O que é uma parte confiante no ecossistema EUDI Wallet?

O papel não é novo. A sua organização já é uma parte confiante sempre que verifica um passaporte, uma certidão comercial ou um diploma. O que muda é que a verificação deixa de ser uma pessoa a ler um documento e passa a ser uma resposta automática em que pode confiar em segundos.

Parte confiante é um papel, não um tipo de empresa. A mesma organização pode ser parte confiante num processo e emissora noutro: uma universidade pede um documento de identidade ao aluno na inscrição e entrega-lhe um diploma no final. O que a torna parte confiante num dado momento é simplesmente o facto de ser quem pede, verifica e decide.

A mudança importante está na origem da prova. Hoje é a pessoa à sua frente que carrega o ónus de provar que um documento é autêntico, e é a sua organização que suporta o custo de o avaliar. Com uma carteira, a prova é assinada pela organização que já detém o facto, pelo que a verificação passa a ser um cálculo em vez de um juízo.

É por isso que vale a pena perceber o papel mesmo que nada o obrigue ainda a assumi-lo. A partir do momento em que um cliente consegue provar quem é em poucos segundos, qualquer processo que continue a pedir um carregamento e uma análise manual começa a parecer lento por comparação.

Quando o seu serviço pede dados, o pedido não chega em silêncio. A carteira abre um ecrã que identifica pelo nome a organização que está a pedir, enumera exatamente que dados estão a ser pedidos e indica a finalidade que essa organização registou para eles. Nada é partilhado enquanto a pessoa não tocar para aprovar.

O nome nesse ecrã não é escrito por si. Vem do certificado que recebeu quando se registou, e é por isso que a carteira o pode apresentar como um facto verificado e não como uma simples afirmação. Um pedido de uma entidade não registada nem sequer consegue produzir esse ecrã.

A pessoa pode recusar, e pode recusar de cada vez em vez de uma vez para sempre. As carteiras guardam também um histórico do que foi partilhado e com quem, pelo que a decisão fica depois consultável em vez de desaparecer numa caixa de correio. O consentimento deixa de ser uma caixa para assinalar e passa a ser algo que o utilizador pode realmente examinar.

Para a sua organização é precisamente esse o ponto. A fraude habitual, uma página convincente a pedir a cópia de um passaporte, deixa de funcionar quando as pessoas estão habituadas a ver um nome verificado antes de partilharem seja o que for. Pedir através da carteira coloca-o do lado de confiança desse hábito, e os pedidos que parecem legítimos são concluídos com mais frequência.

Na prática, a lista é menos abstrata do que parece. Abrange bancos de retalho, instituições de pagamento e seguradoras, operadores móveis que angariam assinantes, fornecedores de energia e água, companhias aéreas e operadores ferroviários, hospitais, farmácias e seguradoras de saúde, universidades e entidades examinadoras, e as administrações públicas que já operam um início de sessão nacional. Se hoje o seu processo de adesão envolve um documento de identidade porque uma regra assim o exige, é quase certo que está abrangido.

Aceitar a carteira não significa substituir o que já tem. Significa oferecer a carteira como uma das formas de uma pessoa se identificar onde já pede identificação forte, a par dos métodos que suporta hoje. Os clientes atuais mantêm a sua via de entrada e os novos ficam com uma mais rápida.

Vale a pena anotar as datas. Os Estados-Membros emitem as suas carteiras a partir do final de 2026, as regras sobre o registo como parte confiante aplicam-se a partir de dezembro de 2026 e a obrigação de aceitar a carteira chega no final de 2027. O registo depende de uma autoridade nacional e de decisões internas sobre os dados de que necessita, pelo que o calendário é mais apertado do que uma única data em 2027 sugere.

As restantes organizações podem aceitar a carteira voluntariamente, e muitíssimas irão fazê-lo. Quando um cliente já traz consigo dados de identidade e de empresa verificados, pedir-lhe que carregue uma digitalização é um retrocesso que ele vai notar.

Não existe uma única aplicação de carteira europeia. Cada Estado-Membro disponibiliza pelo menos uma, alguns terão várias, e os seus clientes chegarão com aquela que o respetivo país emitiu. Uma organização com clientes em meia dúzia de países não está, por isso, a integrar-se com uma contraparte, mas com um conjunto de contrapartes em movimento.

As normas subjacentes são comuns, e é isso que torna tudo isto possível. O que difere é tudo à sua volta: cada carteira tem as suas próprias âncoras de confiança, o seu perfil nacional, o seu ambiente de teste e o seu calendário de versões. Passar um teste com uma carteira diz muito pouco sobre a seguinte.

A primeira integração raramente é a cara. O custo está nos anos seguintes: acompanhar as atualizações das especificações, repetir testes quando uma carteira nacional lança uma nova versão, seguir as alterações às listas de confiança e manter os certificados em dia em cada país onde está estabelecido. É uma rubrica de manutenção no orçamento, não uma rubrica de projeto.

Uma forma simples de dimensionar isto é contar duas coisas: o número de Estados-Membros de onde vêm os seus clientes e o número de versões que cada uma dessas carteiras deverá lançar por ano. Multiplique-os e terá o número de vezes que alguém da sua equipa tem de parar o que está a fazer. É esse número, e não a construção inicial, que verdadeiramente decide entre construir ou comprar.