La cartera europea de identidad digital va a cambiar la forma en la que los ciudadanos se identifican, firman documentos y acreditan datos personales y profesionales desde el móvil. No se limitará a una versión digital del DNI: permitirá incorporar permisos, titulaciones, certificados y otros atributos verificables dentro de un entorno regulado de confianza.
Ese salto plantea, sin embargo, desafíos importantes. La seguridad, la protección de datos, la facilidad de uso, la brecha digital y el fraude serán decisivos para que el nuevo modelo funcione realmente.
Javier Bustillo, managing director de Camerfirma, uno de los prestadores cualificados de servicios de confianza que operan en España, explica cómo funcionará este nuevo ecosistema, qué diferencias existen entre los distintos tipos de firma electrónica y hasta dónde puede llegar la inteligencia artificial en procesos tan sensibles como verificar que una persona es quien dice ser.
LA CARTERA EUROPEA DE IDENTIDAD DIGITAL
¿Qué cambiará con la cartera europea de identidad digital?
Una de las grandes novedades son los llamados atributos.
Hasta ahora pensamos en la identidad digital como nombre, apellidos, DNI, fecha de nacimiento o nacionalidad. Con la cartera europea podremos incorporar muchas más cosas: una titulación universitaria, un permiso de conducir, una acreditación profesional o determinados datos financieros.
El ciudadano podrá decidir qué información muestra, a quién y durante cuánto tiempo.
Es decir, algo parecido a llevar en el móvil el DNI y parte del currículum.
Exactamente, aunque el punto de partida siempre es la identidad. Primero hay que acreditar quién eres.
A partir de ahí pueden asociarse atributos a una persona física o jurídica. Imaginemos una titulación universitaria. La universidad acredita que esa persona tiene el título y un prestador de confianza garantiza que esa información procede realmente de la universidad correspondiente.
¿Qué podrá hacer un ciudadano desde ese móvil?
Identificarse, firmar electrónicamente, enviar determinadas notificaciones, acreditar su permiso de conducir, presentar una titulación universitaria o demostrar otros atributos con valor jurídico.
La idea es gestionar desde una herramienta sencilla distintas credenciales, pero siempre con entidades detrás que garanticen que esa información es auténtica.
SEGURIDAD, CONFIANZA Y PROTECCIÓN DE DATOS
Cuanta más información contiene esa cartera, mayor parece el riesgo en materia de protección de datos.
Por supuesto. Ese es uno de los elementos centrales.
La herramienta es voluntaria y los prestadores tenemos que cumplir requisitos tecnológicos y regulatorios muy estrictos, además de toda la normativa europea de protección de datos.
Europa coloca la protección del ciudadano y de sus datos personales en un lugar central. Ese enfoque explica también muchas de las tensiones regulatorias entre la Unión Europea y algunas grandes tecnológicas estadounidenses.
¿Cuál es el gran desafío para generar confianza?
La confianza tarda mucho en construirse y muy poco en destruirse.
En la identidad digital intervienen instituciones públicas y empresas privadas. En España, por ejemplo, el origen de la identidad está en el DNI expedido por la Policía Nacional. Eso aporta una garantía institucional muy importante.
Después están las empresas privadas, que tienen que ganarse esa confianza mediante tecnología, seguridad, calidad de servicio y trayectoria.
Estamos gestionando algo extremadamente sensible: la identidad digital de las personas y, cada vez más, los atributos asociados a ella.
¿Cuál es la principal debilidad del sistema?
La interoperabilidad y la facilidad de uso.
La idea es que puedas identificarte con la misma facilidad y seguridad en cualquiera de los 27 Estados miembros. Que una identidad digital emitida en España pueda utilizarse al otro extremo de Europa sin complicaciones.
Y después está la usabilidad. El DNI electrónico español es un buen ejemplo: es seguro, pero históricamente no ha sido fácil de utilizar.
Puedes crear la tecnología más segura del mundo, pero si necesitas demasiados pasos, lectores o claves, la ciudadanía buscará alternativas más sencillas.
FIRMA ELECTRÓNICA Y VALOR PROBATORIO
¿Todas las firmas digitales tienen el mismo valor jurídico?
No. Y esta distinción es muy importante.
Tenemos firma electrónica simple, avanzada y cualificada.
La firma cualificada es la que ofrece el nivel jurídico y probatorio más elevado y, simplificando, es la que más se aproxima a los efectos de una firma manuscrita.
La firma avanzada también genera evidencias que permiten acreditar quién realizó la operación, pero puede requerir una valoración técnica o pericial.
Después están las firmas muy simples, como determinados sistemas en los que haces un garabato en una pantalla. Se utilizan mucho, pero su capacidad probatoria es bastante menor.
Sin embargo, ese tipo de firma sencilla se utiliza continuamente.
Muchísimo.
Mientras nadie discuta un contrato, probablemente no ocurre nada. El problema aparece cuando existe un conflicto.
Pensemos en un contrato de arras. Si una de las partes se arrepiente y después dice que nunca lo firmó, la forma en la que se realizó aquella firma pasa a ser fundamental.
Con una firma cualificada existe una identificación del firmante y una cadena tecnológica y jurídica que permite acreditar la operación. Con un simple garabato puede ser necesario acudir a registros informáticos, informes periciales y otras evidencias.
Entonces una firma cualificada también puede evitar litigios.
Exactamente.
Cuanta más seguridad probatoria existe desde el principio, menos margen hay posteriormente para discutir quién realizó una determinada operación.
¿Qué diferencia hay entre un certificado instalado en un ordenador y uno utilizado para firma cualificada?
Mucha gente tiene certificados instalados en su ordenador que pueden acabar siendo utilizados por otras personas si tienen acceso al equipo o conocen las contraseñas.
En una firma cualificada, la clave privada está protegida de manera mucho más estricta. No puede circular libremente.
La infraestructura garantiza que ese certificado permanezca bajo unas condiciones determinadas de custodia y que únicamente pueda utilizarlo su titular mediante los mecanismos de autenticación previstos.
INTELIGENCIA ARTIFICIAL, BIOMETRÍA Y FRAUDE
Con la inteligencia artificial capaz de falsificar rostros, voces o vídeos, ¿cómo se garantiza una identificación remota segura?
Los mecanismos de identificación tienen que cumplir requisitos técnicos muy exigentes.
Cuando se utiliza biometría facial no basta con enseñar un DNI a una cámara. Se comprueba la documentación, se realiza una prueba de vida para verificar que realmente hay una persona delante y se compara su biometría con la fotografía del documento.
Además, los algoritmos deben cumplir los estándares exigidos por la regulación.
Y existe intervención humana. La emisión de una identidad de estas características no se deja completamente en manos de un algoritmo.
¿Sigue siendo necesario que una persona valide el proceso?
Sí. En la parte crítica de la emisión de la identidad existe control humano.
Muchas fases pueden automatizarse, pero verificar que una persona es realmente quien dice ser sigue sometido a supervisión.
¿La inteligencia artificial podría asumir algún día esa responsabilidad?
Tengo dudas.
La inteligencia artificial hace cosas extraordinarias, pero aquí hablamos de algo especialmente delicado: dar fe de que una persona es quien afirma ser.
Mientras no existan garantías regulatorias y tecnológicas suficientes, no creo que deba delegarse completamente esa responsabilidad.
¿Habéis encontrado casos de fraude o suplantación de identidad?
Naturalmente existe fraude.
Podemos encontrarnos con documentación falsificada o errores en determinados procesos de registro.
Cuando existe una investigación, los prestadores tenemos que facilitar a policías o jueces la información correspondiente. Tenemos trazabilidad de las operaciones.
Si alguien consigue fraudulentamente un certificado a nombre de otra persona y lo utiliza para contratar créditos o comprar bienes, es fundamental poder reconstruir después cómo se emitió y cómo se utilizó.
BRECHA DIGITAL Y USABILIDAD
En España preocupa especialmente la brecha digital entre las personas mayores.
Es uno de los riesgos.
La cartera europea de identidad será fundamentalmente una aplicación móvil. Quien no tenga teléfono o no sepa utilizarlo puede quedarse fuera.
Por eso su utilización es voluntaria.
Con el tiempo esa brecha probablemente disminuirá, pero seguirá existiendo para determinados colectivos.
Y si algún día estas herramientas fueran imprescindibles para ejercer determinados derechos, habría que garantizar que todo ciudadano pudiera acceder a ellas.
¿La pandemia marcó un antes y un después en la digitalización?
Absolutamente.
España está bastante avanzada en servicios digitales, especialmente en la Administración pública.
La pandemia aceleró enormemente el uso de estas tecnologías por empresas y ciudadanos y ayudó a superar parte de la desconfianza hacia las transacciones electrónicas.
Pero también aumentó la necesidad de hacerlas más seguras.
ABOGADOS, EMPRESAS Y NOTARIOS
¿Cuál sería su principal recomendación para abogados y otros profesionales jurídicos?
Que prioricen la seguridad.
Los abogados son muy conscientes de la importancia de identificar correctamente al cliente y conservar pruebas fiables de una operación.
El problema es que la seguridad genera cierta fricción. Si quieres que un cliente firme con garantías, tendrás que identificarlo correctamente y eso puede implicar algunos pasos adicionales.
Pero esa pequeña incomodidad inicial puede evitar problemas enormes después.
La verdadera transformación digital del sector jurídico pasa por combinar garantías con una experiencia de usuario sencilla.
Los abogados llevan años utilizando sistemas como LexNET.
Exactamente.
Muchos profesionales utilizan certificados en tarjetas colegiales u otros dispositivos, pero algunas soluciones históricas son poco cómodas.
Necesitan lectores, tarjetas físicas o determinadas configuraciones.
La evolución va hacia poder hacer las mismas operaciones desde el móvil con igual o mayor seguridad.
¿Puede esta evolución reducir algunas funciones que actualmente realizan los notarios?
En algunas operaciones puede reducir determinadas intervenciones, pero no creo que la tecnología venga a sustituir al notario.
Los notarios son fedatarios públicos y existen funciones en las que su intervención es insustituible.
Lo que hacemos nosotros es proporcionar herramientas que permitan digitalizar de forma segura determinados procesos.
CAMERFIRMA Y SU EXPANSIÓN
Camerfirma lleva más de 25 años funcionando. ¿Con qué objetivo nació?
Nació por iniciativa de las Cámaras de Comercio en los primeros tiempos del comercio electrónico, cuando existía mucha incertidumbre entre ciudadanos y empresas sobre cómo realizar transacciones por Internet con seguridad.
A partir de ahí nos convertimos en un prestador cualificado de servicios de confianza dentro del marco regulatorio europeo.
Emitimos certificados electrónicos y prestamos servicios relacionados con firma electrónica, identificación, sellos y notificaciones electrónicas.
¿Latinoamérica es uno de vuestros grandes focos de crecimiento?
Sí. Tenemos presencia en Colombia y Perú y estamos analizando mercados como México y Brasil.
Es un mercado muy interesante, pero muy diferente al europeo porque no existe una regulación común equivalente a eIDAS.
Cada país establece sus propios requisitos y eso obliga a adaptar y homologar la tecnología localmente.
¿Europa está más avanzada en esta materia?
Desde el punto de vista regulatorio, sí.
Pero también es una cuestión cultural.
En Estados Unidos, por ejemplo, no existe un DNI nacional equivalente al español. El concepto de identidad ciudadana es distinto y eso condiciona todo el sistema.
Europa parte de una concepción mucho más regulada de la identidad y de una protección de los datos personales más centrada en el ciudadano.
EL FUTURO
Si tuviera que resumir hacia dónde vamos, ¿cuál sería la dirección?
Hacia una digitalización cada vez mayor, pero con seguridad y control.
El móvil se convertirá progresivamente en el lugar desde el que gestionaremos buena parte de nuestra identidad digital.
Ahí podremos tener certificados, permisos, titulaciones y otros atributos.
Pero lo esencial no cambia.
Tiene que existir alguien que garantice que la persona es quien dice ser y que la información que presenta es auténtica.
Esa confianza es, en definitiva, el núcleo de todo el sistema.
