Cartera EUDI y verificación de edad: demostrar la mayoría de edad sin exponer la identidad

En resumen: la cartera europea de identidad digital, prevista por el reglamento eIDAS 2.0 (Reglamento (UE) 2024/1183), va a armonizar el control de edad a escala de la Unión. Gracias a la divulgación selectiva, un ciudadano podrá demostrar que es mayor de edad sin revelar su fecha de nacimiento ni su identidad completa.

‍

Para las plataformas que difunden contenidos sensibles, es la promesa de conciliar cumplimiento y minimización de datos. Siempre que se anticipe el periodo híbrido, los métodos de respaldo y el riesgo de fraude, porque demostrar una edad no siempre basta para demostrar quién presenta esa edad.

‍

La verificación de edad en línea se ha convertido en un tema político, normativo y técnico. Durante mucho tiempo reducida a una simple casilla «Tengo más de 18 años» que marcar, hoy está en el centro de los debates sobre la protección de los menores. La cartera europea de identidad digital aporta una respuesta nueva: demostrar una edad sin exponer una identidad.

‍

Por qué la verificación de edad se convierte en un tema

‍

La presión normativa sobre la protección de los menores en línea no deja de crecer. Las plataformas que dan acceso a contenidos sensibles están ahora obligadas a implantar dispositivos de control de edad (el famoso age-gating) fiables, y no ya una simple declaración jurada.

‍

El problema es conocido. Los métodos históricos oponen dos lógicas difícilmente conciliables:

• La casilla que marcar es respetuosa con la vida privada, pero totalmente ineficaz: cualquier menor puede hacer clic.
• El envío de un documento de identidad o de un escaneo de una tarjeta bancaria es más fiable, pero expone datos personales sensibles, crea bases de datos de alto riesgo y desanima a los usuarios legítimos.

‍

La demanda del mercado y de los reguladores es clara: soluciones de verificación de edad a la vez fiables y respetuosas con la vida privada. Es precisamente lo que la cartera europea viene a abordar.

‍

Cómo la cartera demuestra la edad sin exponer la identidad

‍

El reglamento eIDAS 2.0 armoniza a escala de la Unión la identificación electrónica y el control de edad. Cada Estado miembro ofrecerá una cartera de identidad digital en la que el ciudadano almacenará atributos verificados (identidad, edad, títulos, permisos, etc.).

‍

El mecanismo clave se llama divulgación selectiva (selective disclosure). Permite compartir únicamente un atributo concreto, sin desvelar el resto de la información contenida en la cartera.

‍

El ejemplo «mayor / menor»

‍

Tomemos un usuario que desea acceder a un servicio reservado a personas mayores de edad. Con un documento de identidad clásico, transmite su nombre, sus apellidos, su fotografía, su número de documento y su fecha de nacimiento completa. La plataforma aprende, por tanto, todo sobre él, cuando solo necesita una única información.

‍

Con la cartera y la divulgación selectiva, el recorrido cambia radicalmente:

• El usuario recibe una solicitud: «¿Es esta persona mayor de edad?»
• Su cartera responde con un simple atributo verificado: «Sí, mayor de 18 años».
• La plataforma no aprende ni la fecha de nacimiento, ni el nombre, ni la identidad completa.

‍

El resultado: la plataforma obtiene la prueba que necesita para cumplir, sin recopilar nunca datos sensibles. A veces se habla de atributo «proof of age» o de prueba de edad con cero datos.

‍

A quién afecta

‍

La verificación de edad mediante la cartera afecta a todos los actores cuyo acceso depende de un umbral de edad legal. Los primeros afectados son:

• Las plataformas de contenidos para adultos, en primera línea de las obligaciones de control de edad.
• La venta de alcohol y de productos sujetos a restricción (tabaco, cigarrillos electrónicos) en línea.
• Los juegos de azar, apuestas deportivas y casinos en línea, ya fuertemente regulados.
• Las redes sociales y los servicios digitales sujetos a exigencias crecientes de protección de los menores.
• Más en general, todo servicio de comercio electrónico que venda productos reservados a los mayores de edad.

‍

Para estos actores, la cartera representa una oportunidad: demostrar su cumplimiento a la vez que reducen la cantidad de datos personales almacenados, y por tanto su exposición en caso de incidente de seguridad.

‍

Los límites que anticipar

‍

La cartera no lo resuelve todo, y su despliegue exige varios puntos de vigilancia.

El periodo híbrido. No todos los ciudadanos dispondrán inmediatamente de una cartera. Durante varios años, una parte del público seguirá presentándose sin cartera digital. Las plataformas deberán, por tanto, prever métodos alternativos de verificación de edad y no apoyarse exclusivamente en la cartera.

‍

El respaldo (fallback). Un recorrido robusto debe integrar soluciones de respaldo para los usuarios no equipados, garantizando al mismo tiempo el mismo nivel de fiabilidad. El reto es evitar que el respaldo se convierta en la brecha por la que se eluden los controles.

‍

El fraude. El control de edad no sustituye a la lucha antifraude. Un atributo «mayor de edad» sigue siendo un atributo: puede ser presentado por un tercero. Un menor podría, por ejemplo, utilizar la cartera de un adulto. Cuando lo que está en juego es importante (crédito, apertura de cuenta, importes elevados), sigue siendo indispensable acoplar la prueba de edad a una verificación del portador, es decir, asegurarse de que la persona que presenta el atributo es realmente aquella a quien pertenece. Ahí es donde interviene la detección de fraude y verificación de identidad.

‍

Cómo prepararse

‍

Para los actores afectados, la preparación no consiste en esperar la generalización de la cartera, sino en construir desde ahora recorridos listos para acogerla. Algunos reflejos útiles:

‍

• Cartografiar sus obligaciones: identificar con precisión los puntos de su recorrido donde se aplica un umbral de edad.
• Priorizar la minimización: pedir únicamente el atributo necesario («mayor de edad») en lugar de la identidad completa, en una lógica de privacy by design.
• Prever el modo híbrido: ofrecer la cartera cuando esté disponible, y un método alternativo fiable para los demás.
• Calibrar el nivel de control según lo que esté en juego: una simple prueba de edad puede bastar para el acceso a un contenido, pero se impone una verificación reforzada del portador en cuanto el riesgo financiero o de fraude es elevado.
• Documentar cada decisión para estar en condiciones de demostrar el cumplimiento en caso de control.

‍

En conclusión

‍

La cartera europea cambia las reglas del juego para la verificación de edad en línea. Al hacer posible la prueba «mayor de edad / más de 18 años» sin exposición de la identidad, concilia por fin dos exigencias durante mucho tiempo opuestas: el cumplimiento y la protección de la vida privada. Para las plataformas de contenidos para adultos, la venta de alcohol, los juegos de azar o las redes sociales, es una herramienta valiosa para demostrar la mayoría de edad en línea recopilando a la vez menos datos sensibles.

‍

Queda que el control de edad no es más que un ladrillo. Durante el periodo híbrido, habrá que lidiar con métodos de respaldo y, sobre todo, no olvidar nunca que demostrar una edad no es demostrar una persona. Acoplar la cartera a una detección de fraude dinámica sigue siendo la mejor forma de transformar una obligación normativa en un recorrido a la vez conforme, fluido y seguro.

‍

Fuentes: Reglamento (UE) 2024/1183 (eIDAS 2.0); Comisión Europea, marco de la European Digital Identity Wallet (EUDI Wallet) y arquitectura de referencia (ARF).

‍