Até 2026, os países da UE têm de lançar carteiras digitais nacionais para a Identidade Digital Europeia. Itália, França e Finlândia avançam; qual é o ponto de situação nos restantes países?
Bruxelas quer tornar mais simples e rápidas as tarefas administrativas pessoais. Até ao final do ano, a UE vai lançar a Carteira de Identidade Digital da UE (EUDI Wallet). Trata-se de um espaço digital privado onde cidadãos, residentes e empresas podem guardar e partilhar documentos pessoais, aceder a serviços públicos e privados e assinar documentos de forma digital.
PUBLICIDADE
PUBLICIDADE
Disponível como app gratuita para dispositivos móveis, a EUDI Wallet reduz a dependência das soluções de armazenamento de grandes empresas tecnológicas, como a Apple e a Google Wallet, e dos sistemas nacionais, dando aos utilizadores mais controlo sobre os seus dados pessoais.
Não haverá uma única app de carteira digital para toda a UE. Cada Estado-membro tem de criar a sua própria aplicação. Estas apps vão partilhar os mesmos padrões técnicos, permitindo que os utilizadores acedam às suas carteiras e que os prestadores de serviços ofereçam serviços em qualquer ponto da UE, a qualquer momento.
O que é a EUDI Wallet?
A EUDI Wallet integra o regulamento eIDAS 2.0, que visa criar um mercado digital único para a identificação eletrónica. É uma app de identidade digital para cidadãos, residentes e empresas na UE, que simplifica o armazenamento de documentos, torna a identificação digital mais ágil e aumenta a segurança e fiabilidade.
Em vez de transportar cópias em papel de documentos pessoais ou usar várias apps de armazenamento, a carteira permite concentrar todos os documentos importantes num espaço digital privado. Podem incluir-se credenciais oficiais, como cartões de cidadão ou certidões de nascimento. Também é possível guardar receitas médicas, diplomas universitários, versões digitais de cartas de condução, inscrições em ginásios e cartões de embarque.
Através da carteira, os utilizadores podem partilhar documentos com autoridades públicas e privadas, online e offline, em toda a UE. Por exemplo, ao candidatar-se a um emprego na Alemanha, podem mostrar a um empregador um diploma universitário espanhol sem voltar a entregar toda a documentação em papel. Ao arrendar um apartamento em Estocolmo, podem apresentar o histórico de arrendamento de Milão diretamente a partir da carteira, sem recorrer a uma app nacional.
Os utilizadores podem aceder a serviços públicos nacionais ou transfronteiriços, como seguros de saúde ou portais de segurança social, bem como pedir um passaporte ou entregar declarações fiscais. Têm também acesso direto a serviços privados, como pedir um empréstimo bancário ou abrir uma conta bancária online.
Ao solicitar serviços, os utilizadores têm de se identificar, mas mantêm o controlo da sua identidade digital em todo o processo.
“As pessoas devem ter o direito de dizer não, de não partilhar qualquer informação ou de partilhar apenas o estritamente necessário. Por exemplo, se alguém pedir o seu cartão de estudante, pode fornecer o nome da universidade e talvez o curso, mas não o número de estudante”, afirmou Thomas Lohninger, diretor-executivo da ONG de direitos digitais epicenter.
Funcionalidades integradas, como a “divulgação seletiva” e as “provas de conhecimento zero”, permitem partilhar apenas a informação exigida, sem revelar outros dados identificativos. Isto garante que os prestadores de serviços recolhem apenas o mínimo de dados necessário para prestar um serviço. Através de um painel de privacidade, os utilizadores podem acompanhar quem tem acesso aos seus dados, enquanto os emissores de documentos digitais ficam proibidos de rastrear ou perfilar utilizadores.
Os utilizadores podem assinar documentos diretamente a partir da carteira utilizando uma assinatura eletrónica gratuita, com a mesma validade legal de uma assinatura manuscrita em todos os Estados-membros.
Segurança e privacidade
Como a carteira reúne um vasto conjunto de credenciais essenciais num único sistema digital, concentrar tanta informação sensível cria um ponto único de falha.
“Se colocar todos os ovos no mesmo cesto, espera-se que esse cesto nunca falhe”, observou Lohninger. Um ataque informático, uma falha técnica ou uma interrupção de serviço podem afetar o acesso a tudo, desde transportes públicos e serviços governamentais a contas digitais e documentos de identidade.
Se o telemóvel de um utilizador for comprometido ou roubado, o ladrão pode obter acesso imediato a toda a informação legal, médica e profissional desse cidadão.
Depois surgem os riscos técnicos. Embora o enquadramento jurídico impeça os Estados-membros de rastrear a utilização da carteira, a aplicação tem de comunicar com servidores governamentais para verificar se uma credencial é válida. Se um Estado optar por um sistema centralizado de verificação, cria-se um rasto digital. Isso pode permitir a um governo, ou a empresas privadas parceiras, cruzar carimbos de data e hora e chaves de verificação, acompanhando exatamente onde e quando um cidadão se autentica.
Cresce igualmente a preocupação com o que os defensores da privacidade chamam “excesso de identificação”. Lohninger alerta que a carteira pode tornar a identificação verificada tão simples e barata que as organizações começam a exigi-la mesmo quando antes não era necessária. “Atividades que hoje podemos fazer de forma pseudónima ou anónima podem, em breve, passar a estar cada vez mais sujeitas à obrigação de usar o nome real”, afirmou.
Os riscos variam consoante a forma como cada Estado-membro decide armazenar os dados. A opção que garante maior privacidade é uma arquitetura descentralizada, em que todas as credenciais residem exclusivamente no chip físico seguro do smartphone. Mas, se um país preferir cópias de segurança na cloud ou servidores centrais, cria um alvo apetecível para cibercriminosos e ameaças internas, enfraquecendo significativamente a segurança dos dados.
Algumas das salvaguardas de privacidade previstas para a carteira dependem também de tecnologia criptográfica ainda em desenvolvimento. Lohninger aponta as provas de conhecimento zero, que podem permitir, por exemplo, demonstrar que alguém tem mais de 18 anos sem revelar a data de nascimento.
Mas alerta que partes do enquadramento técnico necessário continuam por concluir e descreve alguma desta tecnologia de proteção de privacidade como “a fronteira da ciência criptográfica”. Na prática, explicou, os desenvolvedores estão a tentar equilibrar um triângulo difícil de privacidade, segurança e facilidade de utilização.
Quem está por detrás da EUDI?
Três intervenientes trabalham em conjunto para que o sistema funcione. Os fornecedores da carteira são empresas privadas que desenvolvem as apps, as disponibilizam para download e asseguram apoio técnico. Os emissores são organizações públicas ou privadas de confiança que emitem documentos digitais, como certificados de educação, autorizações de residência e cartas de condução. Os prestadores de serviços são entidades privadas ou públicas que utilizam a informação da carteira e solicitam autenticação do utilizador antes de prestar o seu serviço, como farmácias ou universidades.
Seis projetos-piloto de grande escala (LSPs) juntam a experiência dos setores público e privado para testar e melhorar a funcionalidade da carteira em vários cenários reais, como a compra de bilhetes e o check-in de viagens, antes da entrada em vigor. No total, 550 empresas privadas e autoridades públicas da UE, Noruega, Islândia e Ucrânia participam nos LSPs atuais e testam mais de 11 casos de utilização quotidiana.
Dois LSPs estão atualmente ativos, enquanto quatro começaram em 2023 e já concluíram os trabalhos. O projeto APTITUDE está a testar a carteira em aplicações como as Credenciais Digitais de Viagem (DTC), uma versão digital segura do passaporte para tornar os controlos de fronteira mais rápidos e simples. O consórcio WE BUILD concentra-se em tornar mais eficientes as interações de pagamento entre empresas, entre empresas e governos e entre empresas e consumidores.
Os Estados-membros vão dispor da sua própria app nacional de carteira. A Comissão criou uma caixa de ferramentas comum à escala da UE que os fornecedores da carteira têm de aplicar. Inclui especificações técnicas, como normas, protocolos e formatos acordados.
Situação nacional
Os países da UE correm contra o tempo, já que têm de disponibilizar aos cidadãos uma carteira EUDI totalmente funcional até ao final de 2026. Lohninger prevê, no entanto, uma implementação desigual. “Pouquíssimos Estados-membros vão conseguir cumprir este prazo”, disse, antecipando que alguns países lancem sistemas semelhantes à carteira, mas que não serão plenamente funcionais ou interoperáveis desde o início. Itália, França, Finlândia e Bulgária surgem na linha da frente.
A estratégia destes países passou por aproveitar serviços digitais já existentes e apps amplamente utilizadas, atualizando-os para cumprirem os requisitos da EUDI. Dispõem já de ambientes de teste abertos, onde programadores e verificadores de credenciais de terceiros podem integrar-se na futura infraestrutura da carteira.
O governo italiano integrou diretamente o quadro EUDI na sua popular app de serviços públicos, IO, através da iniciativa IT-Wallet. Os cidadãos italianos podem já carregar cartões de saúde digitais e cartas de condução num ambiente de teste em funcionamento.
Em paralelo, a França lançou o EUDIW Unfold Playground a partir do ecossistema pré-existente France Identité. Trata-se de uma sandbox especializada que permite a ferramentas tecnológicas externas emitir e verificar credenciais digitais dentro do ambiente francês.
Outro país que avança rapidamente é a Croácia, que está a reprogramar a app Certilia Wallet, já existente, para a alinhar com o rigoroso Quadro de Referência de Arquitetura da UE. Assim, consegue transformar uma app doméstica já reconhecida pelos utilizadores numa carteira europeia legalmente compatível, bem antes do prazo, poupando tempo e recursos de desenvolvimento.
Outros Estados-membros enfrentam dificuldades de execução técnica, bloqueios governamentais, questões comerciais e problemas de segurança. Muitos países não dispõem de enquadramentos locais de cibersegurança capazes de certificar apps deste nível com rapidez.
A Suécia e a Alemanha ainda não encontraram uma solução prática de implementação. A Suécia publicou um roteiro que aponta para o lançamento da EUDI Wallet apenas em 2028 ou 2029. A Alemanha permanece na fase de protótipo e ainda não avançou para um plano nacional coerente, travada por processos complexos de contratação pública e pelo debate sobre se a carteira deve ser totalmente pública ou um modelo híbrido público-privado.
Ao mesmo tempo, Grécia, Eslováquia e outros países continuam presos em fases de teste privadas. Ao contrário de Itália ou França, não dispõem de uma sandbox pública aberta nem de APIs externas para os desenvolvedores testarem. A Roménia fazia parte deste grupo até uma parceria privada com a Mastercard ter permitido acelerar um modelo híbrido.