Czym jest strona ufająca w ekosystemie EUDI Wallet?

Ta rola nie jest nowa. Twoja organizacja jest już stroną ufającą za każdym razem, gdy sprawdza paszport, wypis z rejestru firmy albo dyplom. Zmienia się to, że weryfikacja przestaje być człowiekiem czytającym dokument, a staje się automatyczną odpowiedzią, której możesz zaufać w kilka sekund.

Strona ufająca to rola, a nie rodzaj firmy. Ta sama organizacja może być stroną ufającą w jednym procesie i wydawcą w innym: uczelnia prosi studenta o dokument tożsamości przy zapisie, a na koniec wydaje mu dyplom. Stroną ufającą w danym momencie czyni Cię po prostu to, że to Ty pytasz, sprawdzasz i decydujesz.

Istotna zmiana dotyczy tego, skąd pochodzi dowód. Dziś to osoba stojąca przed Tobą musi udowodnić, że dokument jest prawdziwy, a Ty ponosisz koszt jego oceny. Przy portfelu dowód jest podpisany przez organizację, która dany fakt już zna, więc kontrola staje się obliczeniem, a nie oceną uznaniową.

Dlatego warto rozumieć tę rolę, nawet jeśli nic jeszcze nie zmusza Cię do jej przyjęcia. Gdy klient może potwierdzić swoją tożsamość w kilka sekund, każdy proces, który wciąż wymaga przesłania pliku i ręcznej weryfikacji, zaczyna przy nim wyglądać na powolny.

Gdy Twoja usługa prosi o dane, żądanie nie pojawia się po cichu. Portfel otwiera ekran, który wskazuje z nazwy pytającą organizację, wymienia dokładnie, o które dane chodzi, i podaje cel, jaki ta organizacja dla nich zarejestrowała. Nic nie zostaje udostępnione, dopóki użytkownik tego nie zatwierdzi.

Nazwy na tym ekranie nie wpisujesz sam. Pochodzi ona z certyfikatu otrzymanego przy rejestracji i właśnie dlatego portfel może ją pokazać jako sprawdzony fakt, a nie jako deklarację. Żądanie od niezarejestrowanego podmiotu w ogóle nie wywoła takiego ekranu.

Użytkownik może odmówić i może odmawiać za każdym razem, a nie raz na zawsze. Portfele prowadzą też historię tego, co zostało udostępnione i komu, dzięki czemu decyzję można później prześledzić, zamiast gubić ją w skrzynce pocztowej. Zgoda przestaje być polem wyboru, a staje się czymś, co użytkownik może realnie sprawdzić.

Dla Twojej organizacji to jest cały sens. Znane oszustwo, czyli przekonująca strona prosząca o kopię paszportu, przestaje działać, gdy ludzie przywykną do tego, że przed udostępnieniem czegokolwiek widzą zweryfikowaną nazwę. Pytanie przez portfel stawia Cię po zaufanej stronie tego nawyku, a żądania, które wyglądają wiarygodnie, częściej kończą się sukcesem.

W praktyce ta lista jest mniej abstrakcyjna, niż brzmi. Obejmuje banki detaliczne, instytucje płatnicze i ubezpieczycieli, operatorów komórkowych przyjmujących abonentów, dostawców energii i wody, linie lotnicze i przewoźników kolejowych, szpitale, apteki i ubezpieczycieli zdrowotnych, uczelnie i instytucje egzaminacyjne oraz administrację publiczną, która już prowadzi krajowe logowanie. Jeśli Twój proces przyjmowania klientów wymaga dziś dokumentu tożsamości, bo tak nakazuje przepis, prawie na pewno jesteś nim objęty.

Akceptowanie portfela nie oznacza zastąpienia tego, co masz. Oznacza zaoferowanie portfela jako jednego ze sposobów, w jaki osoba może się zidentyfikować tam, gdzie już dziś wymagasz silnej identyfikacji, obok metod obsługiwanych obecnie. Dotychczasowi klienci zachowują swoją drogę, a nowi dostają szybszą.

Te daty warto sobie zapisać. Państwa członkowskie wydają swoje portfele od końca 2026 roku, przepisy o rejestracji jako strona ufająca obowiązują od grudnia 2026 roku, a obowiązek akceptowania portfela pojawia się z końcem 2027 roku. Rejestracja zależy od organu krajowego oraz od wewnętrznych decyzji o tym, jakich danych potrzebujesz, więc kalendarz jest ciaśniejszy, niż sugeruje pojedyncza data w 2027 roku.

Wszyscy pozostali mogą akceptować portfel dobrowolnie i bardzo wielu to zrobi. Skoro klient ma już przy sobie zweryfikowane dane tożsamości i dane firmowe, proszenie go zamiast tego o przesłanie skanu jest krokiem wstecz, który zauważy.

Nie istnieje jedna europejska aplikacja portfela. Każde państwo członkowskie udostępnia co najmniej jeden, niektóre będą miały kilka, a Twoi klienci przyjdą z tym, który wydał ich kraj. Organizacja z klientami z kilku krajów integruje się więc nie z jednym partnerem, lecz ze zmieniającym się ich zbiorem.

Standardy leżące u podstaw są wspólne i to właśnie czyni to w ogóle możliwym. Różni się wszystko wokół nich: każdy portfel ma własne kotwice zaufania, własny profil krajowy, własne środowisko testowe i własny kalendarz wydań. Zdany test z jednym portfelem mówi bardzo niewiele o kolejnym.

Pierwsza integracja rzadko jest tą kosztowną. Koszt leży w kolejnych latach: śledzenie aktualizacji specyfikacji, ponowne testy, gdy portfel krajowy wypuszcza nową wersję, monitorowanie zmian na listach zaufania i utrzymywanie ważnych certyfikatów w każdym kraju, w którym masz siedzibę. To pozycja utrzymaniowa w budżecie, a nie pozycja projektowa.

Prosty sposób na oszacowanie skali to policzenie dwóch rzeczy: liczby państw członkowskich, z których pochodzą Twoi klienci, oraz liczby wydań, jakie każdy z tych portfeli prawdopodobnie opublikuje w ciągu roku. Pomnóż je, a otrzymasz liczbę sytuacji, w których ktoś z Twojego zespołu musi przerwać to, co robi. To właśnie ta liczba, a nie początkowe wdrożenie, przesądza o decyzji zbudować czy kupić.