keyboard_tab EIDAS 2014/0910 PT

whereas responde:

• whereas (15) 1
• whereas (37) 1

definitions:

Artigo 6.o

Reconhecimento mútuo

1.   Quando, para aceder a um serviço em linha prestado por um organismo público de um Estado-Membro, seja exigida, ao abrigo da legislação ou nos termos da prática administrativa nacional, uma identificação eletrónica baseada num meio de identificação eletrónica e numa autenticação, o meio de identificação eletrónica produzido noutro Estado-Membro é reconhecido no primeiro Estado-Membro para efeitos de autenticação transfronteiriço para o referido serviço em linha, se estiverem reunidas as seguintes condições:

a)	O meio de identificação eletrónica ser produzido por um sistema de identificação eletrónica constante da lista publicada pela Comissão nos termos do artigo 9.o;

b)

O nível de garantia do meio de identificação eletrónica corresponder a um nível de garantia igual ou superior ao exigido pelo organismo público para o acesso ao serviço em linha no primeiro Estado-Membro, desde que o nível de garantia do referido meio de identificação eletrónica corresponda ao nível substancial ou elevado;

c)	O organismo público em causa utilizar o nível de garantia substancial ou elevado para conceder acesso ao referido serviço em linha.

O reconhecimento é efetuado num prazo de 12 meses após a Comissão ter publicado, a lista a que se refere a alínea a) do primeiro parágrafo.

2.   O meio de identificação eletrónica produzido por um sistema de identificação eletrónica constante da lista publicada pela Comissão nos termos do artigo 9.o, e correspondente ao nível de garantia baixo, pode ser reconhecido pelos organismos públicos para efeitos de autenticação transfronteiriça para conceder acesso ao serviço prestado em linha por esses mesmos organismos.

Artigo 8.o

Níveis de garantia dos sistemas de identificação eletrónica

1.   Os sistemas de identificação eletrónica notificados nos termos do artigo 9.o, n.o 1, especificam os níveis de garantia reduzidos, substanciais e/ou elevados para os meios de identificação eletrónica neles produzidos.

2.   Os níveis de garantia reduzidos, substanciais e elevados cumprem, respetivamente, os seguintes critérios:

a)

O nível de garantia reduzido corresponde a um meio de identificação eletrónica, no contexto de um sistema de identificação eletrónica, que confere um nível de confiança limitado relativamente à identidade declarada ou reivindicada por determinada pessoa, e que se caracteriza por referência a especificações técnicas, normas e procedimentos conexos, nomeadamente controlos técnicos, cuja finalidade é reduzir o risco de utilização ou alteração indevida da identidade;

b)

O nível de garantia substancial corresponde a um meio de identificação eletrónica, no contexto de um sistema de identificação eletrónica, que confere um nível de confiança substancial relativamente à identidade declarada ou reivindicada por determinada pessoa, e que se caracteriza por referência a especificações técnicas, normas e procedimentos conexos, nomeadamente controlos técnicos, cuja finalidade é reduzir substancialmente o risco de utilização ou alteração indevida da identidade;

c)

O nível de garantia elevado corresponde a um meio de identificação eletrónica, no contexto de um sistema de identificação eletrónica, que confere um nível de confiança relativamente à identidade declarada ou reivindicada por determinada pessoa mais elevado do que os meios de identificação eletrónica com o nível de garantia substancial, e que se caracteriza por referência a especificações técnicas, normas e procedimentos conexos, nomeadamente controlos técnicos, cuja finalidade é evitar a utilização ou a alteração indevida da identidade.

3.   Até 18 de setembro de 2015, tendo em conta as normas internacionais aplicáveis e sob reserva do n.o 2, a Comissão define, por meio de atos de execução, as especificações técnicas mínimas, as normas e os procedimentos que devem servir de referência para a especificação dos níveis de garantia reduzido, substancial e elevado para meios de identificação eletrónica para efeitos do n.o 1.

As especificações técnicas mínimas, as normas e os procedimentos são estabelecidos por referência à confiança e qualidade:

a)	Do procedimento para provar e verificar a identidade das pessoas singulares ou coletivas que requeiram a produção do meio de identificação eletrónica;

b)	Do procedimento para a produção do meio de identificação eletrónica solicitado;

c)	Do mecanismo de autenticação através do qual a pessoa singular ou coletiva utiliza o meio de identificação eletrónica para confirmar a sua identidade a um utilizador;

d)	Da entidade que produz os meios de identificação eletrónica;

e)	De qualquer outro organismo implicado no processo de requisição da produção do meio de identificação eletrónica; e

f)	Das especificações técnicas e de segurança do meio de identificação eletrónica produzido.

Esses atos de execução são adotados pelo procedimento de exame a que se refere o artigo 48.o, n.o 2.

Artigo 9.o

Notificação

1.   O Estado-Membro notificante notifica à Comissão as seguintes informações e, sem atrasos indevidos, todas as eventuais alterações posteriores às mesmas:

a)	Uma descrição do sistema de identificação eletrónica, nomeadamente dos seus níveis de garantia e do produtor ou produtores dos meios de identificação eletrónica que integram o sistema;

b)	O regime de supervisão e de responsabilidade aplicáveis no que diz respeito: i) à parte que produz o meio de identificação eletrónica, e ii) à parte que executa o procedimento de autenticação.

c)	Os dados da autoridade ou autoridades responsáveis pelo sistema de identificação eletrónica notificado;

d)	Os dados da entidade ou entidades que gerem o registo dos dados únicos de identificação da pessoa singular ou coletiva;

e)	Uma descrição da forma como são cumpridos os requisitos definidos nos atos de execução a que se refere o artigo 12.o, n.o 8;

f)	Uma descrição da autenticação referida no artigo 7.o, alínea f);

g)	As disposições previstas para a suspensão ou a revogação do sistema de identificação eletrónica notificado, da autenticação ou das partes afetadas em causa.

2.   Um ano após a data de aplicação dos atos de execução a que se refere os artigos 8.o, n.o 3, e 12.o, n.o 8, a Comissão publica no Jornal Oficial da União Europeia uma lista dos sistemas de identificação eletrónica que tenham sido notificados nos termos do n.o 1 do presente artigo e as informações básicas a eles respeitantes.

3.   Se receber uma notificação após o termo do prazo referido no n.o 2, a Comissão publica no Jornal Oficial da União Europeia as alterações à lista referida no n.o 2 num prazo de dois meses a contar da data da receção da notificação.

4.   Os Estados-Membros podem solicitar à Comissão que retire da lista referida no n.o 2 os sistemas de identificação eletrónica que tenham notificado. A Comissão publica no Jornal Oficial da União Europeia as correspondentes alterações à lista no prazo de um mês após a receção do pedido do Estado-Membro.

5.   A Comissão pode, por meio de atos de execução, definir as circunstâncias, os formatos e os procedimentos para a notificação ao abrigo do n.o 1. Esses atos de execução são adotados pelo procedimento de exame a que se refere o artigo 48.o, n.o 2.

Artigo 10.o

Violação da segurança

1.   Se o sistema de identificação eletrónica notificado nos termos do artigo 9.o, n.o 1, ou a autenticação referida no artigo 7.o, alínea f), forem violados ou parcialmente comprometidos de forma que prejudique a fiabilidade da autenticação transfronteiriça do sistema, o Estado-Membro notificante suspende ou revoga sem demora a referida autenticação ou os elementos comprometidos, informando desse facto os outros Estados-Membros e a Comissão.

2.   Se a violação ou o comprometimento referidos no n.o 1 forem sanados, o Estado-Membro notificante restabelece a autenticação transfronteiriça e informa desse facto sem demora indevida os outros Estados-Membros e a Comissão.

3.   Se a violação ou o comprometimento referidos no n.o 1 não forem sanados no prazo de três meses a contar da suspensão ou revogação, o Estado-Membro notificante notifica os outros Estados-Membros e a Comissão da supressão do sistema de identificação eletrónica.

A Comissão publica no Jornal Oficial da União Europeia, sem demora indevida, as alterações correspondentes à lista a que se refere o artigo 9.o, n.o 2.

Artigo 11.o

Responsabilidade

1.   O Estado-Membro notificante responde pelos danos causados deliberadamente ou por negligência a qualquer pessoa singular ou coletiva por incumprimento das obrigações que lhe são impostas nos termos do artigo 7.o, alíneas d) e f), numa transação transfronteiriça.

2.   A parte que produz o meio de identificação eletrónica responde pelos danos causados deliberadamente ou por negligência a qualquer pessoa singular ou coletiva pelo incumprimento da obrigação que lhe é imposta nos termos do artigo 7.o, alínea e), numa transação transfronteiriça.

3.   A parte que executa o procedimento de autenticação responde pelos danos causados deliberadamente ou por negligência a qualquer pessoa singular ou coletiva por não assegurar, numa transação transfronteiriça, a correta autenticação a que se refere o artigo 7.o, alínea f).

4.   Os n.os 1, 2 e 3 aplicam-se nos termos das disposições nacionais em matéria de responsabilidade.

5.   Os n.os 1, 2 e 3 aplicam-se sem prejuízo da responsabilidade das partes nos termos do direito nacional, relativamente a uma transação em que sejam utilizados meios de identificação eletrónica abrangidos pelo sistema de identificação eletrónica notificado nos termos do artigo 9.o, n.o 1.

Artigo 13.o

Responsabilidade e ónus da prova

1.   Sem prejuízo do disposto no n.o 2, os prestadores de serviços de confiança respondem pelos danos causados deliberadamente ou por negligência a todas as pessoas singulares ou coletivas por incumprimento das obrigações previstas no presente regulamento.

O ónus da prova da intenção ou negligência de um prestador não qualificado de serviços de confiança recai sobre a pessoa singular ou coletiva que intente a ação de indemnização pelos danos referidos no n.o 1.

Presume-se a intenção ou negligência de um prestador qualificado de serviços de confiança, exceto se este provar que os danos referidos no primeiro parágrafo não foram causados por sua intenção ou negligência.

2.   Se os prestadores de serviços de confiança informarem prévia e devidamente os seus clientes sobre os limites da utilização dos serviços prestados e, se esses limites forem identificáveis por terceiros, os mesmos prestadores de serviços de confiança não respondem pelos danos decorrentes de uma utilização dos serviços que exceda os limites indicados.

3.   Os n.os 1 e 2 aplicam-se nos termos das disposições nacionais em matéria de responsabilidade.

Artigo 23.o

Marca de confiança «UE» para serviços de confiança qualificados

1.   Depois de o estatuto de qualificado referido no artigo 21.o, n.o 2, segundo parágrafo, ser publicado na lista de confiança a que se refere o artigo 22.o, n.o 1, os prestadores qualificados de serviços de confiança podem utilizar a marca de confiança «UE» para identificar, de forma simples, reconhecível e clara, os serviços de confiança qualificados que prestam.

2.   Ao utilizar a marca de confiança «UE» para os serviços de confiança qualificados referida no n.o 1, os prestadores qualificados de serviços de confiança asseguram-se da existência de uma ligação à correspondente lista de confiança no seu sítio web.

3.   Até 1 de julho de 2015, a Comissão estabelece, por meio de atos de execução, as especificações relativas à forma e, em particular, à apresentação, composição, dimensão e conceção da marca de confiança «UE» para serviços de confiança qualificados. Esses atos de execução são adotados pelo procedimento de exame a que se refere o artigo 48.o, n.o 2.

Artigo 32.o

Requisitos aplicáveis à validade das assinaturas eletrónicas qualificadas

1.   O processo de validação de uma assinatura eletrónica qualificada confirma a validade desta na condição de:

a)	No momento da assinatura, o certificado que lhe serve de suporte ser um certificado qualificado de assinatura eletrónica conforme com o disposto no anexo I;

b)	O certificado qualificado ter sido emitido por um prestador qualificado de serviços de confiança e ser válido no momento da assinatura;

c)	Os dados para a validação da assinatura corresponderem aos dados fornecidos ao utilizador;

d)	O conjunto único de dados que representam o signatário no certificado serem corretamente fornecidos ao utilizador;

e)	A utilização de um pseudónimo no momento da assinatura ser claramente indicada ao utilizador;

f)	A assinatura eletrónica ter sido criada por um dispositivo qualificado de criação de assinatura eletrónica;

g)	A integridade dos dados assinados não ter sido afetada;

h)	Os requisitos previstos no artigo 26.o se encontrarem preenchidos no momento da assinatura;

2.   O sistema utilizado para validar a assinatura eletrónica qualificada fornece ao utilizador o resultado correto do processo de validação e permite-lhe detetar eventuais problemas de segurança.

3.   A Comissão pode, por meio de atos de execução, estabelecer os números de referência das normas para a validação de assinaturas eletrónicas qualificadas. A validação de assinaturas eletrónicas qualificadas que seja conforme com as referidas normas beneficia da presunção de conformidade com os requisitos estabelecidos no n.o 1. Esses atos de execução são adotados pelo procedimento de exame a que se refere o artigo 48.o, n.o 2.