EUDI Wallet: el vocabulario explicado de forma sencilla (PID, QEAA, divulgación selectiva)

En resumen: la cartera europea de identidad digital (EUDI Wallet) llega con su propio vocabulario, a menudo en inglés y lleno de siglas. PID, EAA, QEAA, emisor, parte usuaria, divulgación selectiva: detrás de estos términos se esconden ideas sencillas. Este glosario le ofrece, término por término, la definición clara de cada componente de la cartera, para entender de qué se habla antes de preparar sus recorridos.

‍

El reglamento eIDAS 2.0, oficialmente el Reglamento (UE) 2024/1183, establece una cartera europea de identidad digital, o EUDI Wallet (European Digital Identity Wallet). Cada ciudadano europeo podrá almacenar y presentar en ella sus datos de identidad y diversos justificantes, desde su smartphone, en toda la Unión.

‍

El problema, cuando uno se adentra en el tema, es la jerga. Los documentos oficiales y los artículos técnicos encadenan siglas sin explicarlas siempre. Y comprender este vocabulario es el requisito previo para saber qué cambiará la cartera, en concreto, en sus recorridos de entrada en relación. Estos son los términos clave, definidos de forma sencilla.

‍

Los componentes de la cartera

La Wallet (cartera)

‍

La Wallet, o cartera europea de identidad digital, es una aplicación en el smartphone del ciudadano. Funciona como una verdadera cartera física: en lugar de guardar en ella un documento de identidad, un permiso de circulación o un carné de estudiante de plástico, el usuario guarda sus equivalentes digitales, verificables y firmados.

‍

La idea central es el control por parte del usuario: es él quien decide qué compartir, con quién y cuándo. Nada sale de la cartera sin su consentimiento. La cartera la proporciona gratuitamente cada Estado miembro (o una entidad que este designe) y debe alcanzar un nivel de garantía alto (véase más abajo).

‍

El PID (Person Identification Data)

‍

El PID, por Person Identification Data, designa los datos de identidad básicos de la persona: nombre, apellidos, fecha de nacimiento y, según los casos, lugar de nacimiento, nacionalidad o identificador nacional.

Lo que da valor al PID es su origen: lo emite el Estado (o una autoridad que este designe), a partir de los registros oficiales. Es el equivalente digital, dentro de la cartera, de lo que hoy prueba un documento nacional de identidad. El PID es el primer componente que se coloca en la cartera, el que responde a la pregunta «¿quién es usted?».

‍

La EAA y la QEAA (atestaciones de atributos)

‍

Una vez establecida la identidad básica, la cartera puede acoger otros justificantes. Se les llama atestaciones electrónicas de atributos, o EAA (Electronic Attestation of Attributes).

Un atributo es una característica precisa de la persona: una dirección, un título, un permiso de conducir, una cualidad profesional, un derecho a una tarifa reducida. Una EAA es, por tanto, una prueba digital y verificable de un atributo, guardada en la cartera junto al PID.

‍

La QEAA (Qualified Electronic Attestation of Attributes) es su versión reforzada: es una atestación cualificada, emitida por un prestador de servicios de confianza cualificado, sometido a requisitos estrictos y supervisado. En concreto, una QEAA ofrece un valor jurídico y un nivel de confianza reforzados frente a una EAA clásica. La distinción es importante: según el uso, una empresa podrá exigir una atestación cualificada en lugar de una simple atestación.

‍

El emisor (issuer)

‍

El emisor, o issuer, es la entidad de confianza que expide el PID o las atestaciones en la cartera. Para el PID, es el Estado o la autoridad que este designe. Para una atestación de título, será por ejemplo el centro o el ministerio correspondiente; para un justificante de domicilio, el organismo habilitado.

‍

El emisor asume su responsabilidad sobre la exactitud de lo que expide. Es él quien coloca la firma criptográfica en la atestación, lo que la hace verificable posteriormente.

‍

La parte usuaria (relying party)

‍

La parte usuaria, o relying party, es la empresa o el servicio que recibe y verifica los atributos presentados por la cartera. Es el papel que desempeñará su organización cuando un cliente se presente con su cartera europea.

‍

Un banco que verifica la identidad de un nuevo cliente, un operador de telecomunicaciones que comprueba la edad y la dirección, una empresa de alquiler que verifica un permiso de conducir: todos son partes usuarias. Su labor ya no consiste en recopilar y examinar un documento, sino en solicitar con precisión los atributos que necesitan y, después, verificar que la prueba recibida es auténtica.

‍

La divulgación selectiva (selective disclosure)

‍

Es una de las aportaciones más concretas de la cartera. La divulgación selectiva (selective disclosure) consiste en compartir únicamente el atributo estrictamente necesario, sin revelar el resto.

‍

El ejemplo clásico: probar que se es mayor de edad sin revelar la fecha de nacimiento exacta. La cartera responde «sí, esta persona tiene más de 18 años» sin transmitir el día, el mes y el año de nacimiento. Del mismo modo, se puede probar que se reside en un país determinado sin comunicar la dirección completa.

‍

Esta lógica sirve directamente a la minimización de datos: la empresa solo recibe lo que le resulta útil y el ciudadano limita su exposición. La prueba sigue estando verificada criptográficamente: aunque se reduzca a un solo atributo, sigue siendo fiable, porque la firma del emisor prueba la autenticidad y la integridad del dato compartido.

‍

El nivel de garantía alto (Level of Assurance high)

‍

eIDAS define niveles de garantía para los medios de identificación electrónica, que miden el grado de confianza en que una persona es realmente quien dice ser. La cartera europea debe alcanzar el nivel más exigente: el nivel de garantía «alto» (Level of Assurance high).

‍

Este nivel supone procesos estrictos de verificación de identidad al crear la cartera y requisitos de seguridad exigentes. En la práctica, una prueba de identidad procedente de la cartera llega con un nivel de fiabilidad muy superior al de una foto de documento enviada por un cliente.

‍

A ello se suma la interoperabilidad transfronteriza: una cartera emitida en un Estado miembro debe ser reconocida y verificable en todos los demás. Un ciudadano de un país de la Unión podrá identificarse ante un servicio situado en otro país, sin trámites adicionales.

‍

Por qué este vocabulario le importa

‍

Estos términos no son meras curiosidades normativas: perfilan la forma en que evolucionarán sus recorridos de entrada en relación.

‍

Del lado de la empresa, usted será la mayoría de las veces una parte usuaria. Su papel consistirá en solicitar los atributos adecuados (PID, EAA o QEAA según el nivel de prueba requerido), verificar su firma y tratar la respuesta. La divulgación selectiva le obliga a replantear sus formularios: en lugar de recopilar el máximo de información «por si acaso», solicita con precisión lo que necesita, ni más ni menos. Es un cambio de mentalidad tanto como técnico.

‍

Dominar bien este vocabulario también permite dialogar con los interlocutores adecuados y encuadrar sus proyectos: saber distinguir una EAA de una QEAA, o entender qué implica el nivel de garantía alto, evita malentendidos a la hora de definir sus requisitos. Para profundizar en los pasos concretos, consulte nuestra guía eIDAS 2.0: cómo prepararse.

‍

Por último, conviene tener presente una cosa: la cartera aporta una prueba de identidad fiable, pero no responde por sí sola a todas las cuestiones de riesgo. Saber que una identidad es auténtica no dice si el comportamiento es sospechoso, si el dispositivo es dudoso, si la empresa que se tiene enfrente es realmente solvente, o quiénes son sus beneficiarios efectivos. El vocabulario de la cartera describe un componente de confianza, que hay que integrar en una cadena de control más amplia.

‍

En conclusión

‍

Detrás de las siglas del EUDI Wallet se esconden nociones accesibles: el PID para la identidad básica emitida por el Estado, las EAA y QEAA para las atestaciones de atributos, el emisor que expide y firma, la parte usuaria que recibe y verifica, la divulgación selectiva para compartir solo lo necesario, y el nivel de garantía alto que garantiza la fiabilidad del conjunto.

Comprender este vocabulario es ya empezar a preparar los recorridos. La cartera europea no sustituye a una estrategia global de gestión del riesgo: se convierte en un componente de confianza dentro de ella, que se combina con la detección de fraude, el control de las empresas y el análisis de solvencia.

‍

Fuentes: Reglamento (UE) 2024/1183 de 11 de abril de 2024 (eIDAS 2.0), cartera europea de identidad digital; Comisión Europea, European Digital Identity Wallet, Architecture and Reference Framework (ARF).

‍