EUDI Wallet: a contagem decrescente para a identidade digital europeia
Final de 2026. Uma pessoa precisa de abrir uma conta bancária e a instituição pede-lhe que comprove que é maior de idade. Em vez de mostrar o seu cartão de identidade completo, com informações como a data de nascimento, a morada e uma fotografia, pega no telemóvel, abre uma aplicação e partilha apenas a informação necessária: que tem mais de 18 anos. Nada mais. A instituição verifica isso instantaneamente e o processo prossegue com total normalidade.
Essa aplicação é a Carteira de Identidade Digital Europeia, conhecida como EUDI Wallet. O Regulamento (UE) n.º 2024/1183, ou eIDAS 2, estabelece que os Estados-Membros disponibilizem pelo menos uma aos seus cidadãos antes do final do ano. Entre os 27 países, haverá diferenças tanto no âmbito de aplicação como nas funcionalidades que cada solução irá oferecer, uma realidade que convém compreender antes do prazo limite.
O primeiro elemento: a identidade do cidadão
Um dos primeiros elementos a integrar a carteira é o PID (Person Identification Data), o conjunto de dados de identidade emitido pelo Estado com o máximo nível de garantia para comprovar a identidade da pessoa no âmbito digital. A sua emissão cabe exclusivamente às administrações públicas e, no caso de Espanha, coexistirá com o DNIe ou DNI eletrónico, o certificado digital e o Cl@ve, sem os substituir.
A novidade destes sistemas reside em duas características que alteram a forma de identificação na internet. A primeira é a sua validade em toda a União Europeia: o mesmo PID poderá ser utilizado tanto para realizar um trâmite em Espanha como para abrir uma conta bancária em Portugal ou contratar um serviço na Alemanha.
A EUDI Wallet permitirá comprovar a identidade de forma segura em toda a União Europeia
A segunda tem a ver com a privacidade.
A carteira permite partilhar apenas a informação necessária para cada operação, sem revelar um documento completo. Assim, uma pessoa poderá comprovar que é maior de idade sem revelar a sua data de nascimento.
O mesmo princípio aplica-se aos restantes atributos: partilha-se apenas o dado necessário, e nada mais.
Nas empresas e nas administrações, a questão muda
Para uma empresa ou uma administração pública, a discussão não gira em torno do PID, mas sim em torno de duas questões distintas: se esta deve emitir carteiras digitais e como agir quando um cidadão apresenta a sua.
A resposta à primeira questão é clara: não. A eIDAS 2 não obriga nem as empresas nem as comunidades autónomas a fornecer estas carteiras. Essa responsabilidade recai sobre os Estados-Membros.
A segunda questão tem, sim, consequências práticas, porque no momento em que é solicitado um atributo da carteira de um utilizador, a organização torna-se parte utilizadora, e a regulamentação europeia exige que se registe, declarando quem é, que serviço presta, que informações vai solicitar e qual é a base jurídica que justifica esse pedido. Não será possível solicitar mais informações do que as autorizadas e, caso se tente ultrapassar esse limite, a própria carteira alertará o utilizador de que a organização está a exceder o âmbito permitido.
O calendário que realmente faz a diferença
As administrações públicas serão as primeiras a dar o passo. Nos casos em que já é exigida a identificação eletrónica para realizar um trâmite online, a carteira europeia deverá ser aceite a partir do final de 2026. Para os responsáveis jurídicos, de cibersegurança ou de tecnologia das câmaras municipais e das comunidades autónomas, a data-chave não é 2027, mas sim este mesmo ano.
A carteira europeia deverá ser aceite antes do final do ano
O setor privado terá mais tempo. O artigo 5.º-F, n.º 2, obriga as entidades privadas, salvo as micro e pequenas empresas, que estejam sujeitas, por lei ou por contrato, a mecanismos de autenticação reforçada em domínios como a banca, a energia, as telecomunicações ou a saúde, a aceitar a carteira.
O prazo termina a 24 de dezembro de 2027.
Mas, dispor de mais margem de manobra, não significa que se deva esperar. O setor bancário é o melhor exemplo. O AMLR, aplicável a partir de 10 de julho de 2027, já reconhece a EUDI Wallet como um método válido para os processos de diligência devida. Isto significa que, assim que a carteira estiver disponível no final de 2026, as entidades financeiras poderão utilizá-la para integrar novos clientes, embora a obrigação de a aceitar só entre em vigor um ano depois.
O que cada área da organização ganha
No entanto, reduzir tudo isto a uma obrigação regulamentar é ficar com apenas metade da história. A questão fundamental não é o que é necessário cumprir, mas sim quais as vantagens que isso gera. E a resposta varia consoante a área da organização.
A área de Negócios encontra uma oportunidade para simplificar a relação com os clientes através de processos de identificação mais rápidos. A área de Cibersegurança reforça as suas defesas contra a fraude com credenciais criptográficas muito mais robustas do que os métodos tradicionais. O departamento Jurídico ganha em termos de certeza e de regras comuns para todo o mercado europeu. E as equipas de dados obtêm um benefício tão discreto quanto valioso: verificar informações com uma menor exposição de dados pessoais, reduzindo riscos sem comprometer a confiança.
Dois ecossistemas que crescem em paralelo
Para além do PID, esta mesma tecnologia está a impulsionar dois ecossistemas que avançam em paralelo. Por um lado, o público, integrado no quadro EUDI, com credenciais como diplomas, licenças ou poderes de representação emitidos por administrações e entidades qualificadas.
As carteiras digitais impulsionam dois ecossistemas em paralelo
Por outro lado, o setor privado, onde as organizações trocam e validam credenciais sem intervenção estatal, como Ordens profissionais ou grupos empresariais.
Ambos partilham a mesma infraestrutura de confiança. Por isso, as organizações podem começar a desenvolver-se a partir dela e a explorar casos de utilização muito antes de uma norma as obrigar a fazê-lo.
O papel da Izertis
Na Izertis, há mais de cinco anos que trabalhamos na área da identidade digital descentralizada. Participamos em projetos-piloto europeus como o WE BUILD ou o DC4EU e desenvolvemos a Identfy, a nossa plataforma para o ciclo de vida completo de credenciais verificáveis e carteiras digitais, alinhada com o eIDAS 2 e com o Architecture and Reference Framework (ARF). O nosso papel é acompanhar as organizações na tomada de decisões: que capacidades faz sentido desenvolver, que credenciais devem aceitar e qual é o melhor momento para o fazer.
A carteira europeia chegará, independentemente do lugar que cada organização ocupe neste novo ecossistema. E, quando isso acontecer, a diferença já não será determinada apenas pela conformidade regulamentar. Será apreciada na capacidade de cada empresa para gerar confiança, agilizar as relações com os seus utilizadores e responder rapidamente a um ambiente cada vez mais digital.