Firmy w Polsce i całej Unii Europejskiej mogą już testować Europejski Portfel Tożsamości Cyfrowej, który pozwala na potwierdzanie tożsamości klientów lub zweryfikowanie ich danych. Będzie przydatny m.in. w handlu internetowym, ale szczególne zastosowanie może mieć w przygotowywanych obecnie mechanizmach weryfikacji wieku użytkowników internetu, co ma służyć ochronie dzieci przed szkodliwymi treściami.
Jak poinformowało Ministerstwo Cyfryzacji, Polska uruchomiła 16 września środowisko testowe (tzw. sandbox) Europejskiego Portfela Tożsamości Cyfrowej (EPTC), gdzie firmy i instytucje mogą sprawdzać integrację własnych usług. - Firmy i instytucje mogą sprawdzać integrację własnych usług z udostępnionymi komponentami, testować procesy związane z cyfrowym potwierdzaniem tożsamości oraz weryfikować rozwiązania przed ich wdrożeniem produkcyjnym. Sandbox Europejskiego Portfela Tożsamości Cyfrowej został przygotowany przez Ministerstwo Cyfryzacji i Centralny Ośrodek Informatyki - wskazał resort.
Europejski Portfel Tożsamości Cyfrowej pozwala użytkownikom przedstawić poświadczenia, czyli potwierdzić konkretne informacje o sobie, zamiast udostępniać te dokumenty. Chodzi m.in. o dane, takie jak tożsamość, wiek lub uprawnienia do kierowania pojazdami. Rozwiązanie ma być wykorzystywane w usługach publicznych i komercyjnych. MC przypomniało, że każde państwo członkowskie Unii Europejskiej tworzy własną wersję portfela cyfrowego, która musi być zgodną z europejskimi standardami, a w Polsce portfel powstaje w ramach ekosystemu mObywatela.
- Środowisko testowe jest przeznaczone dla organizacji, które w ramach swoich usług potwierdzają tożsamość klientów lub weryfikują ich dane i uprawnienia. Udział w testach ma pozwolić tym podmiotom z wyprzedzeniem przygotować swoje systemy IT i procesy biznesowe oraz zdobyć doświadczenie i ograniczyć ryzyko związane z przyszłą integracją usług – wynika z komunikatu Ministerstwa Cyfryzacji.
Czytaj też w LEX: Europejski portfel tożsamości cyfrowej >
Czytaj: Weryfikacja wieku w internecie – unijny portfel tożsamości cyfrowej albo mObywatel>>
Resort cyfryzacji ogłasza to jako wielkie wydarzenie, jednak adwokat Małgorzata Durlej-Piotrowska, prowadząca w Warszawie kancelarię zajmującą się tą problematyką zwraca uwagę, że choć uruchomienie sandboxa jest krokiem istotnym, to trzeba go osadzić w kalendarzu wynikającym z prawa unijnego. - Rozporządzenie 2024/1183 (tzw. eIDAS 2.0), nowelizujące rozporządzenie 910/2014, weszło w życie 20 maja 2024 r., a zgodnie z art. 5a ust. 1 państwa członkowskie mają obowiązek udostępnić obywatelom co najmniej jeden portfel w terminie 24 miesięcy od wejścia w życie aktów wykonawczych Komisji. Te zostały przyjęte pod koniec listopada 2024 r. (m.in. rozporządzenia wykonawcze 2024/2977, 2024/2979, 2024/2982), więc termin przypada na grudzień 2026 r. Polska zatem nie wyprzedza harmonogramu, tylko go realizuje, a sandbox jest w tym sensie spóźnionym o kilka miesięcy, choć potrzebnym, narzędziem dla przedsiębiorców - powiedziała Prawo.pl. I zwróciła uwagę, że dla wielu z nich akceptacja portfela nie będzie opcją, lecz obowiązkiem: art. 5f ust. 2 rozporządzenia nakłada go na podmioty prywatne z sektorów wymienionych w tym przepisie (m.in. bankowość, usługi finansowe, telekomunikacja, transport, edukacja, ochrona zdrowia), o ile mają one obowiązek stosować silne uwierzytelnianie użytkownika, a art. 5f ust. 3 – na bardzo duże platformy internetowe w rozumieniu art. 33 aktu o usługach cyfrowych.
Czytaj też w LEX: Aspekty ochrony dzieci przed dostępem do treści szkodliwych w Internecie na przykładzie ustaw Chin, Stanów Zjednoczonych i Australii >
Europejski Portfel Tożsamości Cyfrowej umożliwia weryfikację danych online i offline w kontaktach z urzędami oraz firmami w krajach UE, pozwala trzymać w telefonie m.in. dowód osobisty, prawo jazdy czy dowód rejestracyjny. Daje też możliwość korzystania z dyplomów, licencji zawodowych czy statusu studenta i umożliwia składanie kwalifikowanego podpisu elektronicznego o mocy prawnej w całej Unii. Mechanizm ten pozwala również potwierdzić pełnoletność bez ujawniania dokładnej daty urodzenia lub innych poufnych informacji. Ta ostatnia funkcjonalność ma obecnie szczególnie znaczenie w Polsce, ponieważ trwają prace nad przepisami, które mają zobowiązać platformy internetowe do skutecznej weryfikacji wieku użytkowników, by osoby niepełnoletnie nie miały dostępu do treści szkodliwych, jak np. pornografia.
To może być także odpowiedź na pytanie dotyczące ograniczeń wiekowych dla uczestników sieci społecznościowych – jak weryfikować wiek takiej osoby? Firmy prowadzące takie platformy mogą tworzyć własne mechanizmy w tym zakresie, oby były skuteczne. Ale mogą też skorzystać z narzędzia przygotowanego w ramach Unii Europejskiej. Polskie Ministerstwo Cyfryzacji rekomenduje Europejski Portfel Tożsamości Cyfrowej, ale dopuszcza też korzystanie z innych metod.
Czytaj też w LEX: Zjawisko sharentingu jako źródło refleksji nad zakresem władzy rodzicielskiej a koniecznością ochrony wizerunku dziecka >
- Weryfikacja wieku to jeden z kluczowych problemów dla regulacji mających chronić dzieci przed szkodliwymi treściami w internecie – powiedział Prawo.pl Mateusz Kupiec, associate w kancelarii Traple Konarski Podrecki i Wspólnicy, asystent badawczy w Instytucie Nauk Prawnych PAN. Wskazał również, że w grę może wchodzić potwierdzanie pełnoletności za pośrednictwem otwartej bankowości, weryfikacja dokumentu tożsamości ze zdjęciem, ocena wieku na podstawie cech twarzy, weryfikacja przez operatorów sieci komórkowych, wykorzystanie kart płatniczych oraz portfele tożsamości cyfrowej. Jak wyjaśnia ekspert, jednym z kluczowych zastosowań przygotowanego w UE narzędzia jest weryfikacja wieku w oparciu o poświadczenia atrybutów, w tym atrybutu pełnoletniości. Użytkownik uzyskuje od zaufanego organu publicznego poświadczenie wieku przechowywane w EUDI Wallet, a przy próbie dostępu do usługi objętej ograniczeniem wiekowym usługodawca kieruje do portfela standardowe żądanie weryfikacji. Portfel informuje użytkownika o tożsamości podmiotu weryfikującego oraz wymaganym progu wieku (np. 18+), a po świadomej zgodzie generuje kryptograficzny dowód potwierdzający spełnienie tego warunku. Usługodawca weryfikuje wynik i na tej podstawie przyznaje lub odmawia dostępu - tłumaczy Mateusz Kupiec, który uczestniczył w pracach nad rządowym projektem w tej sprawie.
Czytaj: Mateusz Kupiec: Są sposoby na weryfikację wieku użytkowników internetu
Zdaniem mec. Durlej-Piotrowskiej, co do weryfikacji wieku, portfel może być rzeczywiście przełomem. Ale z ściśle określonego powodu prawnego. Art. 5a ust. 4 lit. a rozporządzenia 910/2014 w nowym brzmieniu wymaga, aby portfel umożliwiał selektywne ujawnianie danych, a art. 5a ust. 16 – aby jego architektura nie pozwalała dostawcy portfela ani innym podmiotom na śledzenie, łączenie ani korelowanie transakcji użytkownika. W praktyce oznacza to możliwość okazania wyłącznie poświadczenia „ukończone 18 lat” bez przekazywania imienia, nazwiska czy numeru PESEL – mówi ekspertka. I podkreśla, że to jedyna dziś konstrukcja, która pozwala pogodzić obowiązki platform z art. 28 aktu o usługach cyfrowych (ochrona małoletnich) oraz art. 35 ust. 1 lit. j tego aktu (środki weryfikacji wieku po stronie bardzo dużych platform) z zasadą minimalizacji danych z art. 5 ust. 1 lit. c RODO. - Rozwiązania stosowane dotychczas – skan dowodu, weryfikacja kartą płatniczą, analiza wizerunku – w mojej ocenie tej zasady nie spełniały. Zastrzegam jednak dwie rzeczy. Po pierwsze, sam portfel nie rozstrzyga, kto i na jakiej podstawie może żądać potwierdzenia wieku; to musi wynikać z odrębnych przepisów, a art. 5b rozporządzenia wymaga, aby strona ufająca zarejestrowała się i zadeklarowała zamierzony zakres wykorzystywanych danych. Po drugie, korzystanie z portfela jest z mocy art. 5a ust. 14 dobrowolne, a osoba, która z niego nie korzysta, nie może być z tego powodu dyskryminowana w dostępie do usług. Platformy będą więc musiały utrzymać alternatywne ścieżki weryfikacji – wyjaśnia Małgorzata Durlej-Piotrowska.
Ministerstwo Cyfryzacji przypomniało przy okazji, że każde państwo członkowskie Unii Europejskiej tworzy własną wersję portfela cyfrowego, która musi być zgodną z europejskimi standardami, a w Polsce portfel powstaje w ramach ekosystemu mObywatela.
- Jesteśmy pionierami we wdrażaniu usług cyfrowych. Dzisiaj zaczynamy kolejny rozdział - otwieramy przedsiębiorcom drogę do testowania rozwiązań, które wkrótce staną się standardem cyfrowych usług w całej Unii Europejskiej. Im szybciej firmy sprawdzą je w praktyce, tym lepiej poradzą sobie na rynkach europejskich po pełnym wdrożeniu cyfrowego portfela - stwierdził wiceminister Dariusz Standerski.
Czytaj też w LEX: Atrybut w europejskim portfelu tożsamości cyfrowej jako element praktyki bankowej >
A adw. Małgorzata Durlej-Piotrowska zwraca uwagę, że nowe narzędzie będzie mogło mieć zastosowanie w wielu dziedzinach. - W handlu elektronicznym korzyści są bardziej praktyczne: pewność co do tożsamości kontrahenta przy umowach wymagających jej potwierdzenia, ograniczenie fikcyjnych kont, a także możliwość posługiwania się elektronicznymi poświadczeniami atrybutów (art. 45d i n. rozporządzenia), np. uprawnień zawodowych czy pełnomocnictw. Dla sprzedawców ważne jest to, że w spornych sytuacjach dowód uwierzytelnienia portfelem będzie miał zdecydowanie większą wagę procesową niż dotychczasowe logowanie loginem i hasłem – powiedziała Prawo.pl.
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów LEX jest zależny od posiadanych licencji.
