Digital lommebok - personidentifikasjonsdata og elektronisk attesterte attributtar

Status

Gjennomføringsforordninga er vedteken av kommisjonen og har trådt i kraft i medlemslanda. Medlemslanda har ein frist til desember i 2026 på å innrette seg etter gjennomføringsforordninga. Rettsakta er til vurdering i EØS/EFTA-landa.

Samandrag av innhald

Bakgrunn og føremål

Gjennomføringsforordning (EU) 2024/2977 av 28. november 2024 («gjennomføringsforordninga») er vedteken med heimel i eIDAS-forordninga (EU) nr. 910/2014 artikkel 5a (23), og er ein del av implementeringa av det reviderte eIDAS-regelverket, forordning (EU) 2024/1183 («eIDAS2»). Gjennomføringsforordninga har heimel i reglar som følgjer av forordning (EU) 2024/1183 (eIDAS2) som endrar eIDAS-forordninga (EU) 910/2014 (eIDAS1), og er ein del av det reviderte eIDAS-regelverket.  

eIDAS-forordninga («eIDAS1») blei vedteken 23. juli 2014 og tredde i kraft i EU 1. juli 2016. eIDAS1 er teken inn i EØS-avtalen og gjennomført i norsk rett gjennom lov om elektroniske tillitstenester og forskrifter til denne. Føremålet med eIDAS er å fremje trygg elektronisk samhandling mellom borgarar, næringsliv og offentlege styresmakter på tvers av EU/EØS.

eIDAS2 tredde i kraft i EU 20. mai 2024, og utvidar verkeområdet til eIDAS1 med mellom anna innføringa av ein digital identitetslommebok («European Digital Identity Wallet/EUDIW»), med tilhøyrande økosystem. EUDIW skal lette grensekryssande tenestetilgang, samtidig som personvern og privatliv blir ivareteke. eIDAS2 er foreløpig ikkje innlemma i EØS-avtalen.

Gjennom eIDAS2 er Kommisjonen gitt heimel til å vedta relevante presiseringar i tilknyting til eIDAS-regelverket. 

Med denne gjennomføringsforordninga gir Kommisjonen reglar for korleis personidentifikasjonsdata (PID) og elektronisk attesterte attributtar(EAA) skal utferdast til digitale identitetslommebøker i tråd med eIDAS2 artikkel 5a (23). Desse datasetta skal det være mogeleg å, på ein trygg og sikker måte, be om, få tak i, velje, knyte saman, lagre, slette, dele og presentere – under lommebokbrukaren sin fulle kontroll. 

Artikkel 1 set fast føremålet med gjennomføringsforordninga, som er å lage reglar for utferding av personidentifikasjonsdata og elektroniske attesteringar av attributtar, og at gjennomføringsforordninga skal oppdaterast i tråd med teknologiutviklinga og utarbeiding av standardar.

Artikkel 2 er ei oversikt over definisjonane som gjeld for forordninga.

Artikkel 3 stiller krav til utferding av personidentifikasjonsdata til den enkelte lommeboka. Det vert stilt krav til sjølve datasettet, som at innhaldet skal gjere det mogeleg å unikt identifisere ein person, i tillegg til tekniske og innhaldsmessige krav. Vidare vert det stilt krav til at rutina for utferding av PID er i samsvar med ei eID-ordning som er godkjend i nasjonalstaten, av godkjende PID-utferdarar. Vidare skal koplinga mellom personen og den enkelte lommeboka være i samsvar med nivå høgt etter gjennomføringsforordning (EU) 2015/1502, som stiller krav til identifisering av personen og kor trygg ein må være på at personen som er identifisert vert den einaste brukaren av lommeboka.

Artikkel 4 stiller krav til at elektroniske attestasjonar av attributtar er i samsvar med gjennomføringsforordning (EU) 2024/2979, at verksemder som tilbyr desse identifiserar seg med brukarstadsertifikat og at dei inneheld informasjonen som trengs for å bruke dei.

Artikkel 5 stiller krav om at PID skal kunne kallast tilbake og slik ikkje lenger brukast. Det er tre grunnar til å kalle tilbake ein PID; lommebokbrukaren ber om det, lommebokleverandøren har fått kalla tilbake sin rett til å levere lommebok, og i andre situasjonar i samsvar med vilkåra til lommebokleverandøren. Lommebokleverandøren sine vilkår skal være skriftlege og offentleg tilgjengelege i ei lett forståeleg form. Lommebokbrukaren skal varslast om kvifor tilbakekallet skjedde, innan 24 timar.

Vedlegga til forordninga inneheld ein oversikt over kva for data som skal inngå i PIDen.

Merknader

Rettslege konsekvensar

Forutsatt at eIDAS2 vert teken inn i EØS-avtalen og gjennomførast i norsk rett, kan denne gjennomføringsforordninga gjennomførast i forskrift.

EØS-relevans

Forordninga inneheld reglar for gjennomføring av eIDAS 2. Endringane i eIDAS2 er vurdert å vere EØS-relevante, og departementet legg til grunn at tilsvarande vil gjelde for ei forordning som gir utdjupande reglar for gjennomføringa av denne.

Endringar i nasjonalt regelverk

I Noreg er eIDAS ((EU) 910/2014) gjennomført i lov om elektroniske tillitstenester, forskrift om sjølvdeklarasjon av ordningar for elektronisk identifikasjon (sjølvdeklarasjonsforskrifta), forskrift om tillitstenester for elektroniske transaksjonar og gjennom rammeverk for identifikasjon og sporbarheit.

Departementet reknar det som naturleg at gjennomføringsforordninga vil føre til endringar i form av ei forskrift til lov om elektroniske tillitstenester

Det er teke art. 103-forbehold for eIDAS2, og gjennomføring av denne gjennomføringsforordninga kan ikkje tre i kraft før art. 103-forbeholdet i eIDAS2 er løfta og eIDAS2 er trådt i kraft.

Økonomiske og administrative konsekvensar

Gjennomføringsforordninga er ei spesifisering og detaljering av plikter som allereie følgjer av eIDAS2.

I posisjonsnotatet for eIDAS2 reknar ein med at eIDAS2 vil få betydelege økonomiske og administrative konsekvensar. Gjennomføringsforordninga omtalt i dette notatet spesifiserar krava til å levere ut personidentifikasjonsdata og elektronisk attesterte attributtar. Krava understøttar vurderinga om at eIDAS2, samla sett, vil ha betydelege økonomiske og administrative konsekvensar.

Dei økonomiske konsekvensane vil i hovudsak knyte seg til dei tekniske krava til lommebokleverandørar og utferdarar av elektronisk attesterte attributtar, medan dei administrative konsekvensane også vil råke offentlege styresmakter.

Merknader frå sakkunnige instansar

Gjennomføringsforordninga er førebels ikkje høyrt.

Vurdering

Gjennomføringsforordninga inneheld utdjupande reglar for gjennomføring av eIDAS2.  Departementet stiller seg positive til felles regulering som skal tryggje tillit, openheit, personvern og interoperabilitet i det europeiske økosystemet for digital identitet. 
Reglane som stiller krav til, og med det sikrar, trygge rammer for utferding av personidentifikasjonsdata og elektroniske attesterte attributtar er ein viktig del av rammeverket som underbygger tilliten i økosystemet.

Andre opplysninger

Nøkkelinformasjon

Institusjon:	Kommisjonen
Type rettsakt:	Forordning
KOM-nr.:	KOM(2024)2977
Rettsaktnr.:	(EU) 2024/2977
Basis rettsaktnr.:	(EU) 910/2014
Celexnr.:	32024R2977

EFTA-prosessen

Dato mottatt standardskjema:	20.12.2024
Frist returnering standardskjema:	11.04.2025
Dato returnert standardskjema:
EØS-relevant:	Ja
Akseptabelt:	Ja
Tekniske tilpasningstekster:	Nei
Materielle tilpasningstekster:	Nei
Art. 103-forbehold:	Nei

Norsk regelverk

Endring av norsk regelverk:	Ja
Høringsstart:
Høringsfrist:
Frist for gjennomføring:

Lenker

• EU-tidende