Reglamento eIDAS2 y la Cartera Europea de Identidad Digital: superada la última milla para su adopción
Noviembre 2023
El pasado 8 de noviembre la Comisión Europea anunció el acuerdo político final alcanzado por el Consejo y el Parlamento Europeo en el diálogo tripartito para la adopción del Reglamento (UE) eIDAS2[1] y la Cartera de Identidad Digital Europea (EUDIWallet). Con el acuerdo se cierra una intensa etapa de trabajo y negociaciones para definir el marco jurídico de identidad digital que regirá en Europa los próximos años, a partir de la implantación de un sistema paneuropeo de carteras de identidad digital) en formato de aplicaciones instaladas en dispositivos móviles que permitirán a los ciudadanos, residentes y empresas identificarse digitalmente, almacenar y gestionar datos de identidad y documentos oficiales en formato digital garantizando el acceso a una identificación y autenticación electrónicas seguras y fiables.
Con esta iniciativa los usuarios europeos podrán vincular a estas carteras digitales sus identidades nacionales, así como credenciales verificadas en forma de certificados/atestaciones de otros atributos personales, como son el carnet de conducir, cuentas bancarias, titulaciones, tarjetas sanitarias, etc.…, para demostrar su identidad en línea ante Administraciones Públicas y entidades privadas. A las wallets se podrán importar además certificados electrónicos emitidos por prestadores cualificados de servicios de confianza que los usuarios europeos también podrán utilizar para su identificación/autenticación y firma en contextos digitales.
¿Cuáles son los requisitos de la cartera de identidad digital europea?
Durante los trabajos en la propuesta de Reglamento y documentos técnicos asociados, han sido ampliamente debatidos los requisitos que deben cumplir las carteras de identidad digital europea. Al cierre del acuerdo han quedado definidos, entre otros, los siguientes:
- Cada Estado miembro notificará al menos una cartera de identidad digital.
- El uso de la cartera digital es voluntario para los ciudadanos y empresas. Los Estados deben mantener canales alternativos de gestión de identidad de los ciudadanos para evitar la exclusión.
- Las soluciones de carteras de identidad digital deberán ser open source. No obstante, se concede a los Estados Miembros cierto margen para no divulgar componentes específicos distintos de los instalados en los dispositivos de los usuarios (back end), siempre que exista una razón justificada.
- No se establecerá un identificador único para ciudadanos de la UE; se utilizará el identificador único nacional (Ej. el número de DNI español), no un número de identificación de la UE.
- El nivel de seguridad en la identificación es Alto (LoA high).
- La aceptación de las carteras de identidad digital europeas es obligatoria para los servicios públicos de los Estados Miembros, así como para las plataformas en línea de gran tamaño consideradas así en virtud de la Ley de Servicios Digitales[2] (entre ellas Amazon, Booking, YouTube, Facebook, LinkedIn, etc.), así como, para aquellas entidades privadas que estén legalmente obligadas a autenticar a sus clientes de manera fehaciente al momento de iniciar sesión en sus servicios en línea. Es el caso por ejemplo del sector bancario y financiero, y determinados casos de uso en los sectores de transporte, energía, seguridad social, sanidad, aguas potables, servicios postales, infraestructuras digitales, educación o telecomunicaciones.
- El usuario tendrá el control total sobre sus datos personales, quien decidirá cuándo, cómo y con quien los comparte. La billetera electrónica tendrá como funcionalidad un panel de control de todas las transacciones accesibles para su titular, que le permitirá identificarse en línea y demostrar un atributo personal específico, como la edad, sin tener que revelar su identidad completa u otros datos personales. También ofrecerá la posibilidad de denunciar presuntas violaciones de la protección de datos, y facilitará la interacción entre diferentes wallets.
- Las personas físicas podrán beneficiarse de certificados electrónicos y firmas electrónicas gratuitas, estas últimas para uso no profesional. Las empresas pueden estar sujetas a tasas por utilizar los servicios de monedero, en función de la elección de los Estados Miembros para el modelo de negocio de la Wallet digital.
- Los proveedores de servicios en línea utilizarán de manera voluntaria certificados cualificados de autenticación de sitios web para ofrecer mayor seguridad y transparencia a los usuarios en línea. Se establece para los navegadores el reconocimiento obligatorio de este tipo de certificados electrónicos.
- Para garantizar que todos los Estados miembros cumplan estos requisitos, las wallets deben estar certificadas de forma independiente con arreglo a las normas armonizadas vigentes y seguirá la Ley de Ciberseguridad de la UE. Hasta que este sistema esté en pleno funcionamiento las wallets serán certificadas a nivel nacional.
¿Cuáles son los próximos pasos?
Una vez cerrado el acuerdo político final, el próximo martes 28 de noviembre entrará en votación por el Comité de Industria, Investigación y Energía (Comité ITRE) del Parlamento Europeo y se espera que a mitad de enero de 2024 el texto sea adoptado por el Consejo Europeo. En paralelo, se realizan los trabajos técnicos finales para complementar el texto jurídico. Se espera que en marzo de 2024 se publique el texto definitivo; una vez publicado, el marco europeo de identidad digital entrará en vigor a los 20 días de su publicación en el Diario Oficial.
A partir de su publicación, los Estados Miembros de la EU disponen de 6 meses para llevar a cabo la implantación y en paralelo deben avanzar los trabajos de estandarización para completar los requisitos técnicos y organizativos que serán aplicables los servicios electrónicos de confianza cualificados.
Área de IT/Privacy de ECIJA
Telf.: + 34 91.781.61.60
[1] El borrador de Reglamento eIDAS 2 actualiza y modifica al Reglamento (UE) 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por la que se deroga la Directiva 1999/93/CE. Puede consultarse el texto final de la propuesta en el sitio web siguiente: EUR-Lex – 52021PC0281 – EN – EUR-Lex (europa.eu)
[2] Consultar detalles en el sitio web siguiente: DSA: Very Large Online Platforms and Search Engines (europa.eu)