Ευρωπαϊκό Πορτοφόλι Ψηφιακής Ταυτότητας

Το Ευρωπαϊκό Πορτοφόλι Ψηφιακής Ταυτότητας (αγγλικά: EU Digital Identity Wallet — EUDI Wallet) είναι ένα πορτοφόλι ταυτότητας για κινητές συσκευές που ορίζεται από το Ευρωπαϊκό Δίκαιο και επιτρέπει σε άτομα και επιχειρήσεις να αποδεικνύουν ποιοι είναι διαδικτυακώς και να μοιράζονται επαληθευμένα γνωρίσματα σε όλη την ΕΕ. Δημιουργείται από τον Κανονισμό (ΕΕ) 2024/1183, ο οποίος τροποποιεί το πλαίσιο eIDAS για την καθιέρωση μιας Ευρωπαϊκής Ψηφιακής Ταυτότητας, καθώς και από ένα σύνολο κανονισμών εφαρμογής της Επιτροπής που υιοθετήθηκαν στις 28 Νοεμβρίου 2024 και καθορίζουν τις βασικές λειτουργίες, τα δεδομένα, τις διεπαφές και την πιστοποίηση του πορτοφολιού.

Τα Κράτη Μέλη οφείλουν να διαθέτουν τουλάχιστον ένα πορτοφόλι και να αναγνωρίζουν αυτά που εκδίδονται από άλλα Κράτη Μέλη. Το Συμβούλιο ενέκρινε το νομικό πλαίσιο στις 26 Μαρτίου 2024, αφού το Κοινοβούλιο το είχε εγκρίνει σε πρώτη ανάγνωση στις 29 Φεβρουαρίου 2024· η πράξη δημοσιεύθηκε στις 30 Απριλίου 2024 και τέθηκε σε ισχύ στις 20 Μαΐου 2024.

Υπόβαθρο

Το ψηφιακό πορτοφόλι βασίζεται στον Κανονισμό eIDAS του 2014 για την ηλεκτρονική ταυτοποίηση και τις υπηρεσίες εμπιστοσύνης, ο οποίος επέτρεψε την διασυνοριακή αναγνώριση των εθνικών συστημάτων ηλεκτρονικής ταυτότητας. Τον Ιούνιο του 2021, η Επιτροπή πρότεινε ένα πλαίσιο «Ευρωπαϊκής Ψηφιακής Ταυτότητας» με προσωπικό ψηφιακό πορτοφόλι· το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο κατέληξαν σε πολιτική συμφωνία τον Νοέμβριο του 2023, με την επίσημη υιοθέτηση στις αρχές του 2024.

Νομικό πλαίσιο

Ο βασικός κανονισμός είναι ο Κανονισμός (ΕΕ) 2024/1183, ο οποίος τροποποιεί τον eIDAS για να θεσπίσει την Ευρωπαϊκή Ψηφιακή Ταυτότητα και απαιτεί από τα Κράτη Μέλη να παρέχουν ένα Ευρωπαϊκό Ψηφιακό Πορτοφόλι Ταυτότητας στους πολίτες και κατοίκους που το ζητούν. Πέντε εφαρμοστικοί κανονισμοί που υιοθετήθηκαν στις 28 Νοεμβρίου 2024 καθορίζουν:

• την ακεραιότητα και τις βασικές λειτουργίες των πορτοφολιών (αρχιτεκτονική ασφαλείας, συναίνεση, καταγραφή, φορητότητα)
• τα δεδομένα ταυτοποίησης προσώπου και οι ηλεκτρονικές βεβαιώσεις χαρακτηριστικών, συμπεριλαμβανομένων των κανόνων έκδοσης και ανάκλησης·
• τα πρωτόκολλα και οι διεπαφές που πρέπει να υποστηρίζονται για διαλειτουργικότητα·
• τις κοινοποιήσεις προς την Επιτροπή σχετικά με το οικοσύστημα του πορτοφολιού·
• την πιστοποίηση λύσεων και συστατικών πορτοφολιών.

Αρχιτεκτονική και πρότυπα

Το Πλαίσιο Αρχιτεκτονικής και Αναφοράς (Architecture and Reference Framework – ARF) της Επιτροπής, το οποίο διατηρείται σε συνεργασία με την Ομάδα Συνεργασίας για την Ευρωπαϊκή Ψηφιακή Ταυτότητα, περιγράφει το οικοσύστημα, τους ρόλους, τα μοντέλα δεδομένων, την κρυπτογραφία και τις δοκιμές συμμόρφωσης για το πορτοφόλι. Το ARF και οι κανόνες εφαρμογής παραπέμπουν σε καθιερωμένα τεχνικά πρότυπα, συμπεριλαμβανομένης της οικογένειας Verifiable Credentials του W3C και του προτύπου ISO/IEC 18013-5 για τα ψηφιακά διπλώματα οδήγησης.

Δεδομένα και διαπιστευτήρια

Τα πορτοφόλια περιέχουν δύο βασικούς τύπους δεδομένων:

• Δεδομένα ταυτοποίησης προσώπου (Person Identification Data – PID), τα οποία εκδίδονται από κράτος μέλος ή εξ ονόματός του (π.χ. νόμιμο όνομα, ημερομηνία γέννησης, αναγνωριστικά), για ισχυρή ταυτοποίηση.
• Ηλεκτρονικές βεβαιώσεις ιδιοτήτων (Electronic Attestations of Attributes – EAAs), οι οποίες εκδίδονται από δημόσιους ή ιδιωτικούς παρόχους (π.χ. επαγγελματικά προσόντα, δικαιώματα οδήγησης, καθεστώς διαμονής, ψηφιακά ταξιδιωτικά διαπιστευτήρια) και μπορούν να παρουσιάζονται επιλεκτικά.

Το ARF παρέχει ένα εγχειρίδιο κανόνων για το PID, ευθυγραμμισμένο με το νομικό κείμενο, με σκοπό την προώθηση διαλειτουργικών υλοποιήσεων μεταξύ των κρατών μελών.

Χαρακτηριστικά

Οι κανόνες εφαρμογής απαιτούν τα πορτοφόλια να επιτρέπουν την ελεγχόμενη από τον χρήστη κοινή χρήση χαρακτηριστικών που να διατηρεί το απόρρητο, να υποστηρίζουν την προσκόμιση εντός και εκτός σύνδεσης και να εφαρμόζουν διασφαλίσεις ακεραιότητας, καταγραφής και φορητότητας. Τα κράτη μέλη αναμένεται να αναγνωρίζουν τα πορτοφόλια πέρα ​​από τα σύνορα για την πρόσβαση σε δημόσιες υπηρεσίες, ενώ το πλαίσιο στοχεύει επίσης σε περιπτώσεις χρήσης υψηλής αξίας από τον ιδιωτικό τομέα, όπως το KYC στα χρηματοοικονομικά και οι παρουσιάσεις αδειών οδήγησης μέσω κινητού, βάσει του ISO/IEC 18013-5.

Ασφάλεια και πιστοποίηση

Οι λύσεις των πορτοφολιών πρέπει να υποβάλλονται σε αξιολόγηση συμμόρφωσης βάσει των συστημάτων που ορίζονται στον εκτελεστικό κανονισμό για την πιστοποίηση και τις σχετικές αναφορές (με βάση το πλαίσιο της ΕΕ για την κυβερνοασφάλεια). Η Επιτροπή και τα κράτη μέλη συντονίζουν τις τεχνικές προδιαγραφές και τις δοκιμές μέσω της Ευρωπαϊκής Ομάδας Συνεργασίας για την Ψηφιακή Ταυτότητα και των ροών εργασίας ARF.

Υλοποίηση και πιλοτικά έργα

Από το 2023, η Επιτροπή έχει υποστηρίξει αρκετά μεγάλης κλίμακας πιλοτικά έργα για τη δοκιμή περιπτώσεων χρήσης των πορτοφολιών (π.χ. ταξίδια, εκπαίδευση, κοινωνική ασφάλιση, πληρωμές) με δημόσιες διοικήσεις και ιδιωτικούς εταίρους σε όλα τα κράτη μέλη. Παραδείγματα περιλαμβάνουν την Κοινοπραξία Ψηφιακού Πορτοφολιού της ΕΕ (EU Digital Wallet Consortium - EWC) για ψηφιακά διαπιστευτήρια ταξιδιού και άλλες κοινοπραξίες στο πλαίσιο του Προγράμματος Ψηφιακής Ευρώπης.

Ανάπτυξη και διαθεσιμότητα

Σύμφωνα με τον Κανονισμό (ΕΕ) 2024/1183, τα κράτη μέλη οφείλουν να διαθέσουν τουλάχιστον ένα Ευρωπαϊκό Ψηφιακό Πορτοφόλι Ταυτότητας (EUDI Wallet) «εντός 24 μηνών από την ημερομηνία έναρξης ισχύος των εκτελεστικών πράξεων» για τους βασικούς κανόνες του πορτοφολιού και για τα PID/EAAs. Το πρώτο σύνολο εκτελεστικών κανονισμών δημοσιεύθηκε στις 4 Δεκεμβρίου 2024 και τέθηκε σε ισχύ 20 ημέρες αργότερα· αυτό καθορίζει τη διαθεσιμότητα των εθνικών πορτοφολιών έως τα τέλη Δεκεμβρίου 2026.

Η χρήση του πορτοφολιού είναι προαιρετική και, για τα φυσικά πρόσωπα, δωρεάν. Τα κράτη μέλη μπορούν να παρέχουν το πορτοφόλι απευθείας, να αναθέτουν την παροχή του σε πάροχο ή να αναγνωρίζουν ιδιωτικούς παρόχους, και μπορούν να εντάσσουν χρήστες χρησιμοποιώντας ηλεκτρονική ταυτοποίηση (eID) στο επίπεδο «ουσιώδες», συμπληρωμένη με απομακρυσμένη ένταξη ώστε να επιτευχθεί το επίπεδο «υψηλό».

Αποδοχή από υπηρεσίες

Όταν ένα κράτος μέλος απαιτεί ηλεκτρονική ταυτοποίηση και αυθεντικοποίηση για την πρόσβαση σε διαδικτυακή δημόσια υπηρεσία, οφείλει επίσης να αποδέχεται την παρουσίαση μέσω του EUDI Wallet. Για τον ιδιωτικό τομέα, ο κανονισμός απαιτεί αποδοχή «εντός 36 μηνών» από την έναρξη ισχύος των εκτελεστικών πράξεων (δηλαδή έως τα τέλη Δεκεμβρίου 2027) από τα εξαρτώμενα μέρη που υποχρεούνται εκ του νόμου να χρησιμοποιούν ισχυρή αυθεντικοποίηση χρήστη, συμπεριλαμβανομένων υπηρεσιών στους τομείς των μεταφορών, της ενέργειας, της τραπεζικής και των χρηματοοικονομικών υπηρεσιών, της κοινωνικής ασφάλισης, της υγείας, του ύδατος, των ταχυδρομικών υπηρεσιών, των ψηφιακών υποδομών, της εκπαίδευσης και των τηλεπικοινωνιών. Επιπλέον, οι Πολύ Μεγάλες Διαδικτυακές Πλατφόρμες στο πλαίσιο της Πράξης για τις Ψηφιακές Υπηρεσίες και οι «ρυθμιστές πρόσβασης» (gatekeepers) στο πλαίσιο της Πράξης για τις Ψηφιακές Αγορές οφείλουν να αναγνωρίζουν το πορτοφόλι για την αυθεντικοποίηση χρηστών κατόπιν αιτήματος του χρήστη.

Πρακτικές περιπτώσεις χρήσης

Η Επιτροπή επισημαίνει καθημερινά σενάρια, όπως το άνοιγμα τραπεζικού λογαριασμού, την εγγραφή σε πανεπιστήμιο στο εξωτερικό ή την υποβολή αίτησης για εργασία, με υποστήριξη επιλεκτικής γνωστοποίησης και παρουσίασης εκτός σύνδεσης/εντός σύνδεσης, όπως προβλέπεται από τους εκτελεστικούς κανόνες.

Πιλοτικά έργα και μετάβαση σε παραγωγική λειτουργία

Πιλοτικά έργα μεγάλης κλίμακας, χρηματοδοτούμενα από την Επιτροπή, δοκιμάζουν περιπτώσεις χρήσης στους τομείς των ταξιδιών, της εκπαίδευσης, της κοινωνικής ασφάλισης, των πληρωμών και άλλους, ενόψει της γενικής διαθεσιμότητας το 2026, με τη συμμετοχή εκατοντάδων δημόσιων και ιδιωτικών φορέων σε ολόκληρη την ΕΕ.

Προβλεπόμενη υιοθέτηση

Στο πλαίσιο των στόχων της ΕΕ για την «Ψηφιακή Δεκαετία» του 2030, «το 80% των πολιτών θα χρησιμοποιεί λύση ψηφιακής ταυτότητας έως το 2030»· το EUDI Wallet προορίζεται να αποτελέσει το κύριο εργαλείο για την επίτευξη αυτού του στόχου.

Με μια ματιά (βασικές ημερομηνίες)

• 20 Μαΐου 2024: το πλαίσιο EUDI τίθεται σε ισχύ.
• 24 Δεκεμβρίου 2024 (≈): οι πρώτες εκτελεστικές πράξεις τίθενται σε ισχύ (20 ημέρες μετά τη δημοσίευση στην Επίσημη Εφημερίδα στις 4 Δεκεμβρίου 2024).
• Έως τα τέλη Δεκεμβρίου 2026: τουλάχιστον ένα πορτοφόλι διαθέσιμο σε κάθε κράτος μέλος (προθεσμία 24 μηνών).
• Έως τα τέλη Δεκεμβρίου 2027: υποχρεωτική αποδοχή από καθορισμένα εξαρτώμενα μέρη του ιδιωτικού τομέα που υποχρεούνται να χρησιμοποιούν ισχυρή αυθεντικοποίηση, καθώς και από Πολύ Μεγάλες Διαδικτυακές Πλατφόρμες/ρυθμιστές πρόσβασης για την αυθεντικοποίηση χρηστών (κατόπιν αιτήματος του χρήστη).

Χρονολόγιο

• 8 Νοεμβρίου 2023: προσωρινή πολιτική συμφωνία για την Ευρωπαϊκή Ψηφιακή Ταυτότητα.
• 29 Φεβρουαρίου 2024: το Ευρωπαϊκό Κοινοβούλιο εγκρίνει την πράξη σε πρώτη ανάγνωση.
• 26 Μαρτίου 2024: το Συμβούλιο εγκρίνει το νομικό πλαίσιο.
• 4 Δεκεμβρίου 2024: δημοσίευση εκτελεστικών κανονισμών σχετικά με την ακεραιότητα του πορτοφολιού, τα PID/EAAs, τα πρωτόκολλα, την πιστοποίηση και τις κοινοποιήσεις.
• Μέχρι το τέλος του 2026: κάθε Κράτος Μέλος θα διαθέσει τουλάχιστον ένα EUDI Wallet (προθεσμία 24 μηνών).
• Μέχρι το τέλος του 2027: υποχρέωση εκ μέρους συγκεκριμένων αξιόπιστων φορέων του ιδιωτικού τομέα να προβλέπουν ισχυρή ταυτοποίηση και εκ μέρους μεγάλων διαδικτυακών πλατφορμών/«gatekeepers» για την ταυτοποίηση των χρηστών (κατόπιν αιτήματος του χρήστη).