El 21 de noviembre de 2024, la tercera reunión del Comité eIDAS dio lugar a la adopción de cinco actos de ejecución claves para el reglamento eIDAS2.
Estos actos establecen las especificaciones técnicas y los procedimientos para la Cartera de Identidad Digital Europea (𝗘𝘂𝗿𝗼𝗽𝗲𝗮𝗻 𝗗𝗶𝗴𝗶𝘁𝗮𝗹 𝗜𝗱𝗲𝗻𝘁𝗶𝘁𝘆 𝗪𝗮𝗹𝗹𝗲𝘁), incluidas las normas de referencia para los certificados electrónicos y las medidas de seguridad. La Comisión hizo hincapié en que estos actos son cruciales para garantizar la interoperabilidad y la seguridad entre los Estados miembros, con un plazo para que los Estados miembros proporcionen al menos un monedero de identidad digital para 2026.
Los proyectos de actos de ejecución aprobados están relacionados con los Artículos 𝟱𝗮(𝟮𝟯) (5 bis) y 𝟱𝗰(𝟲) (5 quater) del Reglamento (UE) nº 910/2014 (eIDAS), modificado por el REGLAMENTO (UE) 2024/1183 (eIDAS2) . Estos artículos se refieren al marco jurídico de la identificación electrónica y los servicios de confianza en toda la Unión Europea.
La versión aprobada fue publicada previamente por el parlamento austriaco. Está disponible una copia local de ese texto de los «Implementing Acts»:
Hay que recordar que los primeros borradores públicos se difundieron el 12 de agosto de 2024, y ya preparé un artículo sobre ello: Actos de ejecución de #EIDAS2 que incluye los textos publicados en aquella ocasión.
No he verificado aun qué diferencias hay entre los nuevos textos y los de agosto, pero más abajo hago referencia a la información publicada por Epicenter Work.
A continuación comparto el enlace a los resultados de las votaciones según los temas individuales del orden del día (ver mi post anterior con los textos de los borradores vigentes en agosto de 2024).
1. 𝗔𝗿𝘁𝗶𝗰𝗹𝗲 𝟱𝗮: 𝗜𝗻𝘁𝗲𝗴𝗿𝗶𝘁𝘆 𝗮𝗻𝗱 𝗖𝗼𝗿𝗲 𝗙𝘂𝗻𝗰𝘁𝗶𝗼𝗻𝗮𝗹𝗶𝘁𝗶𝗲𝘀
Artículo 5 bis. Carteras de identidad digital europea – Integridad y funcionalidades básicas.
2. 𝗔𝗿𝘁𝗶𝗰𝗹𝗲 𝟱𝗮: 𝗣𝗿𝗼𝘁𝗼𝗰𝗼𝗹𝘀 𝗮𝗻𝗱 𝗜𝗻𝘁𝗲𝗿𝗳𝗮𝗰𝗲𝘀
Artículo 5 bis. Carteras de identidad digital europea – Protocolos e interfaces.
Establecimiento de normas técnicas para la interoperabilidad entre los sistemas eIDAS.
3. 𝗔𝗿𝘁𝗶𝗰𝗹𝗲 𝟱𝗮: 𝗣𝗜𝗗 & 𝗘𝗔𝗔
Artículo 5 bis. Carteras de identidad digital europea – Datos de identificación de la persona y Declaraciones electrónicas de atributos.
4. 𝗔𝗿𝘁𝗶𝗰𝗹𝗲 𝟱𝗮: 𝗪𝗮𝗹𝗹𝗲𝘁 𝗘𝗰𝗼𝘀𝘆𝘀𝘁𝗲𝗺 𝗡𝗼𝘁𝗶𝗳𝗶𝗰𝗮𝘁𝗶𝗼𝗻𝘀
Artículo 5 bis. Carteras de identidad digital europea – Notificaciones a la Comisión en relación con el Ecosistema de la Cartera de identidad digital europea.
5. 𝗔𝗿𝘁𝗶𝗰𝗹𝗲 𝟱𝗰: 𝗖𝗲𝗿𝘁𝗶𝗳𝗶𝗰𝗮𝘁𝗶𝗼𝗻
Artículo 5 quater. Certificación de las carteras europeas de identidad digital.
Definición del proceso de certificación de Carteras.
Aspectos controvertidos
1. 𝗢𝗽𝗲𝗻 𝗦𝗼𝘂𝗿𝗰𝗲 𝗥𝗲𝗾𝘂𝗶𝗿𝗲𝗺𝗲𝗻𝘁: La obligación de que el código fuente de la Cartera Europea de Identidad Digital se publique bajo una licencia de código abierto suscitó preocupaciones sobre la seguridad y la propiedad intelectual.
2. 𝗠𝗮𝗻𝗱𝗮𝘁𝗼𝗿𝘆 𝗗𝗮𝘁𝗮 𝗗𝗶𝘀𝗰𝗹𝗼𝘀𝘂𝗿𝗲: las propuestas que exigen la divulgación de un conjunto mínimo de datos para la identificación podría entrar en conflicto con la protección de la privacidad y obstaculizar las alternativa de empleo de métodos de divulgación selectiva.
3. 𝗨𝗻𝗶𝗾𝘂𝗲 𝗜𝗱𝗲𝗻𝘁𝗶𝗳𝗶𝗲𝗿𝘀: la introducción de identificadores únicos para los usuarios encontró oposición debido a posibles violaciones de la privacidad y conflictos con las leyes nacionales vigentes en algunos Estados miembros.
Cambios en los borradores sometidos a votación, respecto a las versiones de agosto
A continuación se detallan los cambios relevantes en el último borrador de los actos de ejecución del artículo 5 bis del eIDAS (con los cambios de EIDAS2). El análisis procede de Epicenter Works que había identificado aspectos controvertidos. La base de este análisis es el texto que fue enviado por la Comisión Europea el pasado 15. noviembre de 2024 y se votó el 21de Noviembre. Desde entonces, el texto ha sido publicado por el parlamento austriaco. Para facilitar la comprensión, este documento puede leerse conjuntamente con las presentaciones anteriores de esta entidad (Epicenter Works).
1. Inobservabilidad
Al retirar una adición en la definición de «instancia de cartera», ahora se garantiza una vez más que los registros de transacciones solo permanezcan en el dispositivo del usuario final. Anteriormente, la información sobre el comportamiento de uso concreto de todos los usuarios de la cartera habría sido visible para el operador de la cartera a través del almacenamiento de todos los registros de transacciones en el servidor. Esto contradice el principio de inobservabilidad establecido en el artículo 5 bis, apartado 14, y en el considerando 32 del Reglamento. Esta enmienda refleja la recomendación de Epicenter Works.
2. Regulación de casos de uso
El registro de los usuarios de confianza que incluye los atributos que pretenden solicitar ahora se refleja en la introducción de los «certificados de registro de usuarios de confianza de cartera». Gracias a las modificaciones introducidas en los artículos 2 y 3 del acto de ejecución sobre protocolos e interfaces, ahora se advierte al usuario al menos si la parte usuaria va más allá de su registro. De conformidad con el artículo 5b, apartado 3, del eIDAS, estas solicitudes de información que vayan más allá del registro serían ilegales. Los Estados miembros individuales ahora pueden ir más allá y evitar por completo que tales consultas ilegales se presenten al usuario. Esta no es la solución óptima, pero al menos una arquitectura que permita proteger a los usuarios y que pueda evitar que se repita un desastre de banner de cookies.
3. Divulgación selectiva
Si los consumidores se enfrentan a solicitudes de información, tienen derecho, en virtud del Reglamento eIDAS, a responderlas en su totalidad, no responderlas en absoluto o responderlas de forma parcial o selectiva. Este principio de divulgación selectiva no se incluyó anteriormente en los actos de ejecución y ahora se ha adoptado con la redacción de las enmiendas propuestas por el Tribunal en el artículo 3 del acto de ejecución sobre protocolos e interfaces.
Una desacierto sería que en el artículo 14 del acto de ejecución sobre integridad y funcionalidades básicas, el uso de un seudónimo sigue yendo de la mano con la transferencia de datos personales solicitada sin necesidad de un consentimiento por separado.
4 Derecho al seudónimo
Epicenter Works Lamenta que el artículo 14 del acto de ejecución sobre integridad y funcionalidades básicas no ha adoptado sus recomendaciones. Y, el considerando 14 se limita a reiterar el tenor literal del Reglamento. La norma técnica del Anexo V también ha cambiado aquí de «WebAuthn» a «Credenciales Verificables». Incluso después de consultar con varios negociadores, existe confusión en cuanto a cómo exactamente se supone que esto funciona para la autenticación y la declaración de atributos.
Parece preocupante que todavía no hay una forma técnica de que la cartera pueda averiguar si un caso de uso específico está sujeto a una obligación legal de identificar al usuario (KYC: Know Your Customer). Sin embargo, esta distinción es necesaria para garantizar el derecho al seudónimo en los casos que no se exija el cumplimiento de la normativa KYC.
5. Ampliación de las bases de datos
El anexo del PID contiene dos nuevos campos de datos opcionales: correo electrónico y número de teléfono. Estos dos identificadores únicos causan preocupación a Epicenter Works y se agregaron en la última versión del texto.
Este artículo está basado en la publicación en LinkedIn de Roberto Garavaglia y la citada de Epicenter Works
Todo es electrónico 