Programa 102 · Presenta: David Sierra · Invitado: Julián Inza (director del Laboratorio de Confianza Digital del Observatorio LegalTech Garrigues–ICADE)
Recientemente tuve ocasión de hablar sobre la Cartera europea de identidad digital en el programa «Cruce de Cables» de RNE, atendiendo a las preguntas de David Sierra.
El programa trata diferentes aspectos del mundo tecnológico por lo que el tramo de la entrevista va aproximadamente desde el minuto 06:11 al 17:48.
Este es el enlace al programa: https://rneaudio.rtve.es/a/17165602
Y aquí va la transcripción de la entrevista:
David Sierra — Cada vez hacemos más cosas con el móvil: pagamos, firmamos documentos, nos identificamos… pero todavía dependemos de mil claves de distintas aplicaciones y hasta de documentos físicos. La Unión Europea quiere cambiar esto con la llamada cartera europea de identidad digital, una especie de DNI digital universal que llevaremos en el móvil y que permitirá hacer gestiones en cualquier país de la UE. Pero surgen dudas: ¿qué datos se guardan?, ¿será obligatoria?, ¿será segura?, ¿qué pasa con la privacidad? Vamos a intentar responderlas con Julián Inza. ¿Qué tal, Julián? Muy buenas.
Julián Inza — Muy buenas, ¿qué tal va todo?
D.S. — Estupendo. ¿Cómo le explicarías a alguien que no tiene ni idea qué es esto de la cartera europea de identidad digital?
J.I. — Por hacer corta una historia larga: esto empezó tras una reflexión de la Unión Europea. Las normativas anteriores, que intentaban favorecer la operativa transfronteriza en la gestión de identidad, no funcionaban bien. Se decidió cambiar el modelo, y el resultado es una propuesta de «cartera». Esa cartera nos permitirá tener datos de identidad, pero también lo que guardaríamos en la carpeta de documentos importantes de casa: las denominadas declaraciones electrónicas de atributos. Con ellas podemos reflejar documentos que normalmente van en PDF, pero que pueden significar muchas cosas: contratos, títulos académicos, contratos de trabajo… Todo esto se unifica bajo este modelo.
Y tiene una propiedad que para mí es muy importante: como iremos cediendo información con la cartera, esta llevará el registro de todo lo que cedemos. Más adelante permitirá ejercer los derechos de acceso, rectificación, cancelación y oposición; podremos retirar la autorización de usar nuestros datos que dimos en el pasado. Eso es una gran novedad, porque hasta ahora esos ejercicios del Reglamento General de Protección de Datos no se podían hacer con facilidad: había que mandar una carta, a veces una fotocopia del DNI… Ahora tendremos un instrumento que, aunque no es lo que más enfatiza la Unión Europea, para mí es muy importante.
D.S. — Para quien esté familiarizado, ¿el símil sería esa carpeta ciudadana que ya empieza a usar la gente? Y otra cosa: ¿esto será solo para particulares o también las empresas tendrán que acogerse?
J.I. — Las dos preguntas son muy oportunas. En el caso de España, uno de los elementos básicos de la arquitectura europea es el sistema de fuentes auténticas, que determina cómo se comunican esas declaraciones electrónicas de atributos. España cuenta con un trabajo previo: la carpeta ciudadana. Muchas de las informaciones ya recogidas ahí probablemente se conviertan en declaraciones electrónicas de atributos, como forma más eficiente de dar las prestaciones previstas en la arquitectura técnica, partiendo del trabajo hecho.
Y sobre si es de empresas o de particulares: tiene dos componentes. Uno de los testimonios que se guardan en la cartera son los poderes de representación; al usar la cartera podremos aportar esos poderes o declaraciones de atributos que representan el otorgamiento de una representación. Además, ahora se está cociendo un nuevo tipo de cartera, la Business Wallet o cartera de empresas. Es muy prometedora, porque permitirá que las empresas intercambien datos con la administración pública o entre ellas. Y parece que va a ser uno de los instrumentos para desplegar el llamado modelo del «Estado 28»: una infraestructura legal que permita que las empresas que operan en toda Europa no tengan que señalarse a 27 regulaciones, una por Estado, como sucede hoy, sino que puedan acogerse a una regulación común. Así será más fácil interoperar en toda Europa.
D.S. — Si lo llevamos al plano individual, ¿qué tipo de información va a almacenar? ¿Lo llevaremos todo ahí —DNI, carné de conducir, títulos, datos médicos—? ¿Quién decide qué se incluye: el usuario, la administración?
J.I. — La verdad es que no están cerrados todos los casos de uso. Algunos vienen en un apéndice del Reglamento (UE) 2024/1183 de 2024, que amplía un reglamento anterior, eIDAS, el Reglamento (UE) 910/2014. Ese sería el marco legal. Inicialmente había una serie de declaraciones electrónicas de atributos ya contempladas en ese anexo, pero se han ido publicando distintas normativas técnicas y los denominados actos de ejecución —llevamos ya treinta y tantos— que marcan la pauta que deben seguir los desarrolladores informáticos.
Al final habrá tres posibles fuentes de datos: los prestadores de servicios de declaración electrónica de atributos «sin apellidos» (no cualificados), los prestadores cualificados de declaraciones electrónicas de atributos, y los prestadores de declaraciones electrónicas de atributos de las administraciones públicas. Es decir, llevaremos documentos generados por el Estado y por todo tipo de entidades, pero siempre bajo nuestra autorización.
El modelo funciona así: las entidades que nos pueden pedir información tienen que registrarse y obtener un certificado para poder preguntar a nuestra cartera. La cartera sabrá cuándo le preguntan algo —porque nosotros estamos interactuando con la empresa con la que vamos a operar—, comprobará que esa empresa está registrada, que tiene un certificado electrónico y que lo que pregunta es algo que puede preguntar. Una vez dados esos pasos tecnológicos, al usuario se le presenta la información que se le pide y, por supuesto, tiene el derecho de decidir si la da o no. Y si en ese momento no la tiene en la cartera, puede pedirle a la cartera que se la solicite al organismo que la custodia. Por ejemplo, si necesitamos demostrar que estamos empadronados en una ciudad, la cartera puede pedir esa información al sistema de gestión del padrón; a partir de ahí, la información ya la gestiona la cartera y, si en el futuro hay que volver a aportarla, ya la tiene.
D.S. — ¿Cuánto se va a usar?
J.I. — Ese es el gran reto, porque la adopción vendrá de las ventajas que tenga para los usuarios. Hay cosas que usamos con frecuencia, como la tarjeta sanitaria, que yo creo que acabará ahí. Pero los primeros casos de uso son los de identidad. Junto a la identidad se contempla también el Mobile Driving Licence, el permiso de conducir móvil, muy semejante al carné de conducir electrónico que hoy también llevamos en el móvil. Habrá que hacer un acto voluntario de instalarla, y como habrá varias, posiblemente triunfen las que tengan mejor interfaz de usuario. En todo caso, lo que sí es cierto es que no es obligatoria para el ciudadano: cada cual opta si la quiere o no.
D.S. — ¿Cuáles son los principales riesgos o preocupaciones? Vigilancia, uso indebido de datos, que se pueda hackear, que se pueda perder la cartera…
J.I. — El desarrollo legislativo de la propia gestión de la cartera generó mucho debate antes de la publicación de eIDAS 2. La exigencia mayor es que el nivel de aseguramiento para la gestión de identidad sea el nivel «alto»: de los tres niveles —bajo, sustancial y alto—, se exigió el alto. Toda la información del funcionamiento de la cartera se ha ido publicando en unos documentos que se llaman ARF (Architecture and Reference Framework, marco de arquitectura y de referencia), y cualquiera puede comprobar si el sistema es seguro. Además, las carteras se tienen que publicar como código abierto; se puede restringir la publicación de los elementos más críticos para evitar que los atacantes tengan un acceso sencillo. A mí no me disgusta que sea una especie de lucha entre los del lado de los buenos y los del lado de los malos: cada vez que los malos detecten un problema, nos lo harán saber y los buenos reaccionaremos para taparlo.
He tenido, además, la suerte de formar parte del grupo de expertos de la Unión Europea de certificación de carteras: la disciplina técnica que permite comprobar que la seguridad de las carteras las hace válidas para su uso generalizado. Nunca se tiene la certeza al 100 % de que alguien no pueda encontrarle una vuelta a las pruebas de seguridad, pero justo a finales de marzo se publicó el documento en el que hemos estado trabajando —los borradores—. El día 30 de abril se cerró el plazo para mandar alegaciones, y ahora estamos analizando todas las respuestas para mejorar el documento que servirá de pauta a las entidades evaluadoras para comprobar si las versiones de software de las carteras que se vayan produciendo son seguras. ¿Podemos garantizar que estarán exentas de riesgos? Nunca me atrevo a garantizarlo. Pero ya salen bastante seguras, y cada vez que se detecten problemas añadiremos soluciones; creo que tendremos una robustez bastante alta.
D.S. — Ojalá sea así. El riesgo cero no existe, eso en tecnología lo repetimos desde siempre. Estaremos expectantes ante esa fecha límite de finales de 2026. Julián Inza, director del Laboratorio de Confianza Digital del Observatorio LegalTech Garrigues–ICADE, gracias por este rato en «Cruce de Cables».
J.I. — Muchas gracias a «Cruce de Cables».