La UE quiere que todos tengan una cartera digital en 2026, pero grupos de derechos digitales alertan de que faltan garantías y el sistema facilitaría rastrear a los europeos.
De aquí a finales de 2026, todos los países de la UE deberán ofrecer por ley a sus ciudadanos una cartera europea de identidad digital. Esta aplicación para teléfonos móviles reúne en un único lugar el documento de identidad expedido por el Estado, el permiso de conducir, los títulos académicos y otros documentos verificados, y está concebida para funcionar en los 27 países de la UE.
PUBLICIDAD
PUBLICIDAD
Las organizaciones de defensa de los derechos digitales advierten de que la tecnología y las salvaguardas previstas para protegerla aún no están listas y de que la cartera podría convertirse precisamente en la herramienta de vigilancia que se pretendía evitar.
"Estamos quizá entre el 50 y el 60% de las normas técnicas necesarias para construir esta cartera", afirma Thomas Lohninger, director ejecutivo del grupo austríaco de derechos digitales epicenter.works y miembro de la junta de European Digital Rights (EDRi). "El otro 40% todavía no existe".
El problema del "honeypot"
Centralizar en un solo dispositivo la identidad de una persona, sus datos de salud, el permiso de conducir y las credenciales financieras multiplica el coste de un único fallo de seguridad. Un teléfono robado, una aplicación maliciosa o una filtración en la nube podrían exponerlo todo a la vez. A diferencia de una contraseña filtrada, una credencial comprometida lleva una firma criptográfica de autenticidad, de modo que su uso indebido resulta mucho más dañino.
"Si pones todos los huevos en la misma cesta, hay que confiar en que esa cesta no falle nunca", señala Lohninger. "Imagine que esta pequeña cartera es pirateada o deja de funcionar durante solo unas horas o una semana. La gente se quedaría fuera de sus redes sociales, no podría usar el transporte público, su permiso de conducir dejaría de estar con ellos". Califica la cartera de "infraestructura crítica" que conecta el sector público y el privado "como nunca antes en Europa" y la considera un objetivo no solo para la ciberdelincuencia, sino también para actores estatales.
La regulación establece defensas técnicas, como hardware criptográfico resistente a la manipulación para almacenar las claves, credenciales vinculadas a un dispositivo concreto para que no puedan copiarse, autenticación obligatoria para cualquier organización que solicite datos y una norma que exige avisar a los usuarios en un plazo de 24 horas cuando se revoque una credencial.
El Supervisor Europeo de Protección de Datos señala los elementos de hardware seguro como una salvaguarda clave frente al robo. Sin embargo, perder el teléfono sigue significando una carrera contrarreloj para bloquear y recuperar la cartera antes de que un delincuente la explote. Los auditores de la UE recuerdan que los procedimientos de recuperación solo se han probado parcialmente.
Seguimiento desde el diseño
La principal promesa de privacidad de la cartera es la divulgación selectiva: alguien que quiera demostrar que es mayor de 18 años debería poder compartir solo ese dato, no su nombre, dirección o número de documento. El SEPD define esto como "autorización sin identificación", una defensa frente al seguimiento y la elaboración de perfiles que una tarjeta de identidad física no puede ofrecer.
Lohninger enmarca el riesgo en términos de "sobreidentificación". Verificar la identidad en internet es hoy un proceso lento y costoso, que bancos y operadores de telefonía asumen para cumplir la normativa contra el blanqueo. La cartera podría hacer que identificar a alguien fuera muy rápido, barato y accesible, advierte. Eso crea un incentivo para eliminar el anonimato que todavía existe en las redes sociales o en los formularios de registro por correo electrónico.
También señala lo que EDRi denomina el riesgo de "panóptico". La misma cartera podría utilizarse para pagar impuestos, acceder a la sanidad, al transporte público, a la banca o para iniciar sesión en Facebook; ámbitos de la vida que hasta ahora estaban separados podrían volverse conectables a través de un único sistema. "Esas esferas de la vida podrían acabar conectadas", afirma. "Existe un gran riesgo de panóptico en el que realmente pueda verse todo de todos".
EDRi ha defendido la inclusión de un principio jurídico denominado no observabilidad, pensado para impedir que los proveedores de carteras, los gobiernos o potencialmente Google vean qué hacen los usuarios dentro del sistema. Según la organización, los borradores de las normas de aplicación debilitan precisamente esta salvaguarda y al mismo tiempo introducen controles biométricos faciales obligatorios que no estaban previstos en la ley original.
Una criptografía aún incompleta
Buena parte de la tecnología llamada a hacer que la cartera sea a la vez segura y respetuosa con la privacidad aún no existe, sostiene Lohninger. Las pruebas de conocimiento cero, técnicas criptográficas que permiten demostrar un hecho, como ser mayor de 18 años, sin revelar los datos subyacentes, están "en la frontera de la ciencia criptográfica". "Hay un triángulo entre privacidad, seguridad y facilidad de uso", explica. "Es muy difícil llevar las tres al 100%. La cartera acabará sacrificando algo en alguno de estos frentes".
Queda así abierta la incógnita de qué aspecto se sacrificará primero. Un sistema de credenciales puede ser criptográficamente seguro, con claves robustas, firmas válidas y sin un fallo evidente, y aun así filtrar información sobre el comportamiento de una persona si se reutiliza el mismo identificador o atributo en distintos servicios, lo que permite a los verificadores vincular transacciones separadas a un mismo individuo incluso sin su nombre.
El eslabón débil transfronterizo
Como la cartera se basa en el reconocimiento mutuo, un banco u oficina pública de un país deberá confiar en las comprobaciones de identidad realizadas bajo las normas de registro, certificación y seguridad de otro país. Lohninger no espera que la mayoría de los sistemas nacionales sean igual de robustos a tiempo para la fecha límite. "Ni siquiera países que invierten mucho dinero en esto, como Francia y Alemania, están listos", afirma. "No llegarán completamente a la meta".
Esta falta de homogeneidad es en sí misma un riesgo de seguridad, ya que un sistema concebido para 27 implantaciones que se reconocen mutuamente es tan fuerte como su despliegue nacional más débil, la respuesta a incidentes más lenta y el proceso de registro menos riguroso. El consejo de Lohninger es la prudencia por ahora. "Mejor esperar y no ser usuarios tempranos. Quiero una auditoría, una investigación independiente académica y de la sociedad civil sobre lo que nos ofrecen los gobiernos antes de lanzarnos a estos sistemas".
Por qué aumenta el riesgo
El debate sobre la seguridad se intensifica a medida que gobiernos de toda Europa, entre ellos los de Francia, Dinamarca, Grecia y Austria, impulsan nuevas leyes de verificación de edad para las redes sociales, con un anuncio a escala de la UE que se espera pronto por parte de la presidenta de la Comisión, Ursula von der Leyen. La cartera se presenta como la herramienta de aplicación, al combinar un sistema de identidad de alto valor con, en palabras de Lohninger, "las empresas más dudosas con las que tratamos a diario".
Para vigilar cómo se utiliza el sistema una vez que esté en marcha, epicenter.works está creando una plataforma de datos abiertos llamada "Who Identifies Me", diseñada para permitir a periodistas y organizaciones de la sociedad civil seguir qué empresas y qué agencias fronterizas solicitan los datos de las personas, una función de vigilancia que Lohninger considera esencial cuando empiecen a producirse incidentes de seguridad reales.
"La confianza del público es en realidad el recurso más escaso en todo esto", afirma. "Ya hemos visto en distintas regiones del mundo que, cuando se ponen en marcha grandes sistemas gubernamentales de identidad digital y tienen problemas, la gente se aparta".