eIDAS2: la batalla por nuestra identidad en la Europa digital

Hay inventos que pasan sin pena ni gloria, como una reforma menor en un ministerio anodino. Y hay otros que obligan a detenerse, a apoyarse en la barandilla de la Historia y mirar al horizonte con mano en la visera. eIDAS2 pertenece a los segundos. No todos lo verán así —la prisa, la apatía y la ceguera tecnológica son vicios extendidos—, pero cuando hablamos de identidad, no hablamos de burocracia ni de pantallas. Hablamos de lo que somos.

Porque la identidad, créame quien me lea, es ese hilo finísimo que sostiene nuestra existencia civilizada. Pierda usted el control sobre ella y habrá perdido algo más que un documento digital: habrá entregado el alma.

Eso lo sabía ya la Declaración Universal de los Derechos Humanos cuando proclamó que todo ser humano tiene derecho al reconocimiento de su personalidad jurídica. Lo recordaba el Reglamento General de Protección de Datos (RGPD) cuando nos dijo, solemne como un general antiguo, que las personas deben tener control sobre sus datos personales. Y ahora lo repite Europa con este nuevo reglamento, que viene a sustituir el eIDAS original de 2014, al que ya se le notaba el desgaste de quien ha visto demasiadas batallas.

La identidad no es un trámite digital: es la frontera última entre el ciudadano libre y el súbdito administrado

¿Qué es eIDAS2, entonces? Es la apuesta europea —quizá la más ambiciosa en décadas— por una identidad digital común, soberana y supuestamente impenetrable. Una arquitectura unificada que pretende que podamos demostrar quiénes somos en cualquier rincón de la Unión sin líos, sin barreras y sin intermediarios norteamericanos o chinos tomando nota de nuestras vidas.

Y el instrumento elegido para esta empresa es la llamada Cartera Europea de Identidad Digital, la EUDI Wallet. Una aplicación en nuestros bolsillos capaz de almacenar nuestro DNI, carnet de conducir, título académico, certificados profesionales e incluso la prueba de que somos mayores de edad sin necesidad de enseñar el documento entero. La panoplia completa de nuestra existencia administrativa digital, comprimida en un dispositivo que llevamos encima como quien porta un rosario en el bolsillo del abrigo.

Sobre el papel, una maravilla. Poder, control, autonomía. Firmar documentos en cualquier país de la Unión, demostrar atributos sin revelar datos innecesarios, acceder a servicios públicos y privados sin tener que vender media biografía en cada trámite. Una Europa moderna y segura, protectora de su ciudadanía frente a los gigantes tecnológicos que sueñan con gobernar el mundo desde servidores remotos. Maravilloso, sí. Pero ya saben ustedes que las cosas perfectas suelen esconder aristas, y uno no llega a viejo en estas batallas sin aprender a desconfiar de las promesas que vienen envueltas en seda digital.

Conviene además poner los pies en la tierra y mirar el calendario, porque esto no es teoría académica ni castillos normativos en el aire. Este es el año en el que la cartera digital debe dejar de ser promesa y convertirse en realidad tangible. Ya no hablamos de borradores, ni de mesas de trabajo en Bruselas. Hablamos de hechos. Antes de mayo de 2026, cada Estado miembro, incluida España, estará obligado a ofrecer al menos una Cartera Europea de Identidad Digital a sus ciudadanos. El discurso pasa de los despachos al bolsillo. De la legislación a la implementación. De la tinta al silicio. Ahí es donde se verá si Europa cumple su palabra… o si nos entrega un castillo hermoso con sótano húmedo y cerraduras flojas. Porque el diablo —y esto lo sabe el más lerdo pastor de ovejas y el más fino criptógrafo de Bruselas— siempre se esconde en los detalles. Y en el mundo digital, el demonio tiene forma de metadatos.

Y no soy solo yo, viejo desconfiado de teclas y reglamentos, el que levanta la ceja. La propia Agencia Española de Protección de Datos —no precisamente un cenáculo de conspiranoicos, sino el centinela jurídico de nuestra intimidad— ha sonado la campana hace apenas unos días. Lo ha dicho con la elegancia fría del burócrata que sabe que pisa terreno minado: eIDAS2 trae consigo importantes retos en materia de protección de datos, y lo más delicado será hacer compatible funcionalidad, seguridad y privacidad sin que la ecuación termine devorándonos la libertad.

La AEPD, que no suele hablar para llenar el aire, plantea preguntas tan simples como aterradoras: ¿seremos capaces de demostrar que somos mayores de edad, estudiantes o miembros de una asociación sin revelar la identidad completa, como promete Europa? ¿O en algún oscuro cruce de datos, en alguna conjura de servidores y funciones criptográficas mal diseñadas, alguien podrá saber quiénes somos, dónde estamos y qué hacemos cuando creíamos ir por el mundo en anonimato?

Ahí está el corazón del asunto: los emisores de credenciales, las plataformas que nos las pidan y los proveedores de la cartera no deben poder identificar al usuario donde no toca, ni siquiera indirectamente. Ni por accidente, ni por diseño, ni por glotonería tecnológica. Que una entidad pueda unir nuestros pasos digitales como quien sigue el rastro de un zorro en la nieve sería, sencillamente, la derrota de la promesa europea antes de que podamos estrenarla.

La Agencia lo advierte con claridad castellana: habrá casos que exijan nuestra identidad completa —un banco, un cruce de frontera—, y otros en los que bastará probar un atributo y desaparecer como buen fantasma civilizado. Si la cartera no garantiza ese anonimato contextual, no será herramienta de libertad, sino de vigilancia elegante.

Mucho ojo, añade la AEPD, con la tentación técnica de vincular rastros: firmas persistentes, hashes estáticos, mecanismos de revocación mal implementados, seudónimos mal generados o compartidos entre servicios. Nada de eso debe permitir que dos servicios crucen datos y reconstruyan la vida de nadie como quien arma un rompecabezas. Europa quiere transparencia y control ciudadano, sí… pero el demonio siempre intenta colarse por las juntas. Y, como recuerda el regulador, todo está aún en forja: veintitrés frentes técnicos abiertos hasta 2025. Si la protección de la identidad es un castillo, el plano está trazado, pero hay que vigilar cada piedra antes de colocarla.

Ahí estaremos, digo yo. No por desconfianza enfermiza, sino porque, cuando hablamos de identidad y libertad, la ingenuidad es un lujo que no se puede permitir ni el más santo de los europeos.

Europa jura que esta cartera será voluntaria, que nadie podrá rastrear nuestros movimientos ni vincular nuestras acciones, que podremos controlar qué datos compartimos, cuándo y con quién. Juran que habrá transparencia, minimización de datos, derecho al olvido y trazabilidad de nuestras operaciones, pero solo para nosotros, no para el poder. Suena a música celestial, créame. La partitura del ciudadano libre.

No se trata de estar en contra del progreso, sino de impedir que el progreso se convierta en coartada para vigilar al ciudadano

Pero aquí, en este rincón del Corredor del Henares, sabemos algo que los discursos oficiales olvidan mencionar: la vigilancia no siempre entra por la puerta; muchas veces se cuela por el router. Y basta un descuido técnico, una implementación barata o un burócrata ambicioso para convertir una herramienta de libertad en una cadena digital.

Los expertos se enredan en jerga que haría bostezar a un obispo de la Contrarreforma: SD-JWT, Mobile Driver License, credenciales selectivas, acumuladores criptográficos, pruebas de conocimiento cero, firmas ciegas… El problema, al final, es antiguo: ¿podrán unir tus datos para seguir tus pasos?

Si un día se descubriera que, a través de un matiz técnico —digamos firmas persistentes o validaciones remotas repetidas— alguien pudiera saber dónde compras el vino, qué médico visitas o qué páginas visitas por la noche… entonces todo esto dejaría de ser progreso para convertirse en servidumbre ilustrada. Bello nombre para una pesadilla.

El reglamento exige —y menos mal— que el diseño garantice lo contrario: anonimato contextual, no vinculación, ausencia de rastreo, separación lógica de datos, auditoría ciudadana, posibilidad de eliminar información y denunciar accesos indebidos. Amén. Buena letra. Buen propósito. Pero aún falta la música final: los detalles técnicos definitivos, esas especificaciones del ARF que deberán cerrar puertas, sellar rendijas y someter a tormento cada bit que pretenda escapar. Hasta que eso no esté cristalino —y ya sabemos lo lento que va Bruselas cuando no hay lobby presionando detrás— más vale que no bajemos la espada. Porque el día que renunciemos a vigilar nuestra identidad, esa mañana gris y turbia, habremos vuelto a las cavernas, aunque los barrotes sean de oro digital.

La verdad, lector mío, es que eIDAS2 puede ser el mayor impulso de libertad digital que Europa haya concebido nunca. Puede darnos soberanía tecnológica, autonomía frente a gigantes extranjeros, identidad portable y respetuosa, un futuro digno donde el ciudadano manda sobre su sombra electrónica y no al revés.

Pero también puede, si cerramos los ojos, convertirse en lo contrario. En el gran archivo donde todo se registra, todo se enlaza, todo se sabe. Donde la libertad es un recuerdo nostálgico, como el regusto a tinta y papel cuando estampábamos firmas de verdad, no pulsos sobre vidrio templado. Y ya he vivido lo suficiente para saber que la libertad no se pierde con estallidos; se pierde con susurros. Con palabras bonitas como eficiencia, seguridad, conveniencia. Ahí empiezan las cadenas.

De modo que aquí seguiré. Viejo soldado digital, maltrecho pero terco. Observando cada reglamento de ejecución, cada línea técnica del ARF, cada discurso triunfalista sobre la modernidad radiante. No para negar el progreso, sino para protegerlo de los ingenuos… y de los listos. Porque si algo he aprendido en esta vida, a golpes y con café frío, es que la identidad no se entrega: se defiende. Y que la primera muralla de la libertad es la capacidad de decir: “soy yo, y solo yo decido quién sabe quién soy”. Eso, en estos tiempos de algoritmos soberbios y políticos distraídos, vale más que cualquier tesoro. Y yo, mientras respire y la tecla responda, estaré aquí para recordarlo.

---

✅ Tabla de beneficios para las empresas según INCIBE (eIDAS2)

Beneficio	Descripción según INCIBE

Expansión inmediata del mercado objetivo

Las empresas pueden ofrecer servicios en cualquier país de la UE sin barreras burocráticas. Ejemplo: un despacho de abogados español podrá asesorar legalmente a clientes de Alemania, Francia o Italia con la misma facilidad que a los nacionales.

Reducción significativa de costes operativos

La verificación de identidad, la firma de contratos y la gestión documental se automatizan. Ahorro directo en personal administrativo, tiempo de gestión y desplazamientos. Los procesos antes manuales y lentos se vuelven instantáneos.

Mejora de la experiencia del cliente

Los clientes pueden acceder a servicios 24/7, firmar contratos desde cualquier lugar y completar trámites que antes requerían presencia física. Se incrementa la satisfacción del cliente y la capacidad de atender a más personas con los mismos recursos.

Ventaja competitiva temporal

El cumplimiento de eIDAS2 es obligatorio, especialmente para grandes plataformas digitales. Las empresas que se adapten antes ofrecerán servicios más rápidos, accederán a mercados internacionales y liderarán en innovación. Retrasarse implica perder oportunidades y sufrir problemas de integración.

Reducción de riesgos legales y de cumplimiento

eIDAS2 crea un marco legal claro y unificado para las transacciones transfronterizas. Mayor seguridad jurídica para operar internacionalmente, menos incertidumbre normativa.

Nuevas oportunidades de ingresos

Surgen nuevos modelos de negocio: verificación de identidad, consultoría en transformación digital, servicios de cumplimiento eIDAS2 y asesoría para empresas con actividad internacional.

Mejora de la seguridad técnica

eIDAS2 exige buenas prácticas de ciberseguridad: cifrado extremo a extremo, autenticación multifactor y sistemas antifraude. Refuerza la postura de seguridad de toda la organización.

Cumplimiento automático de normativas

Las soluciones de identidad digital bajo eIDAS2 simplifican el cumplimiento normativo. Una vez implementado, garantizan alineación con marcos clave de ciberseguridad: NIS2, DORA y el CRA.

---

Epílogo para los que tienen buena memoria (y no descargan apps alegremente)

Algunos dirán que esto de eIDAS2 es progreso incontestable. Que el viejo cascarrabias que recelaba en abril de la aplicación MiDNI —ese que se negaba a entregar su identidad al brillo facilón de un QR oficial y prefería el DNI físico en la cartera como un caballero de los de antes— es el mismo que ahora levanta bandera en Bruselas.

Y sí. Soy el mismo.

Aquel que escribió, no hace tanto, que me he quedado solo por no bajarme una app estatal. El que avisaba que toda comodidad digital trae su factura en libertad diferida. El que recordaba que, cuando el poder te sonríe desde una pantalla y te promete seguridad, conviene palpar el bolsillo donde guardas la dignidad, no vaya a ser que falte.

Hoy vuelvo a plantarme en el mismo sitio, solo que con el ruido de Europa de fondo. Porque esto no va de España, ni de MiDNI, ni de una aplicación concreta. Va del principio que late bajo todo este asunto: la identidad, una vez digitalizada, siempre será tentación para quien quiera mirar más de la cuenta.

Entonces escribí que no pensaba ofrecer mi alma en código QR. Hoy digo algo parecido, pero más grave: Europa está construyendo la gran cartera digital del ciudadano. Hagámoslo bien o, dentro de unos años, no será una cartera, sino un yugo de última generación.

Que nadie me venga luego con que “no se podía saber”. Esto, como tantas cosas importantes de la vida, no exige ser moderno ni ser antiguo: exige ser libre. Y la libertad —créame— no se delega. Se ejerce. Se vigila. O se pierde.