A identidade digital na União Europeia evoluiu de um projeto de interoperabilidade técnica para um mandato de soberania do cidadão. Com a ratificação do Regulamento (UE) 2024/1183 (eIDAS 2), estamos entrando em uma era onde o controle sobre os dados pessoais é devolvido inteiramente ao indivíduo.
Conforme destacado por Raquel Poncela (FNMT) durante o recente evento da Veridas em Madri, “Além da Fraude: A Identidade Real como Pilar Estratégico na Era da IA”, o objetivo da Comissão Europeia é ambicioso: 80% dos cidadãos utilizando uma identidade digital até 2030. Poncela enfatizou que não se trata apenas de uma “pasta de documentos”, mas de um ecossistema que redefine a interação entre o setor privado (Banca, Seguros, Telcos) e seus clientes, eliminando a fricção no onboarding e protegendo as transações contra a personificação.
O roteiro para a adoção obrigatória
A implementação da Carteira Europeia de Identidade Digital (EUDI Wallet) não é opcional para os principais setores estratégicos. O regulamento estabelece marcos críticos que as organizações devem integrar em seus planos de transformação digital:
- Dezembro de 2026: O Marco da Administração Pública. Os Estados-Membros devem disponibilizar a carteira digital gratuita aos cidadãos. Em Espanha, a FNMT lidera o desenvolvimento desta ferramenta, que incluirá os PID (Dados de Identificação Pessoal) como núcleo da sua identidade.
- Dezembro de 2027: O Desafio do Setor Privado. Este é o ponto de viragem regulatório. Sob o Artigo 5f (5 septies) do eIDAS 2, determinados fornecedores privados — excluindo micro e pequenas empresas — serão obrigados a aceitar a EUDI Wallet. Este requisito aplica-se a setores estratégicos como banca, energia, telecomunicações, seguros, transportes, saúde e educação, sempre que exista uma obrigação legal ou contratual de Autenticação Forte do Cliente (SCA).
- Conexão com a DSA: Sob a Lei dos Serviços Digitais (DSA), as “Plataformas Online Muito Grandes” (como Google, Meta ou Amazon) também são obrigadas a aceitar esta identidade, padronizando a experiência do utilizador em escala continental.
Arquitetura técnica e governança: Da blockchain à PKI tradicional
Um dos pontos mais reveladores da apresentação da FNMT foi a evolução técnica do projeto. Durante os últimos três anos, exploraram-se consórcios baseados em EBSI (European Blockchain Services Infrastructure) para gestão descentralizada.
No entanto, após testes de prova de conceito em universidades espanholas, a Comissão Europeia e a FNMT mudaram para um modelo de PKI (Infraestrutura de Chaves Públicas) tradicional.
Nota Técnica: Esta mudança não é um retrocesso, mas um compromisso com a escalabilidade e o nível de segurança “Alto”. O modelo PKI permite uma integração mais fluida com os sistemas atuais do setor público e garante a integridade através do uso de HSMs (Módulos de Segurança de Hardware) certificados.
O ecossistema divide-se em quatro funções críticas:
- Emissores de PID: Em Espanha, a FNMT emitirá a identidade vinculada ao DNI através de onboarding digital ou presencial.
- Fontes Autênticas: Entidades públicas ou privadas (Registo Predial, Universidades, Bancos) que fornecem atributos verificáveis (titularidade de conta, graus académicos, propriedades).
- Partes Confiantes (Verificadores): Empresas que solicitam e verificam os dados.
- Modelo de Governança: Coordenado em Espanha pelo Ministério da Transformação Digital e Função Pública e pela SEDIA, garantindo a rastreabilidade e certificação de todos os intervenientes.
Guia de implementação estratégica: Do regulamento à oportunidade
Para as organizações, a adoção do eIDAS 2 não deve ser percebida como um fardo de conformidade, mas como uma alavanca para a otimização operacional. Estes são os três pilares da transição:
Fase I: Alinhamento da Infraestrutura de Segurança
As empresas devem auditar os seus sistemas criptográficos. Os atos de execução do eIDAS 2 são extremamente específicos quanto à qualidade dos HSM. As entidades que atuam como emissores de atributos qualificados devem possuir certificações de segurança de vanguarda para garantir a integridade dos selos eletrónicos.
Fase II: Gestão de “Atributos em Sentido Amplo”
O verdadeiro valor de negócio reside nos atributos. Raquel Poncela instou as organizações a “pensar com mente aberta”. Uma empresa não verificará apenas quem é o utilizador, mas o que ele tem ou o que pode fazer:
- Certificados de titularidade bancária instantâneos.
- Apólices de seguro vinculadas à identidade.
- Acreditações profissionais para contratação B2B.
Fase III: Implementação de Assinaturas Eletrónicas Qualificadas
A EUDI Wallet democratiza o uso de assinaturas eletrónicas. As empresas podem enviar contratos que os cidadãos assinam diretamente dos seus dispositivos móveis com a máxima validade legal em toda a UE, reduzindo drasticamente os tempos do ciclo de vendas.
Análise de casos de uso e mitigação de fraude
Privacidade por design: O fim da sobre-exposição de dados
A fraude de identidade prospera, em grande parte, devido à recolha excessiva de dados desnecessários. Raquel Poncela utilizou o exemplo do “segurança da discoteca” para ilustrar esta mudança de paradigma: um utilizador pode provar que é maior de idade partilhando apenas o atributo necessário, sem revelar informações sensíveis como a data exata de nascimento ou a morada residencial.
Esta abordagem de Divulgação Seletiva, prevista na arquitetura técnica da EUDI Wallet através de formatos como SD-JWT VC ou ISO mdoc, reduz drasticamente a sobre-exposição de dados. Para as empresas, isto traduz-se numa menor superfície de ataque para cibercriminosos e numa redução significativa tanto da responsabilidade como do volume de informações pessoais que devem processar e salvaguardar sob o RGPD.
Banca e Seguros: KYC transfronteiriço
Um cidadão irlandês poderá abrir uma conta bancária espanhola 100% digitalmente em segundos, partilhando o seu PID e atributos financeiros a partir da sua carteira irlandesa. A validação é automática, eliminando o erro humano e a fraude documental.
Telcos: Combatendo o SIM Swapping
Ao utilizar uma autenticação vinculada a um dispositivo seguro e a uma identidade emitida pelo Estado, processos críticos como a duplicação de cartões SIM terão uma camada de segurança biométrica e criptográfica, tornando a personificação quase impossível.
Conclusão: Da conformidade à vantagem competitiva
A implementação da EUDI Wallet transcende a logística; é uma redefinição da confiança nos canais digitais. Com um rigoroso regime de sanções europeu que inclui multas de até 5 milhões de euros ou 1% do volume de negócios global, a adaptação precoce é uma prioridade para a resiliência do negócio.
Contudo, o verdadeiro valor não reside apenas em evitar penalidades. As organizações que forem as primeiras a integrar o ecossistema de atributos alcançarão a experiência de utilizador mais fluida, segura e privada do mercado.
Na Veridas, a nossa tecnologia de verificação biométrica e documental já está a ser certificada sob a nova norma europeia ETSI TS 119 461 v2.1.1. Isto inclui a preparação para a leitura criptográfica obrigatória (NFC) e sistemas avançados de deteção de ataques de injeção (deepfakes). Estamos prontos para garantir que a transição para o Nível de Segurança “Alto” da carteira digital europeia seja um processo sem fricção e um motor de crescimento estratégico para os nossos parceiros.
