Reglamento de Ejecución (UE) 2024/2982 de la Comisión, de 28 de noviembre de 2024, por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a los protocolos y las interfaces que admitirá el marco europeo de identidad digital

El presente Reglamento establece normas sobre los protocolos y las interfaces de las soluciones de cartera para: 1) la expedición de datos de identificación de la persona y declaraciones electrónicas de atributos a unidades de cartera; 2) la presentación de atributos de los datos de identificación de la persona y las declaraciones electrónicas de atributos a las partes usuarias de la cartera y a otras unidades de cartera; 3) la comunicación de las solicitudes de supresión de datos a las partes usuarias de la cartera; 4) la denuncia de partes usuarias de la cartera ante las autoridades de control establecidas en virtud del artículo 51 del Reglamento (UE) 2016/679; que deben actualizarse periódicamente para mantenerlos en consonancia con la evolución de la tecnología y las normas y con el trabajo realizado sobre la base de la Recomendación (UE) 2021/946, y en particular la arquitectura y el marco de referencia.

A los efectos del presente Reglamento, se entenderá por: 1) «parte usuaria de la cartera»: parte que tiene la intención de utilizar unidades de cartera para la prestación de servicios públicos o privados mediante interacción digital; 2) «usuario de una cartera»: usuario que tiene el control sobre la unidad de cartera; 3) «solución de cartera»: combinación de software, hardware, servicios, ajustes y configuraciones, que incluye instancias de cartera, una o más aplicaciones criptográficas seguras de cartera y uno o más dispositivos criptográficos seguros de cartera; 4) «unidad de cartera»: configuración única de una solución de cartera que incluye instancias de cartera, aplicaciones criptográficas seguras de cartera y dispositivos criptográficos seguros de cartera proporcionados por un proveedor de carteras a un usuario particular de una cartera; 5) «proveedor de cartera»: persona física o jurídica que proporciona soluciones de cartera; 6) «instancia de cartera»: aplicación instalada y configurada en el dispositivo o el entorno de un usuario de una cartera, que forma parte de una unidad de cartera y que el usuario de la cartera utiliza para interactuar con la unidad de cartera; 7) «aplicación criptográfica segura de cartera»: aplicación que gestiona activos críticos al estar vinculada a las funciones criptográficas y no criptográficas proporcionadas por el dispositivo criptográfico seguro de cartera y utilizarlas; 8) «dispositivo criptográfico seguro de cartera»: dispositivo resistente a las manipulaciones fraudulentas que proporciona un entorno vinculado a la aplicación criptográfica segura de cartera y utilizado por esta para proteger activos críticos y proporcionar funciones criptográficas para la ejecución segura de operaciones críticas; 9) «activos críticos»: activos contenidos en una unidad de cartera o relacionados con ella, de tan extraordinaria importancia que si su disponibilidad, confidencialidad o integridad se vieran comprometidas, el efecto sobre la capacidad para utilizar la unidad de cartera sería muy grave y debilitante; 10) «certificado de acceso de partes usuarias de la cartera»: certificado para sellos o firmas electrónicos, expedido por un proveedor de certificados de acceso de partes usuarias de la cartera, que autentica y valida a la parte usuaria de cartera; 11) «proveedor de certificados de acceso de partes usuarias de la cartera»: persona física o jurídica a la que un Estado miembro ha encomendado expedir certificados de acceso de parte usuaria a las partes usuarias de la cartera registradas en ese Estado miembro; 12) «declaración de unidad de cartera»: objeto de datos que describe los componentes de la unidad de cartera o permite la autenticación y la validación de esos componentes; 13) «política de divulgación incorporada»: conjunto de normas, incorporadas en una declaración electrónica de atributos por su proveedor, que indica las condiciones que debe cumplir una parte usuaria de la cartera para acceder a la declaración electrónica de atributos; 14) «certificado de registro de partes usuarias de la cartera»: objeto de datos que indica los atributos que la parte usuaria ha registrado con el propósito de solicitárselos a los usuarios; 15) «proveedor de datos de identificación de la persona»: persona física o jurídica responsable de la expedición y la revocación de los datos de identificación de la persona y de garantizar que los datos de identificación de la persona de un usuario estén vinculados criptográficamente a una unidad de cartera; 16) «vinculación criptográfica»: método para vincular los datos de identificación de la persona o las declaraciones electrónicas de atributos a unidades de cartera por medios criptográficos.

Por lo que respecta a los protocolos y las interfaces a que se refieren los artículos 4 y 5, los proveedores de carteras se asegurarán de que las unidades de cartera: 1) autentiquen y validen los certificados de acceso de la parte usuaria de la cartera cuando interactúen con partes usuarias de la cartera; 2) autentiquen y validen las declaraciones de unidad de cartera de otras unidades de cartera cuando interactúen con otras unidades de cartera; 3) autentiquen y validen las solicitudes realizadas utilizando certificados de acceso de parte usuaria de la cartera o declaraciones de unidad de cartera de otras unidades de cartera, cuando proceda; 4) autentiquen y validen el certificado de registro de la parte usuaria de la cartera, cuando proceda; 5) muestren a los usuarios de una cartera la información contenida en los certificados de acceso de la parte usuaria de la cartera o en las declaraciones de unidad de cartera; 6) muestren a los usuarios de una cartera, cuando proceda, los atributos que se les exige que presenten; 7) muestren a los usuarios de una cartera, cuando proceda, la información contenida en el certificado de registro de la parte usuaria de la cartera; 8) presenten las declaraciones de unidad de cartera de la unidad de cartera a las partes usuarias de la cartera o las unidades de cartera que lo soliciten; 9) no presenten ningún atributo solicitado a las partes usuarias de la cartera ni a las unidades de cartera hasta que se cumplan los siguientes requisitos: a) verificar que la aplicación criptográfica segura de cartera ha autenticado la identidad del usuario de una cartera; b) verificar que las políticas de divulgación incorporadas han sido procesadas en la unidad de cartera de conformidad con el artículo 11 del Reglamento de Ejecución (UE) 2024/2979, cuando proceda; c) verificar que los usuarios de una cartera han aprobado total o parcialmente la presentación; 10) permitan técnicas de protección de la privacidad que garanticen la no vinculación en los casos en que las declaraciones electrónicas de atributos no exijan la identificación del usuario de una cartera, cuando presenten declaraciones o datos de identificación de la persona a diferentes partes usuarias de la cartera.

1 Los proveedores de carteras se asegurarán de que las soluciones de cartera admitan protocolos e interfaces para la expedición de datos de identificación de la persona y declaraciones electrónicas de atributos a unidades de cartera.

2 Los proveedores de carteras se asegurarán de que las unidades de cartera soliciten la expedición de datos de identificación de la persona y declaraciones electrónicas de atributos únicamente a partes que tengan un certificado de acceso de parte usuaria de la cartera auténtico y válido que las acredite como: a) proveedor de datos de identificación de la persona; b) proveedor de una declaración electrónica cualificada de atributos; c) proveedor de una declaración electrónica de atributos expedida por un organismo del sector público responsable de una fuente auténtica, o en nombre de este; o d) proveedor de declaraciones electrónicas no cualificadas de atributos.

3 En relación con la expedición de datos de identificación de la persona y declaraciones electrónicas de atributos a una unidad de cartera, los proveedores de carteras se asegurarán de que se cumplan los siguientes requisitos: a) cuando los usuarios de una cartera utilicen su unidad de cartera para solicitar la expedición de datos de identificación de la persona o de declaraciones electrónicas de atributos a los proveedores de datos de identificación de la persona o de declaraciones electrónicas de atributos que permitan la expedición de dichos datos o dichas declaraciones en más de un formato, la unidad de la cartera la solicitará en todos los formatos a que se refiere el artículo 8 del Reglamento de Ejecución (UE) 2024/2979, por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 en lo que respecta a la integridad y las funcionalidades básicas de las carteras europeas de identidad digital; b) cuando los usuarios de una cartera utilicen su unidad de cartera para interactuar con proveedores de datos de identificación de la persona o declaraciones electrónicas de atributos, las unidades de cartera permitirán la autenticación y validación de los componentes de la unidad de cartera mediante la presentación de las declaraciones de unidad de cartera a dichos proveedores cuando lo soliciten; c) las soluciones de cartera admitirán mecanismos que permitan a los proveedores de datos de identificación de la persona verificar la expedición, la entrega y la activación de conformidad con los requisitos del nivel de seguridad alto establecidos en el Reglamento de Ejecución (UE) 2015/1502 de la Comisión ; d) las unidades de la cartera verificarán la autenticidad y la validez de los datos de identificación de la persona y de las declaraciones electrónicas de atributos.

1 Los proveedores de carteras se asegurarán de que las soluciones de cartera admitan protocolos e interfaces para la presentación de atributos a las partes usuarias de la cartera, a distancia y, cuando proceda, en proximidad, de conformidad con las normas establecidas en el anexo.

2 Los proveedores de carteras se asegurarán de que, a petición de los usuarios, las unidades de cartera respondan a las solicitudes autenticadas y validadas de las partes usuarias de la cartera a que se refiere el artículo 3, de conformidad con las normas establecidas en el anexo.

3 Los proveedores de carteras se asegurarán de que las unidades de cartera admitan la demostración de la posesión de claves privadas correspondientes a claves públicas utilizadas en las vinculaciones criptográficas.

4 Los proveedores de carteras se asegurarán de que las soluciones de cartera admitan la divulgación selectiva de atributos de datos de identificación de la persona y de declaraciones electrónicas de atributos.

5 Los apartados 1 a 4 se aplicarán mutatis mutandis a las interacciones entre dos unidades de cartera que se encuentren próximas.

1 Los proveedores de carteras se asegurarán de que las unidades de cartera admitan protocolos e interfaces que permitan a los usuarios de una cartera solicitar a las partes usuarias de la cartera con las que hayan interactuado a través de dichas unidades de cartera la supresión de sus datos personales facilitados a través de dichas unidades de cartera, de conformidad con el artículo 17 del Reglamento (UE) 2016/679.

2 Los protocolos y las interfaces a que se refiere el apartado 1 permitirán a los usuarios de una cartera seleccionar las partes usuarias de la cartera a las que deben presentarse las solicitudes de supresión de datos.

3 Las unidades de cartera mostrarán al usuario de una cartera las solicitudes de supresión de datos presentadas previamente a través de dichas unidades.

1 Los proveedores de carteras se asegurarán de que las unidades de cartera permitan a los usuarios de una cartera denunciar fácilmente a las partes usuarias de la cartera ante las autoridades de control establecidas en virtud del artículo 51 del Reglamento (UE) 2016/679.

2 Los proveedores de carteras aplicarán los protocolos y las interfaces pertinentes para denunciar a las partes usuarias de la cartera de conformidad con el Derecho procesal nacional de los Estados miembros.

3 Los proveedores de carteras se asegurarán de que las unidades de cartera permitan a sus usuarios fundamentar sus denuncias, en particular adjuntando información pertinente para identificar a las partes usuarias de la cartera, y hacer sus reclamaciones en un formato legible por máquina.

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.