El reglamento eIDAS2 lleva importantes retos en materia de protección de datos. Sobretodo, en lo que se refiere a la implementación de la cartera de identidad digital. Estos desafíos son todavía más cruciales al intentar conciliar conceptos como la funcionalidad y la seguridad, con la privacidad.
Identidad digital y objetivos de eIDAS2
Uno de los objetivos del reglamento eIDAS2 es garantizar la protección de datos y la privacidad en cuanto a las carteras de identidad digital de la UE. Aun así, el nuevo escenario plantea muchas cuestiones:
- Al usar mi cartera a la hora de comprar productos o servicios privados o públicos, ¿el emisor de la credencial puede obtener información sobre mis actividades? ¿Lo podría hacer en tiempo real?
- Si uso mi cartera de forma anónima, ¿es posible rastrear mi actividad porque todos mis accesos se pueden vincular? Y, por consiguiente, ¿es posible vigilarme o realizar perfiles? ¿Quién podría hacerlo?
Inobservabilidad y las decisiones que se tomen
La respuesta a la pregunta 1 antes planteada depende de las decisiones que se tomen. Estos emisores no deben ser capaces de saber o aprender nada. Aquí hablamos del concepto de inobservabilidad. Supongamos que el emisor de una credencial que es mayor de edad almacena todos los valores de elementos únicos de todas las credenciales emitidas. Con los datos obtenidos se podría construir un perfil de sus hábitos. Esto es justo lo que se debe evitar.
Identidad digital y amenaza de vinculación
Como podemos observar, una amenaza de vinculación puede materializarse de forma directa a través de identificadores únicos. También podría suceder de forma indirecta mediante la combinación de diferentes datos sobre el interesado o la elaboración de perfiles de su comportamiento.
El mejor enfoque podría ser confiar en técnicas criptográficas como las firmas aleatorias o ciegas, por ejemplo. También podemos realizar pruebas de conocimiento cero, credenciales anónimas o mecanismos de revocación basados en acumuladores, etc.
Más información pueden consultar en el siguiente enlace de AEPD.
