Reglamento de Ejecución (UE) 2024/2977 de la Comisión, de 28 de noviembre de 2024, por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a los datos de identificación de la persona y las declaraciones electrónicas de atributos expedidos a carteras europeas de identidad digital

El presente Reglamento establece normas para la expedición de datos de identificación de la persona y declaraciones electrónicas de atributos a unidades de cartera, que deben actualizarse periódicamente para mantenerlas en consonancia con la evolución de la tecnología y las normas y con el trabajo realizado sobre la base de la Recomendación (UE) 2021/946, y en particular la arquitectura y el marco de referencia.

A los efectos del presente Reglamento, se entenderá por: 1) «usuario de una cartera»: usuario que tiene el control sobre la unidad de cartera; 2) «unidad de cartera»: configuración única de una solución de cartera que incluye instancias de cartera, aplicaciones criptográficas seguras de cartera y dispositivos criptográficos seguros de cartera proporcionados por un proveedor de carteras a un usuario particular de una cartera; 3) «solución de cartera»: combinación de software, hardware, servicios, ajustes y configuraciones, que incluye instancias de cartera, una o más aplicaciones criptográficas seguras de cartera y uno o más dispositivos criptográficos seguros de cartera; 4) «proveedor de datos de identificación de la persona»: persona física o jurídica responsable de la expedición y la revocación de los datos de identificación de la persona y de garantizar que los datos de identificación de la persona de un usuario estén vinculados criptográficamente a una unidad de cartera; 5) «declaración de unidad de cartera»: objeto de datos que describe los componentes de la unidad de cartera o permite la autenticación y la validación de esos componentes; 6) «instancia de cartera»: aplicación instalada y configurada en el dispositivo o el entorno de un usuario de una cartera, que forma parte de una unidad de cartera y que el usuario de la cartera utiliza para interactuar con la unidad de cartera; 7) «aplicación criptográfica segura de cartera»: aplicación que gestiona activos críticos al estar vinculada a las funciones criptográficas y no criptográficas proporcionadas por el dispositivo criptográfico seguro de cartera y utilizarlas; 8) «dispositivo criptográfico seguro de cartera»: dispositivo resistente a las manipulaciones fraudulentas que proporciona un entorno vinculado a la aplicación criptográfica segura de cartera y utilizado por esta para proteger activos críticos y proporcionar funciones criptográficas para la ejecución segura de operaciones críticas; 9) «proveedor de cartera»: persona física o jurídica que proporciona soluciones de cartera; 10) «activos críticos»: activos contenidos en una unidad de cartera o relacionados con ella, de tan extraordinaria importancia que si su disponibilidad, confidencialidad o integridad se vieran comprometidas, el efecto sobre la capacidad para utilizar la unidad de cartera sería muy grave y debilitante; 11) «parte usuaria de la cartera»: parte que tiene la intención de utilizar unidades de cartera para la prestación de servicios públicos o privados mediante interacción digital; 12) «certificado de acceso de partes usuarias de la cartera»: certificado para sellos o firmas electrónicos, expedido por un proveedor de certificados de acceso de partes usuarias de la cartera, que autentica y valida a la parte usuaria de cartera; 13) «proveedor de certificados de acceso de partes usuarias de la cartera»: persona física o jurídica a la que un Estado miembro ha encomendado expedir certificados de acceso de parte usuaria a las partes usuarias de cartera registradas en ese Estado miembro.

1 Los proveedores de datos de identificación de la persona expedirán datos de identificación de la persona a las unidades de cartera de conformidad con los sistemas de identificación electrónica en el marco de los cuales se proporcionen las soluciones de cartera.

2 Los proveedores de datos de identificación de la persona se asegurarán de que los datos de identificación de la persona expedidos a unidades de cartera contengan la información necesaria para la autenticación y la validación de dichos datos.

3 Los proveedores de datos de identificación de la persona se asegurarán de que los datos de identificación de la persona expedidos a unidades de cartera cumplan las especificaciones técnicas establecidas en el anexo.

4 Los Estados miembros se asegurarán de que los datos de identificación de la persona expedidos a un determinado usuario de una cartera sean únicos para el Estado miembro.

5 Los proveedores de datos de identificación de la persona se asegurarán de que los datos de identificación de la persona que expidan estén vinculados criptográficamente a la unidad de cartera a la que se expiden.

6 Los Estados miembros harán pública una lista de las soluciones de cartera que admitan los proveedores de datos de identificación de la persona que formen parte de los sistemas de identificación electrónica del correspondiente Estado miembro.

7 Los Estados miembros inscribirán a los usuarios de una cartera de conformidad con los requisitos aplicables a la inscripción a un nivel de seguridad alto, tal como se establece en el Reglamento de Ejecución (UE) 2015/1502 de la Comisión. En el contexto del proceso de inscripción, los proveedores de datos de identificación de la persona llevarán a cabo la verificación de la identidad del usuario de una cartera de conformidad con los requisitos de acreditación y verificación de la identidad, antes de expedir los datos de identificación de la persona a la unidad de cartera del usuario correspondiente.

8 Cuando expidan datos de identificación de la persona a unidades de cartera, los proveedores de estos datos se identificarán a las unidades de cartera utilizando su certificado de acceso de parte usuaria de la cartera u otro mecanismo de autenticación conforme a un sistema de identidad electrónica notificado con un nivel de seguridad alto.

9 Antes de expedir datos de identificación de la persona a una unidad de cartera, los proveedores de estos datos autenticarán y validarán la declaración de unidad de cartera de la unidad de cartera correspondiente y verificarán que esta pertenece a una solución de cartera que el proveedor de datos de identificación de la persona acepta, o utilizarán otro mecanismo de autenticación conforme a un sistema de identidad electrónica notificado con un nivel de seguridad alto.

1 Las declaraciones electrónicas de atributos expedidas a unidades de cartera cumplirán al menos una de las normas de la lista que figura en el anexo I del Reglamento de Ejecución (UE) 2024/2979.

2 Los proveedores de declaraciones electrónicas de atributos se identificarán a las unidades de cartera utilizando su certificado de acceso de parte usuaria de la cartera.

3 Los proveedores de declaraciones electrónicas de atributos se asegurarán de que las declaraciones electrónicas de atributos expedidas a las unidades de cartera contengan la información necesaria para la autenticación y la validación de dichas declaraciones.

1 Los proveedores de datos de identificación de la persona expedidos a una unidad de cartera dispondrán de políticas por escrito y públicamente accesibles relativas a la gestión del estado de validez, que incluirán también, cuando proceda, las condiciones en las que dichos datos de identificación de la persona pueden ser revocados de inmediato.

2 Solo los proveedores de datos de identificación de la persona o declaraciones electrónicas de atributos pueden revocar los datos de identificación de la persona o las declaraciones electrónicas de atributos expedidos por ellos.

3 Cuando los proveedores de datos de identificación de la persona revoquen estos datos, informarán de la revocación y de los motivos de ella a los usuarios de una cartera objeto de dichos datos, a través de canales específicos y seguros y en un plazo de veinticuatro horas a partir de la revocación. Esta información se transmitirá de manera concisa, fácilmente accesible y con un lenguaje claro y sencillo.

4 Los proveedores de datos de identificación de la persona revocarán los datos de identificación de la persona expedidos a unidades de cartera en cada una de las circunstancias siguientes: a) cuando así lo solicite explícitamente el usuario de una cartera a cuya unidad de cartera se hayan expedido los datos de identificación de la persona o la declaración electrónica de atributos; b) cuando se haya revocado la declaración de unidad de cartera a la que se expidieron los datos de identificación de la persona; c) en otras situaciones que los proveedores de datos de identificación de la persona o declaraciones electrónicas de atributos determinen en sus políticas a que se refiere el apartado 1.

5 Los proveedores de datos de identificación de la persona expedidos a una unidad de cartera se asegurarán de que las revocaciones sean irreversibles.

6 Los datos de identificación de la persona revocados seguirán siendo accesibles mientras así lo exijan el Derecho de la Unión o el Derecho nacional.

7 Cuando los proveedores de datos de identificación de la persona revoquen datos de identificación de la persona expedidos a unidades de cartera, harán público el estado de validez de los datos de identificación de la persona que hayan expedido, de tal manera que se preserve la privacidad, e indicarán la ubicación de esa información en los datos de identificación de la persona.

8 Los proveedores de datos de identificación de la persona habilitarán técnicas de protección de la privacidad que garanticen la no vinculación cuando las declaraciones electrónicas de atributos no exijan la identificación del usuario.

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.