1. Les États membres désignent un ou plusieurs organes de contrôle établis sur leur territoire.
Les organes de contrôle désignés en vertu du premier alinéa sont investis des pouvoirs nécessaires et dotés des ressources adéquates pour leur permettre d’accomplir leurs tâches de manière effective, efficace et indépendante.
2. Les États membres notifient à la Commission les noms et adresses des organes de contrôle désignés en vertu du paragraphe 1 ainsi que toute modification ultérieure de ces informations. La Commission publie une liste des organes de contrôle notifiés.
3. Le rôle des organes de contrôle désignés en vertu du paragraphe 1 consiste:
a) à contrôler les fournisseurs de portefeuilles européens d’identité numérique établis sur le territoire de l’État membre qui a procédé à la désignation et à s’assurer, au moyen d’activités de contrôle a priori et a posteriori, que ces fournisseurs et les portefeuilles européens d’identité numérique qu’ils fournissent satisfont aux exigences fixées dans le présent règlement;
b) à prendre des mesures, si nécessaire, en ce qui concerne les fournisseurs de portefeuilles européens d’identité numérique établis sur le territoire de l’État membre qui a procédé à la désignation, au moyen d’activités de contrôle a posteriori, lorsqu’ils sont informés que les fournisseurs ou les portefeuilles européens d’identité numérique qu’ils fournissent enfreignent le présent règlement.
4. Les tâches des organes de contrôle désignés en vertu du paragraphe 1 consistent notamment:
a) à coopérer avec d’autres organes de contrôle et à leur apporter assistance conformément aux articles 46 quater et 46 sexies;
b) à demander les informations nécessaires pour contrôler le respect du présent règlement;
c) à informer les autorités compétentes concernées, désignées ou établies en vertu de l’article 8, paragraphe 1, de la directive (UE) 2022/2555, des États membres concernés de toute atteinte à la sécurité importante ou perte d’intégrité dont ils prennent connaissance dans l’exécution de leurs tâches et, en cas d’atteinte à la sécurité importante ou de perte d’intégrité qui concerne d’autres États membres, à informer le point de contact unique, désigné ou établi en vertu de l’article 8, paragraphe 3, de la directive (UE) 2022/2555, de l’État membre concerné et les points de contact uniques, désignés en vertu de l’article 46 quater, paragraphe 1, du présent règlement, dans les autres États membres concernés, et à informer le public ou à exiger des fournisseurs de portefeuilles européens d’identité numérique qu’ils procèdent à cette information, lorsque l’organe de contrôle constate qu’il serait dans l’intérêt public de divulguer l’atteinte à la sécurité ou la perte d’intégrité;
d) à effectuer des inspections sur place et des contrôles hors site;
e) à exiger que les fournisseurs de portefeuilles européens d’identité numérique remédient à tout manquement aux exigences fixées dans le présent règlement;
f) à suspendre ou à annuler l’enregistrement et l’inclusion des parties utilisatrices dans le mécanisme visé à l’article 5 ter, paragraphe 7, en cas d’utilisation illégale ou frauduleuse du portefeuille européen d’identité numérique;
g) à coopérer avec les autorités de contrôle compétentes instituées en vertu de l’article 51 du règlement (UE) 2016/679, en particulier en les informant dans les meilleurs délais lorsqu’il apparaît que les règles en matière de protection des données à caractère personnel ont été enfreintes, et en cas d’atteintes à la sécurité dont il apparaît qu’elles constituent des violations de données à caractère personnel.
5. Lorsque l’organe de contrôle désigné en vertu du paragraphe 1 exige du fournisseur d’un portefeuille européen d’identité numérique qu’il remédie à un manquement aux exigences fixées par le présent règlement en vertu du paragraphe 4, point e), et que le fournisseur n’agit pas en conséquence et, le cas échéant, dans un délai fixé par cet organe de contrôle, l’organe de contrôle désigné en vertu du paragraphe 1 peut, en tenant compte, en particulier, de l’ampleur, de la durée et des conséquences de ce manquement, enjoindre au fournisseur de suspendre ou de cesser la fourniture du portefeuille européen d’identité numérique. L’organe de contrôle informe, dans les meilleurs délais, les organes de contrôle des autres États membres, la Commission, les parties utilisatrices et les utilisateurs du portefeuille européen d’identité numérique de la décision d’exiger la suspension ou la cessation de la fourniture du portefeuille européen d’identité numérique.
6. Au plus tard le 31 mars de chaque année, chaque organe de contrôle désigné en vertu du paragraphe 1 soumet à la Commission un rapport sur ses principales activités de l’année civile précédente. La Commission met ces rapports annuels à la disposition du Parlement européen et du Conseil.
7. Au plus tard le 21 mai 2025, la Commission établit, au moyen d’actes d’exécution, les formats et les procédures applicables au rapport visé au paragraphe 6 du présent article. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 48, paragraphe 2.