La cartera europea de identidad digital: qué es y cuándo puede afectar a una pyme

El Reglamento (UE) 2024/1183, de 11 de abril de 2024, modifica el Reglamento eIDAS (el 910/2014) para crear el marco europeo de identidad digital. Su pieza central es la cartera europea de identidad digital: una aplicación, ofrecida por cada Estado miembro, con la que una persona podrá identificarse y compartir documentos o atributos verificados (su edad, un título, una licencia) con servicios públicos y privados de cualquier país de la Unión. Según la Comisión Europea, los Estados miembros deben ofrecer estas carteras a la ciudadanía a finales de 2026.

Es una norma que suele leerse como cosa de administraciones y grandes plataformas. En parte lo es. Pero tiene dos efectos que una pyme conviene que tenga localizados: quién estará obligado a aceptar la cartera y, sobre todo, cómo se hacen hoy los procesos de alta, identificación y verificación de clientes, que es justo lo que la cartera pretende simplificar.

Qué es la cartera y qué no es

La cartera no es un documento nacional de identidad nuevo ni un sustituto de los certificados electrónicos que ya existen. Es un mecanismo para que la persona decida qué dato comparte, con quién y cuándo. Un ejemplo habitual: demostrar que se es mayor de edad sin enseñar fecha de nacimiento ni nombre completo, o presentar un título profesional sin enviar una copia escaneada.

• Su uso es voluntario para las personas: el reglamento establece que no puede restringirse el acceso a un servicio a quien decida no utilizarla.
• Cada Estado miembro tiene que ofrecer al menos una cartera, pero la persona sigue pudiendo identificarse por los medios que el servicio ya admita.
• La cartera funciona con atributos verificados, no con fotocopias: quien recibe el dato puede comprobar que lo ha emitido una fuente fiable.

Quién tendrá que aceptarla

Aquí es donde más matices hay, y donde más fácil es exagerar. Según el texto del reglamento y el análisis de Garrigues, el esquema es este:

La fecha de diciembre de 2027 es un cálculo del despacho a partir del plazo de 36 meses, no una fecha que figure literalmente en el texto, así que conviene tomarla como orientación. Lo que sí se desprende del reglamento es que la obligación de aceptación para el sector privado no es general: depende del sector y de que exista una exigencia de autenticación reforzada, legal o contractual.

En la práctica, una pyme de comercio, consultoría, servicios profesionales o industria que no opere en esos sectores ni exija autenticación reforzada a sus clientes no tiene hoy una obligación de aceptar la cartera. Una pyme que sí trabaje en alguno de esos sectores, por ejemplo una pequeña entidad de servicios financieros, una comercializadora de energía o una clínica, debería seguir el desarrollo de los actos de ejecución y revisar sus procesos de identificación con vistas a esa fecha.

Dónde puede notarla una pyme aunque no esté obligada

Aunque la obligación no llegue, la cartera cambia lo que los clientes esperarán. Si una persona puede acreditar su identidad o un dato concreto desde el móvil, con una verificación inmediata, enviar fotos del DNI por correo o rellenar tres formularios empezará a parecer un trámite innecesario. Los procesos donde esto se nota primero son los que hoy se apoyan en documentos:

• Altas de clientes que requieren comprobar identidad o mayoría de edad.
• Contratación a distancia, donde hoy se pide copia del DNI y justificantes de domicilio.
• Procesos de selección y altas de personal, donde se recogen titulaciones, permisos o certificados.
• Relaciones con proveedores, donde se piden poderes de representación o certificados de estar al corriente de obligaciones.

El problema de fondo: documentos que se piden y se guardan sin criterio

Mucha de la fricción de estos procesos no está en la identificación en sí, sino en lo que ocurre después. El documento llega por correo, por WhatsApp o en mano; alguien lo guarda en una carpeta con el nombre que le parece; no queda claro para qué se pidió, quién puede verlo ni cuándo debe borrarse. La cartera apunta en otra dirección: compartir solo el atributo necesario en lugar de la copia completa del documento. Eso encaja con el principio de minimización de datos que ya existe en la normativa de protección de datos y que cualquier empresa que recoja documentación personal tiene que aplicar.

Preparar el terreno no exige tecnología nueva. Exige saber qué se hace hoy con cada documento de identidad o acreditación que entra en la empresa:

1. Inventariar para qué procesos se pide identificación o documentación a clientes, empleados y proveedores.
2. Para cada uno, anotar qué dato se necesita realmente (una edad, una titulación, un nombre) y qué se está recogiendo de más, como la copia completa del documento.
3. Definir dónde se guarda lo que se recoge, quién accede y durante cuánto tiempo, y comprobar que se cumple.
4. Revisar si algún proceso se apoya en una verificación manual que una comprobación electrónica podría sustituir en el futuro.
5. Si la empresa opera en alguno de los sectores señalados, seguir los actos de ejecución del reglamento y estimar qué tendría que cambiar para aceptar la cartera.

Lo que todavía no se sabe

Varias cuestiones prácticas dependen de desarrollos que no están cerrados. La Comisión indica que las carteras deben estar disponibles a finales de 2026, pero no he encontrado una fecha exacta contrastada con una fuente oficial y las webs divulgativas dan fechas distintas. Tampoco hay una confirmación oficial, en las fuentes consultadas, de cómo será la solución española ni de cuándo podrá usarla la ciudadanía en España. Y la forma concreta en que un negocio podrá verificar atributos, con qué registros previos y con qué coste, depende de los actos de ejecución y de lo que decida cada Estado miembro.

Conviene, por tanto, desconfiar de los titulares que presentan la cartera como una obligación inminente para todas las empresas. Lo que el reglamento establece es una obligación acotada para ciertos sectores con plazo diferido, y un cambio gradual de expectativas para el resto.

Un calendario razonable para una pyme

La cartera europea de identidad digital no va a obligar mañana a una pyme media a cambiar sus sistemas. Sí es una buena razón para poner en orden algo que suele estar descuidado: qué documentos personales entran en la empresa, para qué y qué pasa con ellos después.

Fuentes

• BOE (DOUE-L-2024-80608) · Reglamento (UE) 2024/1183 del Parlamento Europeo y del Consejo, de 11 de abril de 2024, por el que se modifica el Reglamento (UE) nº 910/2014 en lo que respecta al establecimiento del marco europeo de identidad digital.
• EUR-Lex · Texto consolidado del Reglamento (UE) nº 910/2014 (eIDAS) y resumen «El establecimiento del marco europeo de identidad digital, incluida la provisión de carteras europeas de identidad digital y servicios de confianza».
• Comisión Europea · Página sobre el Reglamento de Identidad Digital Europea (EUDI), digital-strategy.ec.europa.eu.
• Garrigues Digital · «The European Digital Identity Wallet now has a timetable: tasks to be completed by December 2027».