- Regulation (EU) No 910/2014 — eIDAS as amended by Regulation (EU) 2024/1183
- Regulation (EU) 2016/679 — GDPR, Article 27
- Regulation (EU) 2024/1689 — AI Act for biometric verification
誰が選任するか
EU内のユーザーに署名、印、タイムスタンプまたは本人確認サービスを提供する連合外に設立されたプロバイダー。データ側には代表者が必要です。信頼サービス側は異なります：資格のある地位は連合内の設立と国家機関による監督を必要とし、代表者を通じて取得することはできません。
しきい値と適用除外
非資格の信頼サービスは事前の承認なしに提供できますが、セキュリティおよび通知義務には従う必要があります。資格のある地位は適合性評価と加盟国の信頼リストへの掲載を必要とします。
ラベルに必要な記載
物理的ではありません。公開されるべきは、サービス利用規約、証明書が発行される認証実践声明、および監督機関の身元です。GDPR代表者はプライバシー通知に記載されます。
マーケットプレイスの項目
連合内の企業バイヤーおよび公共部門の調達は、多くのユースケースに対して資格のある地位を必要とし、EUデジタルアイデンティティウォレットフレームワークは資格のある電子署名が期待される状況を拡大しています。
保管すべき文書
本人確認書類、バイオメトリックテンプレートおよび署名ログをカバーする第30条の記録。第27条の指定。本人確認プロセスが特別カテゴリーのバイオメトリックデータを扱うため、データ保護影響評価。証拠価値と最小化のバランスを取る保持スケジュール。信頼サービスについては、適合性評価報告書、セキュリティポリシーおよびインシデント通知手続き。
規格と試験
資格のあるサービスのための認定機関による適合性評価。バイオメトリック確認については、AI法がリモートバイオメトリック識別を高リスクと見なし、宣言されたパフォーマンスレベルを要求するため、精度およびバイアステストが必要です。
言語要件
提供される市場の言語での利用規約、証明書ポリシーおよびユーザー情報。
いつから適用されるか
処理が始まる前に代表者が必要です。サービスが提供される瞬間から信頼サービスの義務が発生します。改正されたeIDASフレームワークは2026年および2027年を通じて欧州デジタルアイデンティティウォレットを段階的に導入します。
文書の保管期間
署名および証明書の証拠は、数年後の確認を支援するために十分な期間保持されなければならず、これは単なる最小化を上回る法的義務であり、そのように文書化されなければなりません。バイオメトリックテンプレートは、確認が完了したら削除されるべきですが、保持を正当化する特定の根拠がある場合を除きます。
違反した場合
GDPR違反に対する罰金は最大€2000万または4%、およびeIDASに基づく監督措置には信頼リストからの削除が含まれ、これにより商業提案は直ちに終了します。
執行機関
データ保護当局、信頼サービスの国家監督機関、およびバイオメトリックシステムのためのAI法市場監視当局。
境界線
署名サービスを提供することは資格のあるサービスを提供することとは異なり、後者のみが手書き署名と同等であるという法的推定を伴います。資格のないサービスを法的に資格のある署名を必要とする市場に販売することは、この分野で最も一般的な商業的失敗です。
よくある質問
- 非EUプロバイダーは資格のある署名を提供できますか？
- 直接はできません。資格のある地位は連合内の設立と加盟国機関による監督、または国際協定を通じた認識を必要とします。
- AI法の下でバイオメトリック本人確認は高リスクですか？
- リモートバイオメトリック識別システムは附属書IIIに記載されているため、はい、2026年8月から適用される義務があり、非EUプロバイダーのための認可された代表者が必要です。