Usługi zaufania, e-podpisy i weryfikacja tożsamości

• Regulation (EU) No 910/2014 — eIDAS as amended by Regulation (EU) 2024/1183
• Regulation (EU) 2016/679 — GDPR, Article 27
• Regulation (EU) 2024/1689 — AI Act for biometric verification

Kto musi wyznaczyć

Dostawcy ustanowieni poza Unią oferujący usługi podpisu, pieczęci, znaku czasowego lub weryfikacji tożsamości użytkownikom w UE. Strona danych potrzebuje przedstawiciela. Strona usług zaufania jest inna: status kwalifikowany wymaga ustanowienia w Unii i nadzoru przez krajowy organ, i nie może być uzyskany przez przedstawiciela.

Progi i wyłączenia

Usługi zaufania niekwalifikowane mogą być świadczone bez wcześniejszej autoryzacji, ale pozostają podległe obowiązkom w zakresie bezpieczeństwa i powiadamiania. Status kwalifikowany wymaga oceny zgodności i wpisania na zaufaną listę państwa członkowskiego.

Co musi być na etykiecie

Nie fizyczne. To, co musi być opublikowane, to warunki świadczenia usług, oświadczenie o praktykach certyfikacyjnych, w których wydawane są certyfikaty, oraz tożsamość organu nadzorczego. Przedstawiciel RODO znajduje się w informacji o prywatności.

Pola na platformach

Nabywcy z sektora przedsiębiorstw i zamówień publicznych w Unii wymagają statusu kwalifikowanego dla wielu przypadków użycia, a ramy Europejskiego Portfela Tożsamości Cyfrowej rozszerzają sytuacje, w których oczekiwane są kwalifikowane podpisy elektroniczne.

Dokumentacja do przechowywania

Artykuł 30 dokumenty dotyczące dokumentów tożsamości, szablonów biometrycznych i dzienników podpisów. Wyznaczenie zgodnie z artykułem 27. Ocena skutków ochrony danych, ponieważ procesy weryfikacji tożsamości dotyczą danych biometrycznych szczególnej kategorii. Harmonogram przechowywania równoważący wartość dowodową z minimalizacją. Dla usług zaufania, raport z oceny zgodności, polityka bezpieczeństwa i procedury powiadamiania o incydentach.

Normy i badania

Ocena zgodności przez akredytowany organ dla usług kwalifikowanych. Dla weryfikacji biometrycznej, testy dokładności i stronniczości, ponieważ Ustawa o AI traktuje zdalną identyfikację biometryczną jako wysokie ryzyko i wymaga zadeklarowanych poziomów wydajności.

Wymogi językowe

Warunki, polityki certyfikatów i informacje dla użytkowników w językach obsługiwanych rynków.

Od kiedy obowiązuje

Przedstawiciel przed rozpoczęciem przetwarzania. Obowiązki usług zaufania od momentu oferowania usług. Zmienione ramy eIDAS wprowadzają Europejski Portfel Tożsamości Cyfrowej do 2026 i 2027 roku.

Jak długo przechowywać

Dowody podpisu i certyfikatu muszą być przechowywane wystarczająco długo, aby wspierać weryfikację lat później, co jest obowiązkiem prawnym, który przeważa nad prostą minimalizacją, i musi być udokumentowane jako takie. Szablony biometryczne powinny być usuwane po zakończeniu weryfikacji, chyba że konkretna podstawa uzasadnia ich przechowywanie.

Co grozi za brak zgodności

Kary RODO do 20 milionów € lub 4%, oraz działania nadzorcze zgodnie z eIDAS, w tym usunięcie z zaufanej listy, co natychmiast kończy propozycję handlową.

Kto egzekwuje

Organy ochrony danych, krajowe organy nadzorcze dla usług zaufania oraz organy nadzoru rynku zgodnie z Ustawą o AI dla systemów biometrycznych.

Gdzie przebiega granica

Świadczenie usługi podpisu nie jest tym samym co świadczenie usługi kwalifikowanej, a tylko ta ostatnia niesie prawne domniemanie równoważności z podpisem odręcznym. Sprzedaż usługi niekwalifikowanej na rynku, który prawnie wymaga kwalifikowanego podpisu, jest najczęstszą porażką handlową w tym sektorze.

Najczęstsze pytania

Czy dostawca spoza UE może oferować kwalifikowane podpisy?

Nie bezpośrednio. Status kwalifikowany wymaga ustanowienia w Unii i nadzoru przez organ państwowy członkowskiego, lub uznania na podstawie umowy międzynarodowej.

Czy biometryczna weryfikacja tożsamości jest wysokim ryzykiem zgodnie z Ustawą o AI?

Systemy zdalnej identyfikacji biometrycznej są wymienione w załączniku III, więc tak, z obowiązkami obowiązującymi od sierpnia 2026, w tym z autoryzowanym przedstawicielem dla dostawców spoza UE.