Article considérant 2

(2) Pour toute utilisation du portefeuille qui nécessite la présentation du portrait de l’utilisateur de portefeuille, les solutions de portefeuille doivent prendre en charge la fonctionnalité de divulgation sélective et l’utilisateur doit conserver le contrôle total de la divulgation. Afin de préserver la faculté de décider de la divulgation et de protéger le portrait contre une demande de divulgation non intentionnelle ou non autorisée, la conception architecturale des portefeuilles européens d’identité numérique devrait prévoir des mécanismes d’avertissement ainsi que la journalisation de toutes les transactions relatives à l’utilisation du portrait. Pour que l’utilisateur de portefeuille soit conscient qu’il partage des données biométriques, les messages d’avertissement devraient indiquer que la demande implique le partage de données biométriques et exiger expressément que la divulgation soit confirmée par l’utilisateur. Lorsqu’une partie utilisatrice traite le portrait aux fins d’identifier une personne physique de manière unique ou de confirmer l’identité déclarée de cette personne, les articles 6 et 9 du règlement (UE) 2016/679 du Parlement européen et du Conseil s’appliquent, ainsi que toutes les autres exigences dudit règlement, notamment en ce qui concerne la limitation du traitement du portrait à ce qui est nécessaire à l’utilisation prévue. L’utilisation prévue, ainsi que la demande de divulgation, devraient être communiquées à l’utilisateur de portefeuille dans un langage clair et intelligible. Afin de tenir dûment compte de la sensibilité des données biométriques, il convient que l’utilisateur de portefeuille confirme explicitement et expressément la divulgation. Ni l’absence de réponse ni des cases cochées par défaut ne devraient avoir valeur de confirmation par l’utilisateur de portefeuille. La confirmation explicite de l’utilisateur de portefeuille devrait être une garantie technique et ne devrait pas constituer en soi un fondement juridique pour le traitement. Comme le prévoit l’article 9, paragraphe 4, du règlement (UE) 2016/679, les États membres peuvent maintenir ou instaurer des conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement de données génétiques, biométriques, ou de données concernant la santé.