Artykuł 5

1. Dostawcy danych identyfikujących osobę wydanych jednostce portfela muszą posiadać spisane ogólnodostępne zasady dotyczące zarządzania statusem ważności, w tym, w stosownych przypadkach, warunki, na jakich takie dane identyfikujące osobę mogą zostać niezwłocznie unieważnione.

2. Wyłącznie dostawcy danych identyfikujących osobę lub elektronicznych poświadczeń atrybutów mogą unieważnić wydane przez nich dane identyfikujące osobę lub elektroniczne poświadczenia atrybutów.

3. W sytuacji, gdy dostawcy danych identyfikujących osobę unieważnią dane identyfikujące osobę, w ciągu 24 godzin i za pomocą specjalnych i bezpiecznych kanałów informują użytkowników portfela, których dotyczą te dane identyfikujące osobę, o unieważnieniu i jego przyczynach. Informacje należy przekazać w formie zwięzłej, łatwo dostępnej oraz używając jasnego i przystępnego języka.

4. W przypadku gdy dostawcy danych identyfikujących osobę unieważnią dane identyfikujące osobę wydane do jednostek portfela, muszą tego dokonać w każdym z następujących przypadków:

a) na wyraźne żądanie użytkownika portfela, którego jednostce portfela wydano dane identyfikujące osobę lub elektroniczne poświadczenie atrybutów;

b) w przypadku gdy poświadczenie jednostki portfela, do której wydano dane identyfikujące osobę, zostało unieważnione;

c) w innych sytuacjach określonych przez dostawców danych identyfikujących osobę lub elektronicznych poświadczeń atrybutów w ich zasadach, o których mowa w ust. 1.

5. Dostawcy danych identyfikujących osobę wydanych do jednostki portfela zapewniają, aby unieważnień nie można było cofnąć.

6. Unieważnione dane identyfikujące osobę pozostają dostępne tak długo, jak wymaga tego prawo Unii lub prawo krajowe.

7. W przypadku gdy dostawcy danych identyfikujących osobę unieważnią dane identyfikujące osobę wydane do jednostek portfela, udostępniają publicznie – w sposób gwarantujący ochronę prywatności – status ważności wydawanych przez siebie danych identyfikujących osobę oraz wskazują lokalizację tych informacji w danych identyfikujących osobę.

8. Dostawcy danych identyfikujących osobę umożliwiają stosowanie technik ochrony prywatności, które zapewniają brak możliwości powiązania, w przypadku gdy elektroniczne poświadczenia atrybutów nie wymagają identyfikacji użytkownika.