affidamento sul portafoglio;

2) autentichino e convalidino gli attestati di unità di portafoglio di altre unità di portafoglio quando interagiscono con altre unità di portafoglio;

3) autentichino e convalidino le richieste presentate utilizzando certificati di accesso delle parti facenti affidamento sul portafoglio o attestati di unità di portafoglio provenienti da altre unità di portafoglio, se del caso;

4) autentichino e convalidino il certificato di registrazione della parte facente affidamento sul portafoglio, se del caso;

5) consentano agli utenti del portafoglio di visualizzare le informazioni contenute nei certificati di accesso della parte facente affidamento sul portafoglio o negli attestati di unità di portafoglio;

6) consentano agli utenti del portafoglio di visualizzare, se del caso, gli attributi che gli utenti del portafoglio sono invitati a presentare;

7) consentano agli utenti del portafoglio di visualizzare, se del caso, le informazioni contenute nel certificato di registrazione della parte facente affidamento sul portafoglio;

8) presentino gli attestati di unità di portafoglio dell'unità di portafoglio a parti facenti affidamento sul portafoglio o unità di portafoglio che ne fanno richiesta;

9) non presentino gli attributi richiesti alle parti facenti affidamento sul portafoglio o alle unità di portafoglio fino a quando non sono soddisfatti i requisiti seguenti:

a) verifica del fatto che l'applicazione crittografica sicura per il portafoglio abbia autenticato l'identità dell'utente del portafoglio;

b) verifica del fatto che le politiche di divulgazione incorporate siano state elaborate all'interno dell'unità di portafoglio conformemente all'articolo 11 del regolamento di esecuzione (UE) 2024/2979, se del caso;

c) verifica del fatto che gli utenti del portafoglio abbiano approvato parzialmente o integralmente la presentazione;

10) consentano tecniche di tutela della vita privata che garantiscano l'impossibilità di creare collegamenti nei casi in cui gli attestati elettronici di attributi non richiedono l'identificazione dell'utente del portafoglio al momento della presentazione degli attestati o dei dati di identificazione personale tra diverse parti facenti affidamento sul portafoglio.

1. I fornitori di portafogli garantiscono che le soluzioni di portafoglio supportino protocolli e interfacce per il rilascio di dati di identificazione personale e attestati elettronici di attributi a unità di portafoglio.

2. I fornitori di portafogli garantiscono che le unità di portafoglio richiedano il rilascio di dati di identificazione personale e attestati elettronici di attributi soltanto da parti che dispongono di un certificato autentico e valido di accesso della parte facente affidamento sul portafoglio attestante che esse sono:

a) un fornitore di dati di identificazione personale;

b) un fornitore di attestati elettronici di attributi qualificati;

c) un fornitore di attestati elettronici di attributi rilasciati da un organismo del settore pubblico responsabile di una fonte autentica o per suo conto; o d) un fornitore di attestati elettronici di attributi non qualificati.

3. In relazione al rilascio di dati di identificazione personale e attestati elettronici di attributi a un'unità di portafoglio, i fornitori di portafogli garantiscono il soddisfacimento dei requisiti seguenti:

a) qualora gli utenti del portafoglio utilizzino la loro unità di portafoglio per richiedere il rilascio di dati di identificazione personale o di attestati elettronici di attributi da fornitori di dati di identificazione personale o da fornitori di attestati elettronici di attributi che consentono il rilascio di dati di identificazione personale o di attestati elettronici in più formati, l'unità di portafoglio richiede tale rilascio in tutti i formati di cui all'articolo 8 del regolamento di esecuzione (UE) 2024/2979 recante modalità di applicazione del regolamento (UE) n. 910/2014 per quanto riguarda l'integrità e le funzionalità di base dei portafogli europei di identità digitale;

b) qualora gli utenti del portafoglio utilizzino la loro unità di portafoglio per interagire con i fornitori di dati di identificazione personale o di attestati elettronici di attributi, le unità di portafoglio consentono l'autenticazione e la convalida dei componenti dell'unità di portafoglio presentando gli attestati di unità di portafoglio a tali fornitori su richiesta di questi ultimi;

c) le soluzioni di portafoglio supportano meccanismi che consentono ai fornitori di dati di identificazione personale di verificare il rilascio, la consegna e l'attivazione in conformità con i requisiti del livello di garanzia elevato di cui al regolamento di esecuzione (UE) 2015/1502 della Commissione (1);

d) le unità di portafoglio verificano l'autenticità e la validità dei dati di identificazione personale e degli attestati elettronici di attributi.

1. I fornitori di portafogli garantiscono che le soluzioni di portafoglio supportino protocolli e interfacce per la presentazione di attributi a parti facenti affidamento sul portafoglio, a distanza, e se opportuno in prossimità, conformemente alle norme di cui all'allegato.

2. I fornitori di portafogli garantiscono che, su richiesta degli utenti, le unità di portafoglio rispondano alle richieste autenticate e convalidate con successo delle parti facenti affidamento sul portafoglio di cui all'articolo 3, conformemente alle norme di cui all'allegato.

3. I fornitori di portafogli garantiscono che le unità di portafoglio supportino la dimostrazione del possesso di chiavi private corrispondenti alle chiavi pubbliche utilizzate nelle associazioni crittografiche.

4. I fornitori di portafogli garantiscono che le soluzioni di portafoglio supportino la divulgazione selettiva di attributi dei dati di identificazione personale e degli attestati elettronici di attributi.

5. I paragrafi da 1 a 4 si applicano mutatis mutandis alle interazioni tra due unità di portafoglio in prossimità.

1. I fornitori di portafogli garantiscono che le unità di portafoglio supportino protocolli e interfacce che consentano agli utenti del portafoglio di chiedere alle parti facenti affidamento sul portafoglio, con le quali hanno interagito attraverso tali unità di portafoglio, la cancellazione dei loro dati personali forniti attraverso tali unità di portafoglio, conformemente all'articolo 17 del regolamento (UE) 2016/679.

2. I protocolli e le interfacce di cui al paragrafo 1 consentono agli utenti del portafoglio di selezionare le parti facenti affidamento sul portafoglio a cui devono essere presentate le richieste di cancellazione di dati.

3. Le unità di portafoglio consentono all'utente del portafoglio di visualizzare le richieste di cancellazione di dati precedentemente presentate formulate attraverso tali unità di portafoglio.

1. I fornitori di portafogli garantiscono che le unità di portafoglio consentano agli utenti del portafoglio di segnalare facilmente le parti facenti affidamento sul portafoglio alle autorità di controllo istituite a norma dell'articolo 51 del regolamento (UE) 2016/679.

2. I fornitori di portafogli attuano i protocolli e le interfacce per la segnalazione di parti facenti affidamento sul portafoglio conformemente alle norme procedurali nazionali degli Stati membri.

3. I fornitori di portafogli garantiscono che le unità di portafoglio consentano agli utenti del portafoglio di motivare le segnalazioni, anche allegando informazioni pertinenti ai fini dell'identificazione delle parti facenti affidamento sul portafoglio e le dichiarazioni degli utenti di portafoglio in un formato leggibile meccanicamente.

Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.

Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.

Fatto a Bruxelles, il 28 novembre 2024

Per la Commissione

La presidente

URSULA VON DER LEYEN