Utayari wa EUDI Wallet: sera na udhibiti kwa kampuni zinazodhibitiwa

Ilikaguliwa mara ya mwisho: 31 Oktoba 2026 · Si ushauri wa kisheria

Swali gumu zaidi liko kwa timu za uzingatiaji, usalama na bidhaa: ni nini lazima kiandikwe, kiwe na mmiliki na kiwe na ushahidi siku ambayo uwasilishaji wa kwanza wa pochi unafika kwenye uzalishaji.

Mwongozo huu unasoma maandishi ya msingi kama yalivyo tarehe 31 Oktoba 2026, ikiwemo sheria mbili za marekebisho za Julai 2026, na kuyageuza kuwa jedwali la udhibiti na mpango wenye tarehe kwa benki, kampuni za malipo, kampuni za bima na kampuni za mawasiliano. Kwa jukumu lenyewe, anza na Mhusika anayetegemea EUDI Wallet: usajili, vyeti na wajibu. Ili kuchagua muundo wako kwanza, soma jinsi ya kuchagua namna ya kuunganisha EUDI Wallet.

Utayari wa EUDI Wallet mwaka 2026: kilichobadilika msimu huu wa joto

Mambo matatu ya hivi karibuni ni muhimu.

• Vyeti vya usajili sasa ndiyo kanuni. Kanuni ya Utekelezaji (EU) 2025/848 hapo awali ilisema Nchi Wanachama "zinaweza kuidhinisha" mamlaka ya kutoa vyeti hivyo. Kanuni ya Utekelezaji (EU) 2026/1730 ilibadilisha hilo kuwa "zitaidhinisha", na utoaji "kwa njia ya kiotomatiki na bila kuchelewa isivyofaa baada ya usajili".^[3][4]
• Picha ya uso ina kanuni yake. Kanuni ya Utekelezaji (EU) 2026/1731 inaweka mipaka ya wakati unaoweza kuihifadhi, na pochi lazima ziwaonye watumiaji kwamba ombi hilo "linahusisha kushiriki data ya kibayometriki".^[6]
• Wasuluhishi sasa wanafuatilika. Kiambatisho I cha 2025/848 kinapata kifungu cha 16 kinachomhusisha msuluhishi na mhusika anayetegemea anayemhudumia.^[4]

1. 22 Julai 2026Marekebisho2026/1730 na 2026/1731 zimechapishwa; zinaanza kutumika 11 Agosti 2026 (imekokotolewa).
2. 24 Desemba 2026Pochi lazima ziwe tayariKanuni za usajili zinatumika.
3. 10 Julai 2027AMLR inatumikaKifungu 22 na Kifungu 77 vinazifunga taasisi zenye wajibu.
4. 24 Desemba 2027UkubaliKampuni binafsi zilizo ndani ya wigo, kwa ombi la mtumiaji.
5. 11 Agosti 2028Hatua inayofuataPicha ya uso katika seti ya lazima; pochi zinakagua vyeti vya usajili.

Tarehe za mwisho za pochi na za ukubali zimekokotolewa kutoka 24 Desemba 2024. Tarehe za kuanza kutumika za 2025/848, AMLR na kanuni za 2028 zimeandikwa katika sheria hizo.^{[1][3][6][10]} Tazama Tarehe za mwisho za EUDI Wallet kwa 2026 na 2027.

Kwanza amua kama wajibu wa ukubali unakuhusu

Sera yako inapaswa kuanza na uamuzi wa wigo wenye tarehe, uliosainiwa na idara ya sheria, kwa sababu Kifungu 5f(2), kilichoingizwa na Kanuni (EU) 2024/1183, kina masharti.^[1][2]

Hata nje ya wigo, Kifungu 5b kinamfunga mhusika yeyote anayetegemea pochi.^[1]

Mfumo wa udhibiti wa EUDI Wallet kwa muhtasari

Panga kila hitaji katika makundi matatu. Mapengo mengi yako katika kundi la tatu.

Ngazi tatu za wajibu. ARF ni mfumo, si sheria.^[1][3][12]

Maeneo 13 ya udhibiti

1. Utawala na umiliki

Teua mmiliki mmoja anayewajibika na sera iliyoandikwa inayounganisha idara za sheria, uzingatiaji, usalama, bidhaa na huduma kwa wateja. Wasajili wanaweza kukusimamisha au kukufutia usajili kwa sababu ya data isiyo sahihi, ukiukaji wa sera ya usajili, kuomba data kupita kiasi au ukiukaji mwingine wa sheria, na chombo cha usimamizi kinaweza kuomba hivyo, kwa hiyo hii pia ni hatari ya kiutendaji.^[3] Dhibiti mabadiliko ya orodha ya sifa.

2. Usajili na matumizi yaliyokusudiwa

Unajisajili katika Nchi Mwanachama ambako umeanzishwa.^[1] Orodhesha kila matumizi yaliyokusudiwa pamoja na data inayohitajika: Kiambatisho I kinaomba hilo kwa kila matumizi, katika muundo unaosomeka na mashine, pamoja na maelezo ya kila matumizi.^[3] Chini ya ARF, mhusika mmoja anayetegemea "anaweza kujisajili mara kadhaa", jambo linalofaa kampuni zenye huduma tofauti.^[12]

Mabadiliko lazima yafike kwenye rejista "bila kuchelewa kusiko na sababu", na unaposimamisha matumizi lazima uombe kufutwa kwake.^[3]

3. Mzunguko wa maisha wa cheti: funguo, uhuishaji, ubatilishaji

Huduma yako inathibitisha utambulisho wake kwa cheti cha ufikiaji, ambacho kinasaini kila ombi la uwasilishaji. Katika ARF, mamlaka ya vyeti vya ufikiaji hutoa cheti kimoja "kwa kila Kielelezo cha Mhusika Anayetegemea", na mfumo mbadala wa mwendelezo wa biashara pia ni kielelezo, kwa hiyo unahitaji cheti chake. ^[12] Vichukulie kama siri za uzalishaji: orodha, ulinzi wa vifaa, mzunguko na watunzaji walioteuliwa ni sera yako, kwa kuwa maandiko hayaweki kanuni za funguo kwa wahusika wanaotegemea.

Cheti kina jina lako, vitambulisho na maelezo ya mawasiliano, na mtoa huduma wake lazima akibatilishe pale maudhui "hayako tena sahihi na yenye kulingana" na rejista.^[3] Kwa hiyo kubadilisha chapa au anwani mpya ya huduma kwa wateja kunaweza kuvuruga uzalishaji. Unaweza pia kuomba ubatilishaji mwenyewe, na hali lazima ichapishwe ndani ya saa 24 tangu ombi.^[3]

4. Kupunguza data

Kifungu 5b(3)Kanuni (EU) Na. 910/2014

"Wahusika wanaotegemea hawatawaomba watumiaji kutoa data yoyote zaidi ya ile iliyoonyeshwa kwa mujibu wa aya ya 2, kipengele (c)."

Chanzo: EUR-Lex, eIDAS iliyounganishwa^[1]

Pitia kila sehemu ya data pamoja na afisa wako wa ulinzi wa data. Kifungu 5(1)(c) cha General Data Protection Regulation (GDPR) kinatumika sambamba na kanuni hii, kwa hiyo sifa iliyosajiliwa bado ni lazima iwe inahitajika.^[13] Kuomba zaidi ya kilichosajiliwa ni sababu ya wazi ya kusimamishwa.^[3] European Data Protection Supervisor (EDPS) anaonya kuhusu "mwelekeo wa baadhi ya wahusika wanaotegemea kuomba data kupita kiasi".^[15]

Omba sifa za aina ya age_over_18 pale ambapo ndiyo au hapana inatosha, usikatae majina bandia pale ambapo utambulisho hauhitajiki kisheria, na ongeza jaribio la kiotomatiki linalozuia toleo ikiwa ombi linazidi orodha iliyosajiliwa.^[1]

Nchi Wanachama lazima zihakikishe watoa huduma za pochi wanawajulisha watumiaji pale ombi linapozidi vyeti vya usajili.^[4] Wajibu wa pochi yenyewe wa kuthibitisha cheti chako cha usajili unatumika kuanzia 11 Agosti 2028.^[6][7] Kifungu 5b(3) kinakufunga tangu mwanzo.^[1]

5. Ukaguzi wa uaminifu

Kifungu 5b(9) kinawafanya wahusika wanaotegemea kuwa "na jukumu la kutekeleza utaratibu wa kuthibitisha na kuhakiki data ya utambulisho wa mtu na uthibitisho wa kielektroniki wa sifa zinazoombwa kutoka European Digital Identity Wallets".^[1] Kisha ARF inatenganisha kile unachothibitisha na kile unachokiamini.

Safu ya "sera inayopendekezwa" ni tafsiri yetu, si kanuni.^[12]

Pale ambapo hakuna taarifa za hali zinazoaminika, ARF inasema "mhusika anayetegemea hufanya uchambuzi wa hatari akizingatia mambo yote muhimu kwa matumizi husika, kabla ya kufanya uamuzi wa kukubali au kukataa PID au uthibitisho."^[12] Iandike mapema. Maelezo ya utekelezaji yako katika mwongozo wa mthibitishaji wa OpenID4VP; tofauti za miundo ziko katika SD-JWT VC dhidi ya mdoc. Tofauti za kitaifa zimeelezwa katika kukubali pochi 27 za kitaifa kama muunganisho mmoja.

6. Ulinganishaji wa viwango vya uhakikisho

Pochi hutolewa chini ya mpango wenye kiwango cha uhakikisho cha juu.^[1] Rekodi kile ambacho hilo linathibitisha. Kwa tafsiri yetu, linahusu usajili na jinsi njia hiyo inavyolindwa. Halithibitishi umiliki wa manufaa, hali ya vikwazo, au kwamba mtu yule yule yuko nyuma ya kila hatua inayofuata.

7. Ulaghai na uthibitishaji wa ziada

Mfano wa sera ya maamuzi. Viwango vya kuamua ni juu yako kuviweka.

ARF inaeleza kwamba mhusika anayetegemea anaweza kuamini uthibitishaji wa pochi, au kuongeza ukaguzi wake mwenyewe. Kulinganisha picha ya uso kwa selfie kunahitaji "utaratibu ulioidhinishwa wa ugunduzi wa uhai" na ugunduzi wa mashambulizi ya kuingiza, "hasa ugunduzi wa deepfake".^[12] Pochi ni ishara thabiti wakati wa kusajili mteja, si uthibitisho wa nani anatumia akaunti mwezi ujao. Mwongozo wetu kuhusu tatizo la umiliki na uunganishaji wa mmiliki unaeleza vitisho na vichocheo vya uthibitishaji wa ziada.

8. Njia mbadala pale ambapo hakuna pochi

Kifungu 5a(15)Kanuni (EU) Na. 910/2014

"Matumizi ya Pochi za Utambulisho wa Kidijitali za Ulaya yatakuwa ya hiari. Upatikanaji wa huduma za umma na binafsi, upatikanaji wa soko la ajira na uhuru wa kufanya biashara hautazuiliwa kwa njia yoyote wala kufanywa kuwa na hasara kwa watu wa asili au watu wa kisheria ambao hawatumii Pochi za Utambulisho wa Kidijitali za Ulaya. Itaendelea kuwezekana kupata huduma za umma na binafsi kwa njia nyingine zilizopo za utambuzi na uthibitishaji."

Chanzo: EUR-Lex, eIDAS iliyounganishwa^[1]

Mtumiaji wa pochi anaweza kushindwa katikati ya mchakato, au pochi inaweza kusimamishwa. Weka njia mbadala zenye bei, kasi na huduma sawa, na upime kwamba kukataa pochi hakufanyi ofa kuwa mbaya zaidi. Njia mbadala inaweza kubeba sehemu kubwa ya miamala. Kifuatiliaji chetu cha uzinduzi kwa nchi kinaonyesha pochi zipi zipo.

9. Huduma kwa wateja

Watumiaji wanaona jina lako na sifa zilizoombwa ndani ya pochi, pamoja na kumbukumbu ya miamala inayoorodhesha vitambulisho vya sifa bila thamani zake.^[12] Wanaweza kutuma maombi ya kufuta data kutoka kwenye pochi, na kukuripoti kwa mamlaka ya ulinzi wa data hata kama hakuna sifa zilizowasilishwa.^[1][12] Hakuna itifaki ya kawaida ya kufuta data: pochi inafungua fomu yako ya mtandaoni, barua pepe au simu, kwa kutumia maelezo ya mawasiliano yaliyo kwenye cheti chako cha usajili, kwa hiyo anwani mpya ya huduma kwa wateja inamaanisha kusasisha rejista na cheti.^[3][12] Njia hizo lazima zifuatiliwe na zifike kwa timu yako ya faragha.

10. Kumbukumbu na ushahidi

Kila uamuzi unapaswa kuacha ushahidi: ombi, matumizi yaliyokusudiwa, toleo la cheti, matokeo ya ukaguzi, toleo la sera, matokeo ya uamuzi. Hifadhi vitambulisho vya sifa kwenye kumbukumbu; hifadhi thamani pale tu ambapo kuna wajibu. Kwa taasisi zenye wajibu, Kifungu 77 cha Kanuni ya Kupambana na Utakatishaji Fedha (AMLR) kinashughulikia waziwazi "taarifa zilizopatikana kupitia njia za utambuzi wa kielektroniki".^[10]

• Muda: miaka 5 tangu mwisho wa uhusiano, muamala wa mara moja au kukataliwa, kisha futa, kwa kuzingatia sheria nyingine.^[10]
• Rejea badala ya nakala: inaruhusiwa ikiwa unaweza kutoa taarifa mara moja na haiwezi kubadilishwa, na taratibu zako za Kifungu 9 zinafafanua hili.^[10]
• Kumbukumbu za ulinganishaji wa utambulisho: 2025/846 inaweka miezi 6 hadi 12 kwa madhumuni ya usalama, lakini inawalenga vyombo vya sekta ya umma, na wahusika binafsi pale tu ambapo Nchi Wanachama zinaruhusu.^[8]

11. GDPR: DPIA, muda wa kuhifadhi, wachakataji

Kifungu 35 kinahitaji tathmini ya athari kwa ulinzi wa data pale ambapo uchakataji, "hasa kwa kutumia teknolojia mpya", una uwezekano wa kusababisha hatari kubwa.^[13] Fanya uchunguzi wa awali sasa na urekodi matokeo. Aya ya utangulizi 9 ya 2025/848 inaongeza kwamba wahusika wanaotegemea wanapaswa kutangaza kama wanakusudia kutegemea utambuzi wa kielektroniki ili kutimiza sharti la Kifungu 6(1) cha GDPR; rekodi hilo kwenye faili lako la usajili.^[3]

Kifungu 3a(3)Kanuni ya Utekelezaji (EU) 2024/2977, kilichoingizwa na 2026/1731

"Picha ya uso haitahifadhiwa na pande zinazotegemea pochi isipokuwa uchakataji wake ni muhimu kwa madhumuni ya utambuzi na uthibitishaji kwa kuzingatia sheria ya Muungano ya ulinzi wa data au pale ambapo hili limewekwa na sheria ya Muungano au ya kitaifa, kwa kuzingatia sheria ya Muungano ya ulinzi wa data."

Chanzo: EUR-Lex, Kanuni ya Utekelezaji (EU) 2026/1731^[6]

Weka utaratibu wa msingi wa kuthibitisha kisha kufuta picha ya uso, pamoja na ubaguzi ulioandikwa pale ambapo sheria inahitaji kuihifadhi. Toa URL ya sera ya faragha kwa kila matumizi yaliyokusudiwa, kwa kuwa Nchi Wanachama lazima zihakikishe unatoa moja.^[4] Kagua kila mchakataji chini ya Kifungu 28.^[13]

12. Ulinganishaji na Kifungu 22 cha AMLR

Kifungu 22(6)(b) kinakubali utambuzi wa kielektroniki katika kiwango cha kutosha au cha juu kama njia ya uthibitishaji.^[10] Pochi haitoi seti nzima ya data ya Kifungu 22(1), kama ramani hii inavyoonyesha. Tazama AMLR na EUDI Wallet kwa uchambuzi wa kisheria.

Sifa kutoka kwenye kiambatisho cha 2024/2977 kama kilivyobadilishwa Julai 2026, kwa watu asilia.^[5][6][10]

Rasimu ya viwango vya Anti-Money Laundering Authority (AMLA) bado si sheria. Inasema eID "inajumuisha European Digital Identity Wallets", na kwamba sifa zinazokosekana zinapatikana "kwa njia nyingine kwa mujibu wa Kifungu 22(6)".^[11] Weka tawi hilo ndani ya mtiririko. Wamiliki manufaa, madhumuni, uchunguzi wa orodha na ufuatiliaji vinabaki nje ya pochi.^[10] Mipango inayotegemea picha ya uso isubiri: picha hiyo inaingia katika seti ya lazima kuanzia 11 Agosti 2028 tu, na Nchi Wanachama zinaweza kuwaruhusu watumiaji kuikataa.^[6]

13. Matukio, majaribio, ufuatiliaji na usimamizi wa wasambazaji

Andika miongozo ya utekelezaji kwa matukio ya nje.

Ikiwa usajili wako umesimamishwa au umefutwa.^[3][12]

Majaribio na ufuatiliaji. EU inachapisha vipengele vya marejeo vya kithibitishaji vya chanzo huria kwa majaribio ya awali.^[16] Fuatilia kushindwa kwa saini na hali, kiwango cha matumizi ya njia mbadala na maombi dhidi ya rejista; ongeza majaribio hasi kwa vitambulisho vilivyobatilishwa na vilivyochezewa.

Wauzaji. Mpatanishi anachukuliwa kuwa mhusika anayetegemea na "hatahifadhi data kuhusu maudhui ya muamala".^[1] ARF, ambayo ni mwongozo, inasema mpatanishi na mhusika anayetegemea "lazima wakubaliane ni uthibitishaji gani mpatanishi atafanya", na kwamba wapatanishi wanatakiwa kufuta data mara baada ya kuiwasilisha, hivyo maombi ya kufuta data huja kwako kila wakati.^[12] Chini ya AMLR, taasisi zenye wajibu humjulisha msimamizi kabla utoaji wa kazi kwa wahusika wa nje haujaanza na "zinabaki na dhima kamili kwa hatua yoyote, iwe kitendo cha kufanya au cha kuacha, inayohusiana na kazi zilizotolewa kwa wahusika wa nje".^[10] Chini ya Digital Operational Resilience Act (DORA), taasisi za kifedha "zinabaki na wajibu kamili" kwa majukumu yao.^[14] Weka katika mkataba ukaguzi uliokubaliwa, muda wa kuhifadhi data na haki za ukaguzi wa hesabu; mwongozo wetu wa ujumuishaji unalinganisha njia hizo.

Jedwali la udhibiti: mmiliki, ushahidi, chanzo

"Mbinu bora" huonyesha udhibiti usio na kanuni nyuma yake.

Mpango wa utayari wa EUDI Wallet hadi Desemba 2027

Tarehe zilizokolezwa zinatoka kwenye maandishi ya sheria; zilizobaki ni pendekezo letu.

Cha kufanya mwezi huu: orodha ya ukaguzi wa utayari wa EUDI Wallet

• Andika memo ya wigo kwa Kifungu 5f(2).
• Mteue mmiliki anayewajibika.
• Orodhesha kila mtiririko unaoweza kukubali pochi.
• Andaa orodha ya chini kabisa ya sifa kwa kila mtiririko.
• Mtambue msajili wako na sera ya usajili ya kitaifa.
• Ainisha data ya Kifungu 22(1) ambayo njia yako ya pochi haitatoa.
• Anza uchunguzi wa awali wa DPIA.
• Weka chaguo-msingi la picha ya uso kuwa kuthibitisha kisha kufuta.
• Hakikisha kwamba njia za faragha na za usaidizi ziko tayari kwa maombi yanayohusu pochi.
• Orodhesha wachuuzi watakaoshughulikia data za pochi.

Jinsi Didit inavyosaidia katika utayari wa EUDI Wallet

Didit inakupa njia isiyotumia pochi na mtiririko wa kazi unaoizunguka. Ukubali wa EUDI Wallet unakuja hivi karibuni. Tazama ukurasa wa EUDI Wallet, unaoeleza hivi: "Unganisha leo, na uendelee nao pochi itakapowasili."^[17][23] Hatuna hadhi ya kusajiliwa wala kuidhinishwa chini ya kanuni hizi, na wajibu wa kampuni yako unabaki kwa kampuni yako.

Kwa mapitio ya mchuuzi, uhakikisho wa Didit unajumuisha SOC 2 Type 1 na Type 2, ISO/IEC 27001 na iBeta Level 1 ya ugunduzi wa mashambulizi ya uwasilishaji.^[22] Kwa wajibu wa AML tazama ukurasa wetu wa AMLR, na uthibitishaji wa eID ya kitaifa kwa njia inayofanya kazi sasa. Gharama ziko kwenye ukurasa wa bei.

Maswali yanayoulizwa mara kwa mara

Vyanzo

1. Kanuni (EU) Na. 910/2014 (eIDAS), maandishi yaliyounganishwa ya 18 Oktoba 2024, EUR-Lex.
2. Kanuni (EU) 2024/1183, EUR-Lex, Gazeti Rasmi la 30 Aprili 2024.
3. Kanuni ya Utekelezaji ya Kamisheni (EU) 2025/848, usajili wa wahusika wanaotegemea pochi, EUR-Lex.
4. Kanuni ya Utekelezaji ya Kamisheni (EU) 2026/1730, inayorekebisha 2025/848, EUR-Lex, Gazeti Rasmi la 22 Julai 2026.
5. Kanuni ya Utekelezaji ya Kamisheni (EU) 2024/2977, data za utambulisho wa mtu na uthibitisho, EUR-Lex.
6. Kanuni ya Utekelezaji ya Kamisheni (EU) 2026/1731, inayorekebisha 2024/2977, 2024/2979, 2024/2980 na 2024/2982, EUR-Lex, Gazeti Rasmi la 22 Julai 2026.
7. Kanuni ya Utekelezaji ya Kamisheni (EU) 2024/2982, itifaki na violesura, EUR-Lex.
8. Kanuni ya Utekelezaji ya Kamisheni (EU) 2025/846, ulinganishaji wa utambulisho wa kuvuka mipaka, EUR-Lex.
9. Kanuni ya Utekelezaji ya Kamisheni (EU) 2025/847, uvunjifu wa usalama wa pochi, EUR-Lex.
10. Kanuni (EU) 2024/1624 (AMLR), EUR-Lex, Gazeti Rasmi la 19 Juni 2024.
11. Ripoti ya Mwisho, rasimu ya RTS chini ya Kifungu 28(1) cha AMLR, AMLA, rasimu, si sheria.
12. EUDI Wallet Architecture and Reference Framework v3.0.0, Kamisheni ya Ulaya, 23 Julai 2026.
13. Kanuni (EU) 2016/679 (GDPR), EUR-Lex.
14. Kanuni (EU) 2022/2554 (DORA), EUR-Lex.
15. TechDispatch kuhusu pochi za utambulisho wa kidijitali, European Data Protection Supervisor, 16 Desemba 2025.
16. Hazina ya kithibitishaji cha marejeleo cha EU, eu-digital-identity-wallet kwenye GitHub.
17. Pochi za kidijitali za utambulisho, nyaraka za Didit.
18. Uhifadhi na ufutaji wa data, nyaraka za Didit.
19. Kumbukumbu za ukaguzi, nyaraka za Didit.
20. Mapitio ya macho manne (4-eyes), nyaraka za Didit.
21. Uthibitishaji wa kibayometriki, nyaraka za Didit.
22. Usalama na uzingatiaji, nyaraka za Didit.
23. Ukurasa wa suluhisho za EUDI Wallet, Didit.
24. Uzingatiaji wa AMLR, nyaraka za Didit.

Angalia jinsi njia ya hati na njia ya eID ya kitaifa zinavyoshirikiana kwenye ukurasa wa EUDI Wallet.