Ostateczna cyfryzacja życia społecznego zbliża się do nas, a to za sprawą unijnego EUDI Wallet, siedmiomilowymi krokami, dziś zatem czas na kilka słów o tym, że chociaż korzystanie z dobrodziejstw identyfikacji będzie dla każdego z nas dobrowolne — to jednak niektóre prywatne firmy będą miały prawny obowiązek stosowania europejskiego portfela tożsamości cyfrowej w celu uwierzytelniania swych użytkowników.
Gwoli krótkiego przypomnienia: już pod koniec roku wszystkie państwa Unii Europejskiej powinny umożliwić stosowanie europejskiego portfela tożsamości cyfrowej. Zgodnie z rozporządzeniem eIDAS2 portfel ma służyć m.in. jako dokument tożsamości, narzędzie do uwierzytelniania użytkowników korzystających z usług online, jak też umożliwiać składanie kwalifikowanych podpisów elektronicznych (tych darmowych, do użytku prywatnego). Sęk jednak w tym, że prawo bez lustrzanego obowiązku może być puste, stąd też przepisy nakładają obowiązek stosowania europejskiego portfela tożsamości cyfrowej przez określone instytucje i podmioty, w tym prywatne firmy (tzw. strony ufające, czyli podmioty polegające na identyfikacji elektronicznej lub portfelu, etc.).
Po pierwsze primo wszystkie państwa UE — jeśli dopuszczają identyfikację i uwierzytelnianie osób korzystających ze świadczonych przez sektor publiczny usług online — będą miały obowiązek transgranicznej akceptacji użytkowników posługujących się każdym, w tym też „zagranicznym” EUDI Wallet.
art. 54f ust. 1 rozporządzenia 910/2014 w/s identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym
W przypadku gdy państwa członkowskie wymagają identyfikacji elektronicznej oraz uwierzytelnienia w celu dostępu do usługi online świadczonej przez podmiot sektora publicznego, akceptują również europejskie portfele tożsamości cyfrowej, które są zapewniane zgodnie z niniejszym rozporządzeniem.
Tłumacząc z prawniczego na polskie: taki nakaz zapewnia nie tylko honorowanie portfela obok istniejących rozwiązań (np. aplikacji mObywatel), ale też pozwoli na to, by Polak mógł się zalogować w publicznych serwisach czeskich, hiszpańskich, etc. — a obcokrajowcow chcących skorzystać z polskiej e-administracji przestanie straszyć odmowa dostępu po wyborze „use your National eID” jako sposobu autoryzacji.
Po drugie primo wykorzystywać portfele tożsamości cyfrowej w celu uwierzytelnienia użytkowników będą musieli dostawcy bardzo dużych platform internetowych (w rozumieniu DSA) — dobrowolnie dla tego użytkownika i z poszanowaniem zasady minimalizacji danych.
Po trzecie primo obowiązek stosowania europejskiego portfela tożsamości cyfrowej — dobrowolny dla użytkownika, obligatoryjny dla dostawcy — będzie obejmował, to już od grudnia 2027 r.1, także firmy prywatne, o ile:
- jej wielkość przekracza parametry mikro- lub małego przedsiębiorcy (status ten ustala się w identyczny sposób jak w przypadku regulacji NIS2);
- istnieje prawny wymóg stosowania przez usługodawcę silnego uwierzytelnienia użytkownika do celów identyfikacji elektronicznej — tu w pierwszym rzędzie na myśl przychodzi SCA bankowości elektronicznej;
- lub też usługodawca dobrowolnie (umownie) zobowiązał się do stosowania cyfrowych metod potwierdzania tożsamości użytkowników — na przykład od jakiegoś czasu aplikacją mObywatel lub e-dowodem można się zalogować do serwisu transakcyjnego mojePZU.
art. 5f ust. 2 rozporządzenia eIDAS2
W przypadku gdy prywatne strony ufające, które świadczą usługi – z wyjątkiem mikroprzedsiębiorstw i małych przedsiębiorstw zdefiniowanych w art. 2 załącznika do zalecenia Komisji 2003/361/WE – zobowiązane są na podstawie prawa Unii lub prawa krajowego do stosowania silnego uwierzytelnienia użytkownika do celów identyfikacji elektronicznej lub w przypadku gdy silne uwierzytelnienie użytkownika do celów identyfikacji elektronicznej wymagane jest na podstawie zobowiązania umownego, w tym w obszarach transportu, energii, bankowości, usług finansowych, zabezpieczenia społecznego, zdrowia, wody pitnej, usług pocztowych, infrastruktury cyfrowej, edukacji lub telekomunikacji, te prywatne strony ufające nie później niż 36 miesięcy od dnia wejścia w życie aktów wykonawczych […] oraz wyłącznie na dobrowolny wniosek użytkownika, również akceptują europejskie portfele tożsamości cyfrowej, które są zapewniane zgodnie z niniejszym rozporządzeniem.
Warto zwrócić uwagę, że uregulowanie wprost wymienia w kontekście akceptacji EUDI Wallet takie branże jak m.in. transport, bankowość, zdrowie, usługi infrastruktury cyfrowej i telekomunikacji, acz katalog ten jest otwarty — a sposób jego redakcji wskazuje, iż unijny prawodawca widziałby tutaj możliwie wiele przedsiębiorstw.
Gwoli przypomnienia: projektowana nowelizacja ustawy o usługach zaufania oraz identyfikacji elektronicznej wprowadzająca do polskiego prawa unijne cyfrowe mechanizmy potwierdzenia tożsamości ma wejść w życie już 24 grudnia 2026 r. (i wszystko wskazuje na to, że już wkrótce projekt powinien wpłynąć do Izby Poselskiej).
- Ta data wynika z faktu, iż w grudniu 2024 r. KE przyjęła kluczowe rozporządzenia wykonawcze dot. europejskiego portfela tożsamości cyfrowej) ↩︎