European Digital Identity Wallet (EUDI Wallet), un buletin digital pe telefon pentru toți cetățenii UE, care promite să simplifice radical felul în care ne identificăm online și offline, este una dintre cele mai ambițioase infrastructuri digitale construite vreodată în Europa. În același timp deschide și o dezbatere serioasă despre cât control avem cu adevărat asupra datelor noastre și cât de departe poate merge digitalizarea identității.
În viitorul apropiat, fiecare cetățean al Uniunii Europene ar putea avea în telefon un fel de portofel digital oficial, emis de stat și recunoscut în toate țările UE. Folosirea acestui portofel digital nu va fi obligatorie, fiecare decide pentru el dacă vrea să-l utilizeze sau nu, însă fiecare stat membru UE este obligat să ofere o variantă de portofel cetățenilor săi până la finalul acestui an.
„Cel mai important e să nu se grăbească procesul pentru că dacă vor exista probleme, asta va scădea rata de adopție, va scădea încrederea într-un astfel de sistem și asta e cu atât mai complicat în România unde încrederea în stat oricum e foarte mică. E nevoie de o abordare foarte precaută”, spune expertul Mircea Șerdin.
Portofelul se va numi, conform Comisiei Europene, European Digital Identity Wallet (EUDI Wallet). Deși numele nu e chiar cel mai natural și ușor de reținut, ideea din spate e destul de simplă: în loc să cari după tine buletinul, permisul de conducere, cardul de sănătate sau alte documente, le vei putea avea într-o aplicație securizată pe telefon.
În mod obișnuit, ai actele în buzunar sau în geantă și le arăți când ți se cer. Cu acest wallet, vei putea face același lucru digital: să dovedești cine ești, fără să scoți efectiv documentul fizic. De exemplu, în loc să prezinți buletinul la un ghișeu al Primăriei, vei putea confirma identitatea prin telefon, iar sistemul va transmite doar informațiile necesare, nu neapărat toate datele de pe act.
Ideea nu se limitează doar la identificare. Acest portofel digital ar urma să stocheze mai multe tipuri de documente și dovezi digitale: cartea de identitate, permisul de conducere, diplome, rețete medicale, asigurări, bilete de tren sau la concerte etc. Practic, devine un hub central pentru toate interacțiunile tale oficiale, atât cu instituțiile statului, cât și cu companii private care aleg să îl accepte.
Un element important subliniat și de Comisia Europeană este că utilizatorul ar avea control asupra datelor. În loc să trimiți o copie completă a unui document, vei putea confirma doar informația relevantă. De exemplu, când cumperi alcool online sau intri pe o platformă cu restricție de vârstă, sistemul ar putea confirma doar că ai peste 18 ani, fără să îți arate data nașterii sau alte detalii personale.
În esență, acest tip de portofel digital încearcă să rezolve o problemă veche a lumii online și offline: cum dovedești rapid și sigur cine ești, fără să îți expui inutil datele personale. Dacă va fi implementat așa cum este gândit la nivel european, ar putea deveni una dintre cele mai importante schimbări în relația noastră cu statul și cu serviciile digitale din ultimii ani.
România va avea propria versiune de portofel digital
În primul rând, European Digital Identity Wallet (EUDI Wallet) nu va fi o aplicație unică descărcată de toți europenii, ci un standard comun european pe baza căruia vor fi construite aplicații de către fiecare stat membru sau de furnizori autorizați. Cu alte cuvinte, România va avea propria versiune de wallet, dar toate vor funcționa după aceleași reguli tehnice și vor fi interoperabile în toată Uniunea Europeană.
Emitenții reali ai datelor vor rămâne aceleași instituții pe care le știm deja. Procesul de încărcare a acestor documente în wallet se va face o singură dată pentru fiecare tip de document, printr-un proces de identificare inițială, care poate diferi de la un stat membru la altul, în funcție de infrastructura existentă.
De exemplu, la configurarea aplicației, utilizatorul va trebui să își confirme identitatea printr-o metodă oficială acceptată la nivel național, cum ar fi un sistem electronic de identitate deja existent, o interacțiune cu o instituție publică sau alte proceduri de verificare autorizate.
După această etapă, datele tale sunt legate de identitatea digitală și pot fi adăugate în portofel sub formă de „credențiale” digitale verificate (așa-numitele verifiable credentials).
Odată configurat, portofelul va funcționa foarte simplu pentru utilizator. Când o instituție sau o companie îți cere un document, vei primi o solicitare pe telefon: de exemplu, să confirmi că ai peste 18 ani sau că deții permis de conducere valid. Tu vei aproba sau refuza cererea, iar sistemul va trimite doar informația necesară, nu întregul document.
Cât de sigur e portofelul digital?
Siguranța și protecția vieții private sunt probabil cele mai sensibile aspecte ale întregului proiect, având în vedere că vom avea buletinul, permisul și alte documente importante într-o singură aplicație.
În plus, Uniunea Europeană are și o problemă de credibilitate când vine vorba de astfel de aplicații.
„În primăvară, au lansat acea aplicație de verificare a vârstei online despre care au și zis direct că e ca un fel de un mini-wallet. Au vrut să ia un beneficiu al acestui portofel digital și să-l implementeze. Problema e că implementarea a fost foarte unsafe de la început. Ei au zis ok, e gata, o lansăm, respectă viața privată. Problema e că aplicația a fost spartă în doar câteva minute. Deci când lansezi un astfel de produs și treci prin astfel de experimente, clar creezi un context de neîncredere”, consideră Mircea Șerdin, arhitect de sisteme AI și consultant IT.
Cum va funcționa, însă, portofelul digital?
În primul rând, UE spune că portofelul digital nu va funcționa ca o bază de date centrală în care sunt stocate informațiile tuturor cetățenilor europeni. Datele și documentele rămân la emitenții lor originali; de exemplu, în registrele statului, la universități sau la alte instituții autorizate.
Portofelul conține, în esență, credențiale digitale care pot fi prezentate și verificate atunci când este nevoie. Asta înseamnă că nu va exista un „super-registru european” care să adune toate datele personale într-un singur loc.
Un alt principiu important este așa-numitul „selective disclosure”, adică transmiterea doar a informațiilor strict necesare. În multe situații, nu va trebui să arăți întregul document. De exemplu, dacă o platformă are nevoie să verifice că ai peste 18 ani, wallet-ul nu trimite tot buletinul, dar poate dezvălui explicit anul sau data nașterii din acel document digital, fără restul informațiilor precum adresa sau alte date personale.
Totuși, acest model de „selective disclosure” nu e chiar cea mai sigură soluție.
„Există un concept de zero knowledge proof care teoretic, odată implementat criptografic, ar face soluția și mai sigură. Dar nu suntem acolo. Aplicația care se va lansa nu va avea acest tip de verificare criptografică. Comisia a zis că se uită să implementeze pe viitor”, spune Mircea Șerdin.
Pe scurt, diferența e că zero-knowledge proofs duc ideea de protecție a datelor un pas mai departe: în loc să alegi ce informații dintr-un document arăți, sistemul îți permite să dovedești că ceva este adevărat fără să expui deloc datele din spate. Adică nu mai trimiți nici măcar o versiune parțială a informației, ci doar dovada că îndeplinești o condiție.
Comisia Europeană spune că utilizatorul trebuie să aibă control total asupra propriilor date. În teorie, nicio instituție sau companie nu ar trebui să poată accesa informații din wallet fără acordul explicit al persoanei. De fiecare dată când o organizație solicită anumite date, utilizatorul vede ce informații sunt cerute și poate decide dacă le transmite sau nu.
Din punct de vedere tehnic, regulamentul prevede folosirea unor mecanisme criptografice similare celor folosite în sistemele bancare și în semnăturile electronice calificate. Identitatea, documentele și aprobările acordate sunt protejate prin certificate digitale și semnături criptografice care permit verificarea autenticității și detectarea eventualelor modificări sau falsificări.
O altă promisiune importantă a UE este că utilizarea portofelului nu ar trebui să permită urmărirea activităților utilizatorului de către furnizorul aplicației. Cu alte cuvinte, statul care emite wallet-ul sau compania care îl operează nu ar trebui să poată vedea unde și când îl folosești pentru a te identifica. Regulamentul prevede explicit că furnizorii wallet-ului nu trebuie să colecteze date despre tranzacțiile și interacțiunile utilizatorilor dincolo de ce au nevoie pentru funcționarea serviciului.
În practică, totuși, pot apărea forme indirecte de expunere a informațiilor. Problema nu este neapărat că furnizorul wallet-ului urmărește activ utilizatorii, ci că sistemul implică mai multe verificări între actori diferiți (platforma care cere dovada, emitentul documentului și infrastructura de verificare) iar aceste interacțiuni pot lăsa în urmă metadate care, puse cap la cap, pot spune mai mult decât pare la prima vedere.
„De fiecare dată când folosești o astfel de aplicație, în spate au loc cereri de verificare între cel care solicită confirmarea și sistemul de validare, iar mai departe se verifică și cu statul sau cu organizația care a emis documentul, pentru a se asigura că totul este în regulă și că semnăturile criptografice sunt valide. Acest proces lasă în urmă foarte multe amprente”, spune Mircea Șerdin.
Totuși, siguranța unui astfel de sistem nu depinde doar de arhitectura europeană, ci și de implementarea concretă în fiecare stat membru. În practică, nivelul de protecție va depinde de calitatea aplicațiilor dezvoltate, de securitatea infrastructurii naționale și de modul în care instituțiile și companiile care folosesc wallet-ul respectă regulile privind accesul la date.
„Eu nu sunt pesimist, însă, în ceea ce privește acest portofel digital. Consider că aplicația, pe termen lung, va fi destul de sigură astfel încât dacă este folosită la scară largă va aduce mai multe beneficii de siguranță decât probleme”, spune Șerdin.
„Cel mai important e să nu se grăbească procesul. Dacă tu vei grăbi lucrurile și vor exista probleme, asta va scădea rata de adopție, va scădea încrederea într-un astfel de sistem și asta e cu atât mai complicat în România unde încrederea în stat oricum e foarte mică. E nevoie de o abordare foarte precaută”, adaugă el.
„Trebuie analizate toate implicațiile sociale”
Sabina Alexandra Ștefănescu, activistă pentru drepturile digitale și Chief Technology Officer la Asociația pentru Tehnologie și Internet, vorbește și despre impactul social al portofelului digital: „Mi-aș dori să văd niște analize reale ale impactului unei tehnologii asupra drepturilor fundamentale ale omului”.
„De exemplu, eu mă întreb ce se întâmplă în cazurile în care o familie împarte accesul la un dispozitiv. De la cel mai banal caz: eu mi-am pierdut telefonul și îl folosesc o vreme pe al soțului. Cum va funcționa această tehnologie dacă ea pleacă de la premisa că un dispozitiv identifică unic un om? Dacă eu import temporar contul meu de portofel electronic pe telefonul soțului, datele mele trebuie să fie într-o enclavă securizată, separată”, explică ea.
„Toate aceste implicații sociale trebuie analizate și trebuie să nu scriem prima linie de cod până nu le-am găsit o rezolvare. Pe când acum vedem fix invers. Noi am scris codul, eventual am și scos aplicația, eventual și-a și instalat-o lumea și după aia vine un ONG și ne atrage atenția. Sunt niște chestii care au impact social pe care legiuitorii de obicei nu le gândesc, pentru că mulți dintre ei nu sunt în situațiile respective”, consideră Ștefănescu.
Va putea un român România să-și folosească portofelul digital în Germania sau Franța?
Pe hârtie, planul Uniunii Europene este ambițios: toate statele membre ar trebui să ofere până la finalul lui 2026 cel puțin o versiune funcțională a EUDI Wallet. Nu înseamnă că sistemul va fi complet adoptat de toți cetățenii până atunci, ci că fiecare stat trebuie să aibă infrastructura pusă în funcțiune și să poată emite și accepta credențiale digitale prin acest sistem.
Contextul vine din reforma eIDAS 2, noul regulament european care stabilește reguli comune pentru identitatea digitală și semnătura electronică în toate statele membre și care transformă identitatea digitală dintr-un proiect opțional într-o obligație la nivel european. Practic, toate statele membre trebuie să ajungă la un nivel minim comun de interoperabilitate, astfel încât un cetățean din România să își poată folosi portofelul digital în Germania sau Franța fără probleme.
Ca să vedem cât de realist este acest calendar, merită să ne uităm la ce se întâmplă deja în spate: așa-numitele „Large Scale Pilots”, adică programele de testare la scară mare finanțate de Comisia Europeană. Acestea sunt, practic, prima versiune „în viața reală” a portofelului digital european și implică sute de companii și instituții publice din mai multe state membre, care testează cum ar funcționa sistemul în situații concrete.
Se testează scenarii practice: cum îți deschizi un cont bancar doar cu portofelul digital, cum te autentifici pe platforme guvernamentale, cum semnezi documente sau cum dovedești că ai peste 18 ani fără să îți arăți întregul buletin. În unele teste este verificată chiar și integrarea cu servicii private, de la închirieri auto până la servicii financiare, tocmai pentru a vedea dacă sistemul funcționează dincolo de administrația publică.
România a participat la programul pilot numit EU Digital Wallet Consortium alături de alte 23 de țări europene. Banca Transilvania și Visa au testat cu succes primele plăți cu ajutorul portofelului digital.
De asemenea, România a fost printre statele membre care au participat și la programul pilot DC4EU (Digital Credentials for Europe) prin mai multe instituții: Institutul Național de Cercetare-Dezvoltare în Informatică, Universitatea Politehnica Timișoara, Universitatea Titu Maiorescu, Unitatea Executivă pentru Finanțarea Învățământului Superior, a Cercetării, Dezvoltării și Inovării (UEFISCDI) și certSIGN. Universitățile au testat emiterea de diplome și micro-credite în format digital, care pot fi verificate instant.
Potrivit declarațiilor participanților, testele au funcționat: diplomele și certificările digitale au putut fi emise, stocate în portofelul digital și verificate în alte sisteme din Europa.
Per total, concluzia generală din cele patru mari programe pilot de până acum este că infrastructura tehnică funcționează, adică identitatea digitală poate fi emisă, verificată și folosită în mod standardizat între state. Însă, în același timp, programele pilot au arătat și limita principală a sistemului: implementarea inegală între statele membre. Deși standardul european este comun, nivelul de digitalizare și infrastructura existentă diferă semnificativ de la o țară la alta.
E portofelul digital o soluție pentru verificarea vârstei online?
Având în vedere că din ce în ce mai multe țări iau în considerare interzicerea accesului la social media pentru minorii sub 16 ani, portofelul digital european ar putea fi una dintre metodele prin care oamenii își vor putea dovedi vârsta pentru a accesa diferite servicii online. Deși e o abordare mai sigură din punctul de vedere al protecției datelor personale, Sabina Alexandra Ștefănescu de la APTI nu consideră că e cea mai bună idee.
„Pe noi la APTI nu ne interesează cât de performant sau elegant este un mod de implementare al verificării vârstei, pentru că nu suntem de acord principial cu această verificare din multiple motive, printre care faptul că tratează persoanele sub o anumită vârstă ca un grup omogen, de parcă toți oamenii au exact aceleași capacități intelectuale și aceeași reziliență, și îi putem trata interschimbabil.
Apoi faptul că verificarea vârstei ne vulnerabilizează pe toți, ne ia din anonimitatea pe internet, care până acum a fost garantată inclusiv politic”, spune ea.
Verificarea vârstei online este prezentată ca o soluție pentru a limita accesul minorilor la anumite tipuri de conținut, cum ar fi social media sau alte servicii restricționate, ca pornografia. Totuși, apare întrebarea dacă acest mecanism rămâne limitat strict la acest scop sau dacă poate fi extins în timp către alte tipuri de clasificări și controale, în condițiile în care aceeași infrastructură tehnică ar putea ajunge să includă și alte date.
„Ai putea să spui că, ok, acum că poți să stochezi în sistemul tău de operare vârsta, ia să stochezi și genul. Sau altceva. Ia să stochezi și dacă ești sau nu parte dintr-un sindicat de muncă. Astea sunt doar câteva exemple. Adică cine spune că nu extindem?
Și noi nu suntem paranoici. Ca să fac o mică paranteză: în cazul regulamentului propus, care n-a trecut, supranumit „Chat Control” — regulamentul care voia să ne scaneze continuu conversațiile private, doar-doar detectează că cineva încearcă să propage pornografie infantilă — acolo, la început, ONG-urile spuneau: „Este despre pornografie infantilă acum, că după aia, dacă trece, o să se introducă și alte criterii”, consideră Ștefănescu.
România va folosi soluția germană pentru Portofelul European de Identitate Digitală
Guvernul a anunțat că a decis să folosească soluția tehnică dezvoltată de Germania pentru portofelul european de identitate digitală. Asta înseamnă că nu va construi tot sistemul de la zero, ci va porni de la o platformă deja existentă, care este dezvoltată în regim open-source de guvernul german. Practic, România va avea acces gratuit la codul sursă, la componentele tehnice și la schemele de certificare, pe care le va putea adapta apoi la propriile nevoi.
Decizia are și o miză practică: economisirea de bani și timp. În loc să dezvolte o infrastructură complexă de la zero, România se bazează pe un model deja testat, ceea ce ar trebui să grăbească implementarea și să reducă costurile proiectului.
La nivel instituțional, proiectul este împărțit între mai multe entități. Ministerul Economiei, Digitalizării, Antreprenoriatului și Turismului coordonează cadrul general și relația cu actorii externi, Ministerul de Interne se ocupă de aplicația propriu-zisă și de infrastructura tehnică, iar Serviciul de Telecomunicații Speciale gestionează partea de securitate digitală, certificatele și registrele sistemului.
Implementarea va fi în etape, iar prima fază e programată pentru finalul lui 2026. Teoretic, atunci ar urma să fie lansată prima versiune a aplicației, să fie introdusă funcția de verificare a vârstei și să fie emis PID-ul (identitatea digitală a utilizatorului). Tot în această perioadă ar trebui să fie gata și cadrul legislativ necesar.
Experiența ROeID lasă un gust amar
România are deja experiență cu două dintre cele mai importante componente ale digitalizării statului (identitatea digitală și noile buletine electronice) însă nu neapărat una promițătoare.
„Avem aceste două soluții care nu sunt interoperabile, coexistă simultan și nu se anulează reciproc. Ele nu sunt interschimbabile în relația cu instituțiile, adică nu poți să te prezinți și să spui „am ROeID, dar vă dau buletinul electronic”, pentru că nu funcționează așa. În plus, nu există un plan coerent și clar comunicat public despre cum vor fi integrate aceste sisteme pe termen lung, inclusiv dacă unul îl va înlocui pe celălalt sau cum vor fi gestionate datele între ele. În practică, există și probleme de utilizare și accesibilitate, iar sistemele digitale nu funcționează întotdeauna constant sau uniform”, explică Sabina Alexandra Ștefănescu.
Aplicația ROeID, lansată ca soluție oficială de identitate digitală a statului, a fost gândită să permită autentificarea unică în serviciile publice, însă după investiții de peste 17 milioane de euro, rezultatele lasă de dorit, arată o analiză Context.ro de la sfârșitul anului trecut.
Deși autoritățile au raportat integrarea în sute de instituții, în practică, doar un număr mic de platforme funcționează efectiv cu ROeID, iar procesul de înregistrare e de obicei lent și complicat. Oamenii semnalează probleme de acces, erori tehnice și dificultăți în utilizarea aplicației, inclusiv situații în care autentificarea nu funcționează sau necesită reluarea procesului de la zero.
„Trebuie să existe o coerență politică peste implementarea tehnică. Și coerența politică trebuie să mă asigure că toată lumea vrea același lucru: vrea ca cetățenii să fie în siguranță și vrea ca datele cetățenilor să fie, la rândul lor, în siguranță. Iar în România situația e complicată din punctul ăsta de vedere”, consideră Ștefănescu.
