Europejski portfel tożsamości cyfrowej dla obywateli i firm

Potrzeba uchwalenia przedmiotowego projektu wynika ze zmian, jakie do rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 z dnia 23 lipca 2014 r. w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym oraz uchylającego dyrektywę 1999/93/WE (Dz. Urz. UE L 257 z 28.08.2014, str. 73, Dz. Urz. UE L 333 z 27.12.2022, str. 80 oraz Dz. Urz. UE L 2024/1183 z 30.04.2024), zwanego dalej „rozporządzeniem eIDAS”, wprowadzone zostały przez rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1183 z dnia 11 kwietnia 2024 r. w sprawie zmiany rozporządzenia (UE) nr 910/2014 w odniesieniu do ustanowienia europejskich ram tożsamości cyfrowej ( Dz. Urz. UE L 2024/1183 z 30.04.2024), zwanego dalej „rozporządzeniem 2024/1183”. Jedną z głównych zmian, jakie wprowadza rozporządzenie 2024/1183, jest ustanowienie europejskiego portfela tożsamości cyfrowej, jaki każde państwo członkowskie będzie musiało zapewnić wszystkim osobom fizycznym i prawnym oraz związane z tym dodatkowe rozwiązania (usługi, systemy, rejestry), aby portfel ten mógł funkcjonować jako wygodne i bezpieczne narzędzie zapewniające bez przeszkód dostęp do publicznych i prywatnych usług online w całej UE.

Rozwiązania wprowadzone rozporządzeniem 2024/1183 wymagają interwencji legislacyjnej również na poziomie krajowym, polegającej na wprowadzeniu przepisów umożliwiających stosowanie w Polsce rozporządzenia eIDAS. Planowane w projekcie ustawy przepisy stanowią również realizację postulatu zgłoszonego w ramach inicjatywy deregulacyjnej MC-12-135. Projekt ustawy przewiduje zmiany w niżej wskazanych ustawach.

I. W ustawie z dnia 5 września 2016 r. o usługach zaufania oraz identyfikacji elektronicznej (Dz. U. z 2024 r. poz. 1725): 1. Wskazanie ministra właściwego do spraw informatyzacji jako podmiotu odpowiedzialnego za zapewnienie europejskiego portfela tożsamości cyfrowej. Jednocześnie uregulowanie, że powyższe zadanie może być realizowane przez, wskazaną przez tego ministra, jednostkę mu podległą lub przez niego nadzorowaną. 2. Wskazanie ministra właściwego do spraw informatyzacji jako podmiotu odpowiedzialnego za prowadzenie rejestru stron ufających europejskim portfelom tożsamości cyfrowej i za ustalenie zasad funkcjonowania tego rejestru, w tym upoważnienie tego ministra do wydania przepisów wykonawczych, na gruncie których uregulowany zostanie sposób: - potwierdzania tożsamości stron ufających w systemie teleinformatycznym przy użyciu którego będzie prowadzony rejestr, - wskazywania w rejestrze zakresu danych, o które strona ufająca będzie zwracać się do użytkowników europejskiego portfela tożsamości cyfrowej, - uzyskiwania przez strony ufające certyfikatów umożliwiających ich uwierzytelnianie w europejskim portfelu tożsamości cyfrowej. 3. Wskazanie ministra właściwego do spraw informatyzacji jako podmiotu odpowiedzialnego za zapewnienie jednoznacznego dopasowywania tożsamości osób fizycznych z użyciem notyfikowanych środków identyfikacji elektronicznej lub europejskich portfeli tożsamości cyfrowej w usługach transgranicznych. Zobowiązanie ministra właściwego do spraw informatyzacji do określenia środków technicznych i organizacyjnych w celu zapewnienia wysokiego poziomu ochrony danych osobowych wykorzystywanych do dopasowywania tożsamości oraz w celu zapobiegania profilowaniu użytkowników. 4. Wprowadzenie przepisów dających podstawę prawną dla wskazania podmiotów, które dysponują autentycznymi źródłami danych, zobowiązanych do udostępniania kwalifikowanym dostawcom usług zaufania mechanizmów weryfikacji drogą elektroniczną, na żądanie użytkownika, oraz do potwierdzenia autentyczności atrybutów w zakresie, o którym mowa w załączniku VI do rozporządzenia eIDAS. 5. Wskazanie ministra właściwego do spraw informatyzacji jako pomiotu pośredniczącego w potwierdzaniu autentyczności atrybutów dla kwalifikowanych dostawców usług zaufania w zakresie, o którym mowa w załączniku VI do rozporządzenia eIDAS. 6. Wskazanie ministra właściwego do spraw informatyzacji jako podmiotu odpowiedzialnego za zgłaszanie Komisji Europejskiej atrybutów oraz struktur semantycznych elektronicznych poświadczeń atrybutów, które dokonywane będzie na podstawie struktur semantycznych zgłoszonych uprzednio, przez właściwe podmioty, do repozytorium interoperacyjności, o którym mowa w ustawie z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2024 r. poz. 1557 i 1717 oraz z 2025 r. poz. 1006, 1019 i 1558). Upoważnienie ministra właściwego do spraw informatyzacji do wydania przepisów wykonawczych, na gruncie których uregulowany zostanie sposób ogłaszania struktur semantycznych elektronicznych poświadczeń atrybutów w repozytorium interoperacyjności. 7. Wprowadzenie regulacji stanowiącej, że używanie przez osoby fizyczne kwalifikowanych podpisów elektronicznych, jakie mają być nieodpłatnie dostępne dla posiadaczy europejskiego portfela tożsamości cyfrowej, będzie ograniczało się tylko do celów innych niż profesjonalne. Zdefiniowanie zakresu czynności profesjonalnych i czynności innych niż profesjonalne oraz ograniczeń w posługiwaniu się przez osoby fizyczne nieodpłatnym kwalifikowanym podpisem elektronicznym tylko do celów innych niż profesjonalne. 8. Organizacja i określenie sposobu finansowania zapewniania użytkownikom europejskiego portfela tożsamości cyfrowej bezpłatnych kwalifikowanych podpisów elektronicznych. 9. Wprowadzenie dodatkowych kompetencji ministra właściwego do spraw informatyzacji w związku z koniecznością realizacji obowiązków nałożonych na państwa członkowskie, wynikających z rozporządzenia 2024/1183, w tym: - obowiązek informowania użytkowników o wszelkich naruszeniach bezpieczeństwa, które mogłyby spowodować całkowite lub częściowe skompromitowanie ich europejskich portfeli tożsamości cyfrowej lub zawartości tych portfeli (art. 5a ust. 6 rozporządzenia eIDAS); - wykonywanie obowiązków informacyjnych, o których mowa w art. 5a ust. 18 rozporządzenia eIDAS (dot. podmiotów odpowiedzialnych za zapewnienie europejskiego portfela tożsamości cyfrowej, podmiotów odpowiedzialnych za prowadzenie rejestru stron ufających portfelowi, podmiotów odpowiedzialnych za zapewnienie powiązania danych identyfikujących osobę z portfelem, mechanizmu walidacji danych identyfikujących osobę i mechanizmu walidacji autentyczności portfeli); - obowiązek ustanawiania krajowych programów certyfikacji, zgodnie z wymogami określonymi w aktach wykonawczych, o których mowa w art. 5c ust. 6 rozporządzenia eIDAS, i przekazywania projektów programów certyfikacji Grupie Współpracy na rzecz Europejskiej Tożsamości Cyfrowej (grupa współpracy); - obowiązek przekazywania Komisji Europejskiej nazw i adresów jednostek oceniających zgodność, o których mowa w art. 5c ust. 1 rozporządzenia eIDAS; - obowiązek informowania Komisji Europejskiej i grupy współpracy o europejskich portfelach tożsamości cyfrowej, które zostały zapewnione zgodnie z rozporządzeniem eIDAS i certyfikowane przez jednostki oceniające zgodność, jak również o odwołaniu certyfikacji wraz z podaniem przyczyny jej odwołania; - przedkładanie Komisji Europejskiej ewentualnych wniosków o usunięcie z właściwego wykazu europejskiego portfela tożsamości cyfrowej i systemu identyfikacji elektronicznej, w ramach którego portfel ten jest zapewniany; - zawieszanie zapewniania i używania zgłoszonych europejskich portfeli tożsamości cyfrowej lub wycofywanie ich z użytkowania w przypadku naruszenia bezpieczeństwa lub częściowej ich kompromitacji, jak również informowanie o tym fakcie użytkowników, których to dotyczy, pojedynczych punktów kontaktowych, stron ufających oraz Komisji Europejskiej; - sprawowanie nadzoru w zakresie zapewniania przez podmioty sektora publicznego, które wydają elektroniczne poświadczenia atrybutów, poziomu rzetelności i wiarygodności równoważnego kwalifikowanym dostawcom usług zaufania, zgodnie z art. 24 rozporządzenia eIDAS (wraz z określeniem narzędzi tego nadzoru); - notyfikowanie Komisji Europejskiej podmiotów sektora publicznego, o których mowa w art. 3 pkt 46 rozporządzenia eIDAS, zgodnie z art. 45f ust. 3 rozporządzenia eIDAS; - wyznaczanie pojedynczego punktu kontaktowego ds. usług zaufania, europejskich portfeli tożsamości cyfrowej i notyfikowanych systemów identyfikacji elektronicznej; - obowiązek zbierania danych statystycznych dotyczących funkcjonowania europejskich portfeli tożsamości cyfrowej oraz kwalifikowanych usług zaufania dostarczanych lub świadczonych na terytorium Polski, o których mowa w art. 48a rozporządzenia eIDAS, udostępniania ich publicznie oraz przedkładania Komisji Europejskiej sprawozdań dotyczących tych danych. 10. Zapewnienie możliwości korzystania z europejskiego portfela tożsamości cyfrowej jako środka identyfikacji elektronicznej, za pośrednictwem węzła krajowego identyfikacji elektronicznej oraz zmiana przepisów określających zakres danych osobowych przetwarzanych w ramach węzła krajowego identyfikacji elektronicznej celem umożliwienia użytkownikom portfela korzystania z usług publicznych. 11. Dostosowanie przepisów dotyczących narodowego centrum certyfikacji, o którym mowa w ustawie z dnia 5 września 2016 r. o usługach zaufania oraz identyfikacji elektronicznej, polegające na umocowaniu tego centrum do wydawania kwalifikowanym dostawcom usług zaufania certyfikatów związanych z wymogiem opatrywania kwalifikowanych elektronicznych poświadczeń atrybutów kwalifikowaną pieczęcią elektroniczną lub kwalifikowanym podpisem elektronicznym. 12. Wskazanie organu nadzoru nad dostawcą (dostawcami) europejskiego portfela tożsamości cyfrowej oraz dostawcami usług zaufania w związku z art. 46a ust. 1 oraz art. 46b ust. 1 rozporządzenia eIDAS. Nadzór świadczony będzie przez ministra właściwego do spraw informatyzacji lub jednostkę przez niego nadzorowaną w sposób skuteczny, efektywny i niezależny od zadań realizowanych przez tego ministra lub jednostki podległe w zakresie zapewniania portfela.

II. W ustawie z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne. 1. Zmiany w zakresie profilu zaufanego zmierzające do wprowadzenia nowych wariantów, takich jak środek identyfikacji elektronicznej osoby prawnej wydawany podmiotom publicznym oraz środek identyfikacji elektronicznej osoby fizycznej reprezentującej osobę prawną będącą podmiotem publicznym. Ustalenie zakresu danych identyfikujących, jakie będzie zawierał odpowiednio profil zaufany osoby prawnej oraz profil zaufany osoby fizycznej reprezentującej osobę prawną, a także ustalenie sposobu wydawania (potwierdzania) takich nowych wariantów profili zaufanych. 2. Wskazanie, że w repozytorium interoperacyjności, o którym mowa w ustawie z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, będą publikowane struktury semantyczne elektronicznych poświadczeń atrybutów (przez podmioty odpowiedzialne za zgłaszanie struktury semantycznej elektronicznych poświadczeń atrybutów).

III. W ustawie z dnia 26 maja 2023 r. o aplikacji mObywatel (Dz. U. z 2024 r. poz. 1275 i 1717 oraz z 2025 r. poz. 1019). 1. Wdrożenie rozwiązań umożliwiających wprowadzenie europejskiego portfela tożsamości cyfrowej spełniającego wymagania, o których mowa w przepisach dotyczących zgodności europejskich portfeli tożsamości cyfrowej (oraz systemu identyfikacji elektronicznej, w ramach którego są one wydawane) z wymogami określonymi w art. 5a ust. 4, 5 i 8 rozporządzenia eIDAS, z wymogiem dotyczącym logicznego oddzielenia określonym w art. 5a ust. 14 rozporządzenia eIDAS oraz, w stosownych przypadkach, z normami i specyfikacjami technicznymi, o których mowa w art. 5a ust. 24 rozporządzenia eIDAS, jak również zapewnienia certyfikacji, o której mowa w art. 5c rozporządzenia eIDAS. 2. Ustanowienie krajowych zakresów danych identyfikujących użytkownika europejskiego portfela tożsamości cyfrowej wydawanego w Polsce: dla osoby fizycznej i osoby prawnej oraz sposobu uzyskiwania danych identyfikujących osobę i mechanizmów walidacji tych danych. 3. Upoważnienie ministra właściwego do spraw informatyzacji do wydania przepisów wykonawczych w ramach których uregulowany zostanie sposób uzyskiwania danych identyfikujących osobę i mechanizm walidacji tych danych. 4. Zapewnienie możliwości posługiwania się w usługach krajowych aplikacją mObywatel, dla której potwierdzono tożsamość użytkownika w sposób dotychczasowy, z zastosowaniem dotychczasowego mechanizmu uwierzytelniania (w okresie przejściowym). IV. Zmiany dostosowawcze w innych aktach prawnych. Celem przedmiotowych zmian będzie w szczególności: - umożliwienie uwierzytelniania użytkowników systemów teleinformatycznych za pomocą europejskiego portfela tożsamości cyfrowej, - zapewnienie możliwości skutecznego prawnie wykorzystywania elektronicznych poświadczeń atrybutów oraz umożliwienie (tam gdzie zostanie to uznane za zasadne) dostępu do publicznych usług online z wykorzystaniem elektronicznych poświadczeń atrybutów. - zobowiązanie podmiotów dysponujących źródłami autentycznymi, o których mowa w art. 45e oraz załączniku VI do rozporządzenia eIDAS, do podjęcia działań umożliwiających kwalifikowanym dostawcom usług zaufania weryfikacji atrybutów, o których mowa w załączniku VI, drogą elektroniczną na żądanie użytkownika.