La prestación de identidades digitales atraviesa cambios fundamentales. Hay entidades tales como bancos, proveedores de servicios de comunicaciones electrónicas o empresas de servicios públicos, algunas obligadas por ley a recoger atributos de identidad, que utilizan sus trámites propios para actuar como proveedores de identidad verificada. Hay intermediarios de internet, incluidas las grandes plataformas de redes sociales y los programas navegadores, que actúan como guardianes de facto de las identidades digitales y ofrecen soluciones que permiten a los propios usuarios autenticarse en sitios web y servicios de terceros a través de sus perfiles de usuario (BYOI, bring your own identity). Es una comodidad que se ofrece a costa de perder el control sobre los datos personales comunicados; por otra parte, estos medios de identificación electrónica carecen de cualquier vínculo con identidad física verificada alguna, lo que dificulta aún más mitigar los riesgos de fraude y las amenazas a la ciberseguridad. Una amplia mayoría de ciudadanos de la UE querría tener acceso a una identidad digital segura que pudiera utilizar para acceder a los servicios en línea . Por último, aunque hay muchos puntos de vista sobre el futuro de la identidad digital, hay que teneratenderse debidamente en cuenta el papel clave de las administraciones nacionales en el desarrollo de cualquier ecosistema digital de identificación de gran alcance.

Pese a cumplir muchos de sus objetivos y haberse convertido en un elemento fundamental a la hora de facilitar el mercado único en toda una serie de sectores (por ejemplo, en servicios financieros y para el acceso y reutilización de datos en procedimientos administrativos), el Reglamento adolece de una serie de limitaciones: no hay obligación de notificar los sistemas nacionales de identificación electrónica, son limitados los atributos (elementos de información personal) que pueden notificarse a terceros de forma fiable, la norma se centra en el sector público, y no hay incentivos claros para que las entidades privadas utilicen identificaciones electrónicas nacionales. Además, el ecosistema europeo de identidad electrónica se encuentra disperso entre entornos normativos nacionales, niveles de gobernanza digital y culturas diferentes, con grados variables de confianza en las instituciones públicas.

Antes de la entrada en vigor del Reglamento, no existía un marco global transfronterizo e intersectorial europeo para unas transacciones electrónicas seguras, fiables y de fácil utilización que comprendieran la identificación electrónica, la autenticación y los servicios de confianza. La propuesta de la Comisión [COM (2012) 238 final], de 4 de junio de 2012, acompañada de la evaluación de impacto [SWD (2012) 135 final], establecía los cuatro objetivos generales siguientes:

En el caso de las identificaciones electrónicas, el sistema de notificación y revisión inter pares que contempla el marco eIDAS intentaba definir una visión común del nivel de garantía ofrecido a través de un sistema de identificación electrónica, pero la evaluación de su aplicación práctica indica que no siempre es así. Si bien favorece la flexibilidad y la neutralidad tecnológica, sigue faltando una visión común de lo que constituye un nivel de garantía sustancial y elevado. La atención centrada en los servicios públicos contrasta con la posibilidad de que el usuario limite los datos transmitidos al mínimo necesario para la autenticación en un servicio específico, ya que siempre se transmite el conjunto mínimo de datos que permite identificar a una persona. La implantación del sistema eIDAS actual no facilita al usuario la aplicación de los principios del RGPD de minimización de datos y privacidad por defecto mediante el control de los datos que comparte y con quién.

Desde la introducción del Reglamento eIDAS, el ecosistema de la identificación electrónica ha cambiado profundamente y es cada vez mayor la presencia de proveedores de identidad privados. Dado el auge de las transacciones digitales, todos los ciudadanos de la UE deben tener acceso a una identidad digital segura e interoperable, lo que no ocurre en la actualidad. Los objetivos del marco jurídico eIDAS siguen siendo pertinentes para abordar los problemas observados inicialmente, y en particular la necesidad de reducir la fragmentación del mercado al garantizar la interoperabilidad transfronteriza e intersectorial de los servicios de confianza adoptando normas comunes. Se antojan demasiado limitados el ámbito de aplicación y el objeto del Reglamento eIDAS, centrado como está actualmente en los sistemas de identificación electrónica notificados por los Estados miembros de la UE y en permitir el acceso a servicios públicos en línea.

Por lo que se refiere a los servicios de confianza, el objetivo del Reglamento de mantener la neutralidad tecnológica ha dado lugar a interpretaciones dispares de los requisitos por parte de los Estados miembros, lo que también obedece al hecho de que no se adoptaran disposiciones de ejecución adicionales. No cabe concluir que se hayan alcanzado plenamente unas condiciones de competencia equitativas en toda la UE. No obstante, el Reglamento eIDAS ha establecido un marco sólido, que puede complementarse con las normas y requisitos necesarios para reducir la actual fragmentación del mercado y las divergencias de interpretación entre los organismos de supervisión y evaluación de la conformidad, y para aumentar la cooperación entre los organismos de supervisión.

Pese a sus logros, el Reglamento no ha alcanzado todo su potencial en términos de eficacia. Apenas se ha notificado un número limitado de identificaciones electrónicas, lo que limita la proporción de ciudadanos de la UE que disponen de un sistema de identificación electrónica notificado (el 59 % de la población). Hay una limitada aceptación de las identificaciones electrónicas notificadas: no todos los nodos eIDAS están en funcionamiento, son escasos los servicios públicos que ofrecen la notificación eIDAS o están conectados a la infraestructura, y hay errores técnicos que impiden a los usuarios autenticarse sin dificultad.

El Reglamento eIDAS creó incentivos para que los Estados miembros desplegaran soluciones nacionales de identificación electrónica, pero el valor añadido del marco de identificación electrónica presenta grandes limitaciones debido a su escasa cobertura, aceptación y uso. En el caso de los servicios de confianza, el Reglamento establece un marco jurídico común para su uso que reduce la fragmentación del mercado y contribuye a su aceptación. Con ayuda de los servicios de confianza, las administraciones públicas pueden modernizar y digitalizar los servicios y expedir certificados digitales, reduciendo así la carga administrativa.

En cuanto a identificación electrónica, las necesidades inicialmente observadas para la adopción del Reglamento siguen siendo pertinentes, y derogarlo daría lugar a fragmentación y consecuencias negativas para otros ámbitos legislativos supeditados a este. Introducir algunas adaptaciones en el marco regulador podría aumentar su valor añadido europeo (por ejemplo, al facilitar el uso por parte del sector privado de identificaciones electrónicas de confianza expedidas por la administración y definir un marco para el intercambio de atributos y credenciales específicos emitidos por los sectores público y privado). En el caso de los servicios de confianza, persisten algunos obstáculos derivados de interpretaciones o divergencias entre legislaciones nacionales, que limitan la utilización de los servicios de confianza.

3.Revisión del marco eIDAS

El Reglamento eIDAS es un elemento fundamental a la hora de facilitar el mercado único en una serie de sectores: por ejemplo, en el bancario, a fin de suministrar parte de los datos de identidad necesarios para facilitar el cumplimiento de las normas contra el blanqueo de capitales, la Directiva sobre servicios de pago (PSD2) se basa en servicios de confianza eIDAS tales como precintos electrónicos y certificados de autenticación de sitios web cualificados (QWAC), que permiten identificar la autenticidad de los sitios web por parte de los proveedores de pagos terceros, y los certificados de identificación electrónica basados en el eIDAS son un requisito esencial para el intercambio transfronterizo de datos, además de ser fundamentales para la aplicación y funcionamiento satisfactorios del principio de «solo una vez» a partir de 2023 . El marco de los servicios de confianza, reconocido internacionalmente, es la base de un proyecto de disposición, que se espera que en 2021 se convierta en una ley modelo de las Naciones Unidas sobre servicios de confianza en el comercio electrónico, y también para las actuales negociaciones comerciales en el marco de la OMC.

Sin embargo, mucho ha cambiado desde la adopción del Reglamento eIDAS en 2014. El marco se basa en sistemas nacionales de identificación electrónica que aplican normas diferentes y se centra en un segmento relativamente pequeño de las necesidades de identificación electrónica de los ciudadanos y las empresas: garantizar el acceso transfronterizo a los servicios públicos. Los servicios destinatarios afectan principalmente al 3 % de la población de la UE que reside en un Estado miembro distinto de aquel en el que nació.

Desde entonces ha aumentado drásticamente la digitalización de todas las actividades de la sociedad. Sin olvidar la pandemia de COVID-19, que ha tenido un efecto muy fuerte en la rapidez de la digitalización. El resultado es que la prestación de servicios, tanto públicos como privados, se da cada vez más por vía digital. Ciudadanos y empresas tienen expectativas de un alto nivel de seguridad y comodidad para cualquier actividad en línea: presentar declaraciones fiscales, matricularse en una universidad extranjera, abrir una cuenta bancaria a distancia o solicitar un préstamo, alquilar un vehículo, crear una empresa en otro Estado miembro, autenticar pagos por internet, presentar ofertas en una licitación en línea, etc.

De ahí que haya aumentado radicalmente la demanda de medios de identificación y autenticación en línea, y también para el intercambio digital de identidades, atributos o cualificaciones relacionados con la información de forma segura y con un alto nivel de protección de datos . Esto ha llevado a un cambio de paradigma: se evoluciona hacia soluciones avanzadas y cómodas, capaces de integrar diferentes datos y certificados verificables del usuario. En la actualidad, dadas sus limitaciones actuales, el marco eIDAS no permite satisfacer esta demanda con los medios de identificación electrónica y los servicios de confianza que en él se regulan. Los medios de identificación o autenticación desarrollados por el sector privado al margen del eIDAS solo responden parcialmente a este reto. Aunque ofrecen servicios de autenticación por terceros de fácil manejo (por ejemplo, una cuenta de Facebook o Google para conectarse a diferentes servicios), suelen emplearse para acceder a servicios online privados, no regulados y que no requieren un alto nivel de seguridad. No puede así garantizarse el mismo nivel de seguridad jurídica, protección de datos y privacidad, principalmente porque estos sistemas se remiten a sí mismos y no pueden ofrecer un vínculo con una identificación electrónica de una administración que sea fiable y segura.

En febrero de 2020, en su Estrategia para configurar el futuro digital de Europa, la Comisión se comprometió a revisar el Reglamento eIDAS para mejorar su eficacia, ampliar su aplicación al sector privado e impulsar identidades digitales de confianza para todos los ciudadanos y empresas de la UE. La urgencia de esta revisión quedó patente con el brote de la pandemia de COVID-19. Las perturbaciones de los servicios públicos y privados presenciales y la repentina necesidad de acceder y utilizar todos los tipos de servicios públicos y privados online puso de manifiesto las limitaciones del eIDAS a la hora de ofrecer los beneficios esperados a los ciudadanos, las empresas y las administraciones seis años después de su adopción. Un Reglamento eIDAS revisado y reforzado permitiría responder a las nuevas demandas del mercado y de la sociedad atendiendo a las necesidades de soluciones basadas en la fiabilidad de las identidades electrónicas de las administraciones públicas, pero también de atributos y credenciales facilitados por el sector público y privado, todo ello plenamente gestionado por el usuario y reconocido en toda la UE a la hora de acceder a servicios públicos y privados. Esto serviría de apoyo para gran número de marcos normativos existentes o propuestos que reforzarían el mercado único de la UE.

4.Conclusiones

En general, el Reglamento eIDAS ha contribuido a un mayor desarrollo del mercado único. Ha sentado las bases para el desarrollo de un mercado de servicios de identidad y confianza en la UE al atender a la necesidad cada vez mayor de transacciones digitales seguras. Sin embargo, con una perspectiva de futuro —que ha evolucionado en lo cuanto a los objetivos y expectativas de los usuarios—, el Reglamento eIDAS debe mejorarse en términos de eficacia, eficiencia, coherencia y pertinencia para alcanzar los nuevos objetivos políticos y satisfacer las expectativas de los usuarios y la demanda del mercado, teniendo también en cuenta la evolución reciente en materia de digitalización.