Como ya hemos comentado en el blog en otras ocasiones, en la Unión Europea se trabaja desde 2024 en el eIDAS2, el reglamento que entró en vigor el 20 de mayo de ese año y que traerá consigo la cartera digital europea de identidad (en 2026), con el objetivo de mejorar la usabilidad, la seguridad y la interoperabilidad del servicio de identificación electrónica en todo el territorio.
Sin embargo, este avance también plantea importantes desafíos desde la perspectiva de la protección de datos y el RGPD. Por eso, en este nuevo artículo, desde APDTIC, vamos a analizar cuáles son esos retos y cómo se les puede dar respuesta.
¿Qué es la cartera digital europea bajo eIDAS2?
La cartera digital europea (“European Digital Identity Wallet”) es una herramienta que permitirá a los ciudadanos de la UE almacenar y presentar credenciales digitales de forma segura y electrónica. Así, se podrá acreditar la edad, un título universitario o un permiso de conducir, por ejemplo.
El objetivo es que podamos usar nuestra identidad digital en servicios públicos y privados de manera confiable, con un control total sobre qué información revelamos y cuándo lo hacemos.
El principio de no vinculación (“unlinkability”), el gran desafío
Uno de los principios clave de eIDAS2 implica que las distintas acciones que realicemos con nuestra cartera no puedan vincularse entre sí ni relacionarse con nuestra identidad real.
Pero ¿por qué esto es tan importante? Porque sirve para:
- Evitar que se rastree a qué servicios accedemos o qué compras hacemos.
- Prevenir la creación de perfiles que vulneren nuestra privacidad.
- Impedir que quienes emiten las credenciales sepan exactamente qué haces o cuándo lo haces.
¿Y cómo lograr esto técnicamente hablando? Ahí está el quid de la cuestión.
Amenazas de vinculación: algunos ejemplos que preocupan
Estas son algunas situaciones que muestran bien el riesgo del que estamos hablando:
- Identificadores únicos persistentes: algunas técnicas criptográficas usan firmas o identificadores asociables a un usuario. Si estos permanecen iguales en distintas transacciones, podrían permitir relacionar a un usuario con las mismas acciones.
- Cooperación entre emisores y servicios (RPs): si quien emite una credencial y el servicio donde la usamos comparten datos (o alguien logra comprometer ambos lados) podrían cruzar información para reconstruir nuestra identidad digital.
- Mecanismos de revocación: si para verificar que una credencial sigue siendo válida el servicio debe consultar al emisor, esa consulta puede dejar rastro. Es decir, se podría inferir que varias transacciones provienen del mismo usuario si comparten ese rastro.
En definitiva, aunque no revelemos datos sensibles de forma explícita en cada operación, la forma en que están construidos los sistemas podría permitir esas vinculaciones ocultas.
Posibles soluciones propuestas
Para mitigar esos riesgos, se están explorando técnicas criptográficas avanzadas y diseños especiales como los siguientes:
- Firmas ciegas o aleatorias: para evitar que la firma sea reconocible entre usos distintos.
- Pruebas de conocimiento cero (ZKP): permiten demostrar que algo es cierto (por ejemplo, la mayoría de edad) sin revelar detalles adicionales ni dejar rastros identificables.
- Revocación basada en acumuladores o mecanismos no vinculantes: con ellos se puede verificar la validez de una credencial sin revelar qué usuario la usó ni cuándo.
- Credenciales de uso limitado o corta duración: impiden que los mismos identificadores se reutilicen demasiadas veces.
Aunque estas soluciones existen en teoría, implementarlas de forma segura, eficiente y escalable (y que todos los países de la UE estén de acuerdo) es el gran reto técnico y normativo.
RGPD + eIDAS2: una alineación sin conflictos
Ya sabemos que el RGPD exige principios como la minimización de datos, la limitación de finalidad o la privacidad por diseño. Por su parte, eIDAS2 pone sobre la mesa nuevas exigencias técnicas (como la no vinculación) que deben convivir con esos principios.
Para que no haya conflictos, será clave:
- Especificar claramente desde el reglamento y las normas técnicas cómo se debe lograr el no vínculo.
- Habilitar certificaciones y estándares comunes que aseguren que las implementaciones cumplen los requisitos de privacidad.
- Garantizar una supervisión y auditoría independientes que revisen que los sistemas no están diseñados para rastrear a los usuarios.
En este sentido, tenemos que hablar del ARF (Architecture and Reference Framework), el conjunto de normas técnicas, especificaciones y mejores prácticas que los estados miembros van a tener que seguir para implementar la cartera digital europea, pero que aún no está aprobado. Todavía se están debatiendo numerosos puntos de su redacción, aunque las discrepancias tendrán que resolverse antes de que finalice el año.
En conclusión, nos espera una etapa de consenso técnico, debate normativo y diseño cuidadoso. Hasta que el ARF no se concrete, habrá incertidumbre sobre si las soluciones finalmente adoptadas serán suficientemente respetuosas con la privacidad y la protección de datos personales.
