keyboard_tab EIDAS 2014/0910 PT

whereas parágrafo:

definitions:

Artigo 6.o

Reconhecimento mútuo

1.   Quando, para aceder a um serviço em linha prestado por um organismo público de um Estado-Membro, seja exigida, ao abrigo da legislação ou nos termos da prática administrativa nacional, uma identificação eletrónica baseada num meio de identificação eletrónica e numa autenticação, o meio de identificação eletrónica produzido noutro Estado-Membro é reconhecido no primeiro Estado-Membro para efeitos de autenticação transfronteiriço para o referido serviço em linha, se estiverem reunidas as seguintes condições:

a)	O meio de identificação eletrónica ser produzido por um sistema de identificação eletrónica constante da lista publicada pela Comissão nos termos do artigo 9.o;

b)

O nível de garantia do meio de identificação eletrónica corresponder a um nível de garantia igual ou superior ao exigido pelo organismo público para o acesso ao serviço em linha no primeiro Estado-Membro, desde que o nível de garantia do referido meio de identificação eletrónica corresponda ao nível substancial ou elevado;

c)	O organismo público em causa utilizar o nível de garantia substancial ou elevado para conceder acesso ao referido serviço em linha.

O reconhecimento é efetuado num prazo de 12 meses após a Comissão ter publicado, a lista a que se refere a alínea a) do primeiro parágrafo.

2.   O meio de identificação eletrónica produzido por um sistema de identificação eletrónica constante da lista publicada pela Comissão nos termos do artigo 9.o, e correspondente ao nível de garantia baixo, pode ser reconhecido pelos organismos públicos para efeitos de autenticação transfronteiriça para conceder acesso ao serviço prestado em linha por esses mesmos organismos.

Artigo 13.o

Responsabilidade e ónus da prova

1.   Sem prejuízo do disposto no n.o 2, os prestadores de serviços de confiança respondem pelos danos causados deliberadamente ou por negligência a todas as pessoas singulares ou coletivas por incumprimento das obrigações previstas no presente regulamento.

O ónus da prova da intenção ou negligência de um prestador não qualificado de serviços de confiança recai sobre a pessoa singular ou coletiva que intente a ação de indemnização pelos danos referidos no n.o 1.

Presume-se a intenção ou negligência de um prestador qualificado de serviços de confiança, exceto se este provar que os danos referidos no primeiro parágrafo não foram causados por sua intenção ou negligência.

2.   Se os prestadores de serviços de confiança informarem prévia e devidamente os seus clientes sobre os limites da utilização dos serviços prestados e, se esses limites forem identificáveis por terceiros, os mesmos prestadores de serviços de confiança não respondem pelos danos decorrentes de uma utilização dos serviços que exceda os limites indicados.

3.   Os n.os 1 e 2 aplicam-se nos termos das disposições nacionais em matéria de responsabilidade.

Artigo 21.o

Início de um serviço de confiança qualificado

1.   Quando os prestadores de serviços de confiança, sem estatuto de qualificado, pretendam começar a prestar serviços de confiança qualificados, apresentam à entidade supervisora uma notificação da sua intenção acompanhada de um relatório de avaliação da conformidade emitido por um organismo de avaliação da conformidade.

2.   A entidade supervisora verifica se o prestador de serviços de confiança os serviços de confiança por ele prestados cumprem os requisitos estabelecidos no presente regulamento, designadamente com os requisitos previstos para os prestadores qualificados de serviços de confiança e para os serviços de confiança qualificados por eles prestados.

Se a entidade supervisora concluir que o prestador de serviços de confiança e os serviços de confiança por ele prestados cumprem os requisitos a que se refere o primeiro parágrafo, a entidade supervisora atribui o estatuto de qualificado ao prestador de serviços de confiança e aos serviços de confiança por ele prestados e informa a entidade referida no artigo 22.o, n.o 3.o, para efeitos de atualização das listas de confiança referidas no artigo 22.o, n.o 1, o mais tardar três meses após a notificação feita nos termos do n.o 1 do presente artigo.

Se a verificação não ficar concluída no prazo de três meses a contar da notificação, a entidade supervisora informa o prestador de serviços de confiança, indicando as razões do atraso e o prazo dentro do qual a verificação estará concluída.

3.   Os prestadores qualificados de serviços de confiança podem iniciar a prestação do serviço de confiança qualificado depois de o estatuto de qualificado ter sido publicado nas listas de confiança referidas no artigo 22.o, n.o 1.

4.   A Comissão pode, por meio de atos de execução, definir os formatos e os procedimentos aplicáveis para efeitos do disposto nos n.os 1 e 2. Esses atos de execução são adotados pelo procedimento de exame a que se refere o artigo 48.o, n.o 2.

Artigo 23.o

Marca de confiança «UE» para serviços de confiança qualificados

1.   Depois de o estatuto de qualificado referido no artigo 21.o, n.o 2, segundo parágrafo, ser publicado na lista de confiança a que se refere o artigo 22.o, n.o 1, os prestadores qualificados de serviços de confiança podem utilizar a marca de confiança «UE» para identificar, de forma simples, reconhecível e clara, os serviços de confiança qualificados que prestam.

2.   Ao utilizar a marca de confiança «UE» para os serviços de confiança qualificados referida no n.o 1, os prestadores qualificados de serviços de confiança asseguram-se da existência de uma ligação à correspondente lista de confiança no seu sítio web.

3.   Até 1 de julho de 2015, a Comissão estabelece, por meio de atos de execução, as especificações relativas à forma e, em particular, à apresentação, composição, dimensão e conceção da marca de confiança «UE» para serviços de confiança qualificados. Esses atos de execução são adotados pelo procedimento de exame a que se refere o artigo 48.o, n.o 2.

Artigo 24.o

Requisitos aplicáveis aos prestadores qualificados de serviços de confiança

1.   Ao emitirem certificados referentes a serviços de confiança, os prestadores qualificados de serviços de confiança verificam, pelos meios adequados e nos termos da legislação nacional, a identidade e as eventuais características específicas da pessoa singular ou coletiva à qual é emitido o certificado qualificado.

As informações referidas no primeiro parágrafo são verificadas pelos prestadores qualificados de serviços de confiança pelos seus próprios meios ou recorrendo a um terceiro, nos termos da legislação nacional:

a)	Mediante a presença física da pessoa singular ou de um representante autorizado da pessoa coletiva; ou

b)

À distância, utilizando meios de identificação eletrónica, para os quais tenha sido assegurada, antes da emissão do certificado qualificado, a presença física da pessoa singular ou de um representante autorizado da pessoa coletiva e que cumprem os requisitos estabelecidos no artigo 8.o relativamente aos níveis de garantia «substancial» ou «elevado»; ou

c)	Por meio de um certificado de assinatura eletrónica qualificada ou de um selo eletrónico qualificado emitido nos termos das alíneas a) ou b); ou

d)	Utilizando outros métodos de identificação reconhecidos a nível nacional que deem garantias equivalentes, em termos de confiança, à da presença física. A equivalência de tais garantias será confirmada por um organismo de avaliação da conformidade.

2.   Os prestadores qualificados de serviços de confiança que prestam serviços de confiança qualificados:

a)	Informam a entidade supervisora de todas as alterações à prestação dos seus serviços de confiança qualificados, inclusivamente da intenção de cessação de atividades;

b)

Empregam pessoal e, eventualmente, subcontratantes que possuam a especialização, a confiança, experiência e as qualificações necessárias e que tenham recebido formação adequada em matéria de regras de segurança e de proteção de dados pessoais e aplicam procedimentos administrativos e de gestão que correspondam às normas europeias ou internacionais;

c)	Face ao risco da responsabilidade por danos prevista no artigo 13.o, conservam recursos financeiros suficientes e/ou adquirem um seguro de responsabilidade adequado, de acordo com a legislação nacional;

d)	Antes de estabelecerem uma relação contratual, informam, de forma clara e completa, as pessoas que pretendam utilizar serviços de confiança qualificados dos termos e condições exatos da utilização de tais serviços, incluindo de qualquer limitação à sua utilização;

e)	Utilizam sistemas e produtos fiáveis que estejam protegidos contra modificações e garantam a segurança e a fiabilidade técnicas dos processos de que são suporte;

f)

Utilizam sistemas fiáveis de armazenamento dos dados que lhes são fornecidos, num formato verificável, de modo a que: i) os dados apenas estejam publicamente disponíveis para extração se tiver sido obtido o consentimento da pessoa a quem os dados digam respeito, ii) apenas as pessoas autorizadas possam introduzir dados e alterações aos dados armazenados, iii) a autenticidade dos dados possa ser verificada;

g)	Tomam as medidas adequadas para prevenir a falsificação e o roubo dos dados;

h)

Registam e mantêm acessíveis durante um prazo adequado, incluindo depois de o prestador qualificado de serviços de confiança ter deixado de prestar esses serviços, todas as informações pertinentes relativas aos dados emitidos e recebidos pelo prestador qualificado de serviços de confiança, em particular para efeitos de apresentação de provas em processos judiciais e para garantir a continuidade do serviço. Esse registo poderá ser feito eletronicamente;

i)	Conservam um plano de cessação de atividades atualizado que garanta a continuidade do serviço de acordo com as disposições verificadas pela entidade supervisora nos termos do artigo 17.o, n.o 4, alínea i);

j)	Garantem um tratamento lícito dos dados pessoais em conformidade com a Diretiva 95/46/CE;

k)	Criam e mantêm atualizada uma base de dados de certificados, quando emitam certificados qualificados.

3.   Se os prestadores qualificados de serviços de confiança que emitem certificados qualificados decidirem revogar um certificado, registam a revogação na sua base de dados e publicam-na em tempo útil, mas sempre no prazo de 24 horas após a receção do pedido. A revogação produz efeitos imediatamente após a sua publicação.

4.   No que respeita ao disposto no n.o 3, os prestadores qualificados de serviços de confiança que emitam certificados qualificados fornecem a qualquer utilizador informações sobre a validade ou a revogação dos certificados qualificados por eles emitidos. Estas informações são fornecidas pelo menos para cada certificado, em qualquer altura e mesmo após o termo do prazo de validade do certificado, de uma maneira automática que seja fiável, gratuita e eficaz.

5.   A Comissão pode, por meio de atos de execução, estabelecer os números de referência das normas relativas aos sistemas e produtos fiáveis que cumprem os requisitos constantes do n.o 2, alíneas e) e f). Os sistemas e produtos fiáveis conformes com as referidas normas beneficiam da presunção de conformidade com os requisitos estabelecidos no artigo 24.o. Esses atos de execução são adotados pelo procedimento de exame a que se refere o artigo 48.o, n.o 2.

SECÇÃO 4

Assinaturas eletrónicas

Artigo 30.o

Certificação dos dispositivos qualificados de criação de assinaturas eletrónicas

1.   A conformidade dos dispositivos qualificados de criação de assinaturas eletrónicas com os requisitos estabelecidos no anexo II é certificada pelas entidades públicas ou privadas competentes designadas pelos Estados-Membros.

2.   Os Estados-Membros comunicam à Comissão a denominação e o endereço da entidade pública ou privada por eles designada, referida no n.o 1. A Comissão põe a informação à disposição dos Estados-Membros.

3.   A certificação referida no n.o 1 é baseada:

a)	Num processo de avaliação de segurança executado de acordo com as normas da avaliação de segurança dos produtos informáticos constantes da lista elaborada nos termos do segundo parágrafo; ou

b)

Num processo diferente do referido na alínea a), desde que esse processo utilize níveis de segurança comparáveis e a entidade pública ou privada referida no n.o 1 notifique esse processo à Comissão. Esse processo só pode ser utilizado na falta das normas constantes da alínea a) ou se estiver em curso um processo de avaliação de segurança referido na alínea a).

A Comissão deve, por meio de atos de execução, elaborar a lista de normas da avaliação de segurança dos produtos informáticos a que se refere a alínea a). Esses atos de execução são adotados pelo procedimento de exame a que se refere o artigo 8.o.

4.   A Comissão tem poderes para adotar atos delegados nos termos do artigo 47.o para estabelecer os critérios específicos a cumprir pelas entidades designadas referidas no n.o 1 do presente artigo.

Artigo 49.o

Revisão

A Comissão analisa a aplicação do presente regulamento e apresenta um relatório ao Parlamento Europeu e ao Conselho até 1 de julho de 2020. A Comissão avalia nomeadamente se é adequado modificar o âmbito do presente regulamento ou as suas disposições especiais, como o artigo 6.o, o artigo 7.o, alínea f), e os artigos 34.o, 43.o, 44.o e 45.o, tendo em conta a experiência adquirida na aplicação do presente regulamento, bem como a evolução da tecnologia, do mercado e da legislação.

Se necessário, o relatório a que se refere o primeiro parágrafo é acompanhado de propostas legislativas.

Além disso, a intervalos de quatro anos a contar do relatório a que se refere o primeiro parágrafo, a Comissão apresenta ao Parlamento Europeu e ao Conselho um relatório sobre a realização dos objetivos do presente regulamento.