Archivo de la categoría: Identidad Digital

Grupo de Expertos de la Comisión sobre identificación electrónica y procesos de Diligencia Debida de Identificación a distancia – E03571


Este Grupo de Expertos de la Comisión Europea tenía la siguiente denominación en Inglés: Commission expert group on electronic identification and remote Know-Your-Customer processes – E03571.

Tuve el honor de ser uno de los Expertos de este Grupo, representando a la AUI y el de participar en los trabajos que se desarrollaron entre 2018 y 2019.

Este grupo de expertos lo convocaron forma conjunta 3 direcciones generales de la Comisión Europea:

  • CNECT – DG Communications Networks, Content and Technology  (Redes de Comunicaciones, Contenidos y Tecnología)
  • FISMA – DG Financial Stability, Financial Services and Capital Markets Union (Estabilidad Financiera, Servicios Financieros y Unión de los Mercados de Capitales)
  • JUST – DG Justice and Consumers (Justicia y Consumidores)

El 14 de diciembre de 2017, se adoptó la Decisión C(2017) 8405 final de la Comisión, de 14.12.2017, por la que se creaba el grupo de expertos de la Comisión sobre identificación electrónica y procesos remotos «Conozca a su cliente».

A partir de la primavera de 2018, el grupo de expertos (E03571) exploró las formas de facilitar el uso transfronterizo de la identificación electrónica (eID) y la extensión de las normas bancarias de Debida Diligencia de identificación de clientes (KYC) basada en herramientas de identificación y las de identificación y autenticación bajo eIDAS, Reglamento UE n.º 910/2014, para permitir a las instituciones financieras identificar digitalmente a los clientes con fines de incorporación.

El grupo estaba compuesto por 36 miembros entre reguladores, supervisores, expertos en identidad, entidades financieras implicadas en el cumplimiento de la Directiva contra el blanqueo de capitales, así como organizaciones de consumidores.

21 miembros del grupo procedían de las estructuras consultivas existentes (eIDAS, lucha contra el blanqueo de capitales y Comité Mixto de la AES), mientras que las 15 plazas restantes procedían de candidaturas de instituciones financieras y organizaciones de consumidores.

De España participaban dos personas, D. Julián Inza en representación de la AUI (Asociación de Usuarios de Internet) y D. Félix J. Pérez-Campos, Inspector del Sepblac.

Se crearon 2 Grupos de Trabajo:

  • Grupo 1 – Estudio sobre las soluciones de on-boarding a distancia existentes en el sector bancario. Se analizaron 25 normativas europeas de identificación del cliente en contexto de lucha contra el blanqueo de capitales a distancia. Se contemplaron más de 50 procesos de identificación a distancia en 10 países. Se definió una taxonomía que clasificaba los procesos en 7 categorías de experiencia de usuario, denominadas en este contexto “Onboarding Customer Journey· (recorridos de embarque) típicos de alto valor.
  • Grupo 2 – Marco para soluciones KYC/CDD reutilizables, en particular en el sector bancario. Se definió un Conjunto mínimo de atributos a efectos de DDC (Debida Diligencia de Clientes) en el sector bancario y nivel adecuado de garantía (LoA) según eIDAS (alto, sustancial y bajo)

Se incluyen a continuación los informes generados por los dos grupos de trabajo.

Grupo 1

Informe sobre soluciones de identificación remota en el sector bancario

Grupo 2

Estructuraa de datos a gestionar en los procesos de identificación remota

Mientras se llevaban a cabo los trabajos de los dos grupos, la Comisión Europea publicó el documento Study on eID and digital onboarding: mapping and analysis of existing onboarding bank practices across the EU de gran interés:

Codificación de los números de identidad de los ciudadanos de la Unión Europea en los certificados


Uno de los problemas por el que las entidades públicas españolas no están cumpliendo la normativa EIDAS (y permitiendo a ciudadanos europeos con certificados cualificados acceder a los servicios de la administración electrónica) es porque no son capaces de reconocer los números de documento de identidad de los ciudadanos de otros países.

Está bastante claro el formato de los números del DNI y del NIE y casi todas las administraciones púbicas los entienden en los servicios activados por certificado que prestan vía web, pero no son capaces de identificar los números de pasaporte y los números de documentos de identidad de otros países.

En primer lugar hay que aclarar que en los certificados cualificados de persona física el campo «serial number» se estructura de la siguiente manera:

  • Prefijo de 3 caracteres que identifica el tipo de documento de identificación ;
  • Código de país según la norma ISO 3166-1 en su variante de 2 caracteres;
  • Un guión menos «-» (que se corresponde con el valor hexadecimal 0x2D en ASCII),
  • El número de identidad de la persona física según lo indicado en el prefijo inicial de 3 caracteres.

Los prefijos pueden ser:

  • «PAS» para la identificación basada en el número de pasaporte.
  • «IDC» para la identificación basada en el número del documento nacional de identidad.
  • «PNO» para la identificación basada en el número personal (nacional) (número de registro civil nacional).
  • «TAX» para la identificación basada en un número de referencia fiscal personal emitido por una autoridad fiscal nacional. Este valor valor está obsoleto. En su lugar debe utilizarse el valor «TIN»
  • «TIN» Número de Identificación Fiscal según la Comisión Europea – Unión Fiscal y Aduanera (https://ec.europa.eu/taxation_customs/tin/tinByCountry.html).
  • Dos caracteres según la definición local dentro del país especificado y la autoridad de registro del nombre, que identifiquen un régimen nacional que se considere apropiado a nivel nacional y europeo, seguidos del carácter «:» (dos puntos).

Los dos prefijos más habituales son IDC y PNO.

Esta información se define en la norma técnica EN 319 412-1.

Por paises, así se construye el número de identidad:

Alemania

Número de tarjeta de identificación personal
Tarjetas emitidas después de noviembre de 2010- ldddddddd
Emisiones de tarjetas desde abril de 1987 hasta octubre de 2010- ddddddddddn

Austria

No tengo identificada la tarjeta de identidad.

Número de pasaporte: l ddddddd (el espacio entre la letra y los siete dígitos es opcional)

Bélgica

No tengo identificada la tarjeta de identidad.

Número de licencia de conducir: 10 dígitos dddddddddddd

Número de pasaporte: Dos letras y seis dígitos lldddddd

Bulgaria

Número Civil Uniforme (EGN) (utilizado como Número de Identificación Fiscal)
Fecha de nacimiento (seis dígitos) + número de serie (tres dígitos) + número de suma de comprobación de 1 dígito dddddddddd

Croacia

11 dígitos aleatorizados con el último número como número de control y el HR no distingue entre mayúsculas y minúsculas ni es obligatorio.
HRddddddddddd

Chipre

No tengo identificada la tarjeta de identidad.

Pasaportes emitidos después del 13/12/2010- K + ocho dígitos Kdddddddd

República Checa

Número de nacimiento (utilizado como número de identificación fiscal)
En general, el formato es una fecha de nacimiento + número de serie + número de suma de comprobación con algunas especificaciones:

  • Para los hombres: dddddd/dddd (donde el tercer y cuarto dígitos = el mes de nacimiento 1-12)
  • Para las mujeres: dddddd/dddd (donde tercer y cuarto dígito = al mes de nacimiento 1-12 + 50)
  • Las personas nacidas antes de 1954 no tienen dígito de suma de comprobación

Dinamarca

Número de identificación personal (CPR o número de identificación fiscal)

Fecha de nacimiento + un número de serie secuencial donde el primer dígito denota el siglo de nacimiento. Los dos pueden estar separados por un guión, espacio o nada.
dddddd-dddd

Eslovaquia

Número de nacimiento (RC) o número personal: se usa para el número de identificación fiscal
dddddddddd (fecha de nacimiento + número de identificación de cuatro dígitos, siendo el último una suma de comprobación que no siempre está presente)

Para los hombres: dddddd/dddd (donde mm = el mes de nacimiento 1-12)
Para las mujeres: dddddd/dddd (donde mm = al mes de nacimiento 1-12 + 50)

Eslovenia

Número de identificación personal (EMSO)
13 dígitos
ddddddd50dddd
cumpleaños + 50 + serie de tres dígitos para género y suma de comprobación

España
Número de Identificación Fiscal (NIF)

Se expide un DNI a los nacionales españoles y se requiere después de los 14 años de edad y en el se detalla el nombre y apellidos del titular, fecha de nacimiento, dirección, padres, sexo, dirección residencial, ciudad y provincia de nacimiento y un número de identificación conocido como Número de identificación fiscal (NIF) o Número DNI. Este es el mismo número de identificación utilizado para el TIN.
Formato: ddddddddla.

Las siguientes palabras clave deben estar dentro de los 10 términos del Nombre de la persona y 10 términos del identificador:

Número de identificación fiscal (TIN)
Para los ciudadanos españoles, el NIF es el número proporcionado en el Documento Nacional de Identidad (DNI). Los TIN también se pueden proporcionar a aquellos sin DNI si lo solicitan.
Los no residentes reciben un Número de Identificación Extranjera (NIE) que sirve como su TIN a menos que no se emita un NIE

Explicación del formato Tipo de residente:

Nacional español con DNI: ddddddddl

8 dígitos + 1 letra

Españoles no residentes sin DNI: Ldddddddl

L + 7 dígitos + 1 letra

Españoles residentes menores de 14 años sin DNI: X o Y o Z: Kdddddddddl

K + 7 dígitos + 1 letra

Extranjeros con NIE: dddddddl

X/Y/Z + 7 dígitos + 1 letra

Extranjeros sin NIE: Mdddddddl

M + 7 dígitos + 1 letra

Estonia

Código de identificación personal (IK) (utilizado para el número de identificación fiscal)

11 dígitos que indican la fecha de nacimiento y el sexo del individuo

Formato: ddddddddddd

El primer dígito muestra el sexo y el siglo de nacimiento (número impar masculino, número par femenino, 1-2 siglo 19, 3-4 siglo 20, 5-6 siglo 21),

Finlandia

Código de identidad personal (HETU) o número de seguro social o número de identificación fiscal

Fecha de nacimiento + símbolo del siglo (7º chracter) + número de serie de 3 dígitos + carácter de suma de comprobación

Formato: dddddd+dddd

Símbolos del siglo (7º carácter): + (1800–1899), – (1900–1999), o A (2000–2099).

Los números de serie son impares para los hombres y pares para las mujeres

Emitido a ciudadanos naturales, residentes permanentes (1+ año)

Se puede imprimir en licencia de conducir, pasaporte, documento nacional de identidad o documento de identidad electrónico

Francia

Documento Nacional de Identidad (CNI)
12 dígitos: dddddddddddd
Las siguientes palabras clave deben estar dentro de los 10 términos del Nombre de la persona y 10 términos del identificador:

Grecia

Número de Seguro Social (AMKA)

11 dígitos donde los primeros seis dígitos son la fecha de nacimiento dddddddddddddd

Hungría

Número de identificación personal
11 dígitos: dígito de código de género + fecha de nacimiento + número de serie de tres dígitos + suma de comprobación dddddddddd

El dígito del código de género es un número del 1 al 8 que denota el género, si el residente es un ciudadano natural o extranjero, y si nació antes / después de 1900 o antes / después de 1999

Irlanda

Número Personal de Servicio Público (Número PPS) o Número de Identificación Fiscal

Siete dígitos + un carácter de suma de comprobación + a veces un segundo carácter
dddddddl

Italia

Código Fiscal: documento nacional de identidad emitido a los ciudadanos al nacer (también utilizado como número de identificación fiscal)
Formato:
ll dd l dd l ddd l donde los espacios son opcionales
16 caracteres separados en grupos de:

6 letras- Las tres primeras representan las 3 primeras consonantes del apellido y las segundas 3 son la primera, tercera y cuarta consonantes del primer nombre
2 dígitos- año de nacimiento
1 letra: letra del mes de nacimiento (las letras de la A a E, H, L, M, P, R a T se usan alfabéticamente en orden de los meses)
2 dígitos: día de nacimiento y sexo (+40 para mujeres)
1 letra + 3 dígitos: código de área de nacimiento o código de país para países extranjeros
1 letra- suma de comprobación

Letonia

Código Personal (Personas kods o PIC) o número de identificación fiscal
11 dígitos en el formulario dddddd-ddddd donde el guión es opcional
Fecha de nacimiento + siglo de nacimiento (0 para XIX, 1 para XX y 2 para XXI) + número de serie de nacimiento de tres dígitos + dígito de suma de verificación.

Lituania

Código personal (Asmens kodas) (utilizado para el número de identificación fiscal)
11 dígitos ddddddddddd
Género y siglo de nacimiento y cumpleaños y número de serie de tres dígitos y dígito de suma de comprobación
El primer dígito muestra tanto el género de la persona (impar si es hombre, incluso si es mujer) como el siglo de nacimiento calculado

Luxemburgo

Número de registro nacional (estructura similar al TIN)
Residentes naturales: 11 dígitos y suma de comprobación ddddddddddd

Malta

Número de identificación fiscal (TIN) – utilizado como número de documento de identidad para ciudadanos malteses
Nacionales malteses: ddddddd de siete dígitos + una letra (M, G, A, P, L, H, B o Z)
Ciudadanos no malteses: ddddddddd de nueve dígitos
Impreso en pasaportes y tarjetas de identidad

Países Bajos

Número de identificación fiscal (TIN)
Los TIN se informan como una identificación en documentos oficiales como pasaportes, licencias de conducir y tarjetas de identificación.

Nueve dígitos ddddddddd y separados en grupos de 3 por guiones, puntos, espacios o sin separación.

Polonia

Número de identificación nacional PESEL-Polonia
Identificador numérico de 11 dígitos inscrito en el Sistema Electrónico Común de Registro de Población
Se aplica a residentes permanentes o temporales o aquellos que solicitan identificación o pasaporte que no realizan actividades comerciales y, por lo tanto, no están registrados para impuestos.
Se puede encontrar en pasaportes y tarjetas de identificación

Portugal
Tarjeta de ciudadano (CC) – emitida a todos los ciudadanos
12 dígitos ddddddddddxxd o dddddddd-dxxd

Rumania

Código numérico personal (CNP) (utilizado como número de identificación fiscal)
Número de 13 dígitos que comprendía de: sexo y siglo de nacimiento (1-7 impares para hombres, 2-8 pares para mujeres y 9 representa ciudadanos extranjeros) y fecha de nacimiento y zona del país (dos dígitos, 01 a 52 o 99) y número de serie de tres dígitos y un número de suma de comprobación
Formato: ddddddddddddd

Suecia

Número de identidad personal (PIN, Personnummer): se utiliza para el número de identificación fiscal
10 o 12 dígitos AAMMDD-NNGC o CCYYMMDD-nngc: fecha de nacimiento (puede incluir el siglo como primeros 2 dígitos) + dos números únicos + género (par para las mujeres, impar para los hombres) + dígito de suma de comprobación

La fecha de nacimiento y los dígitos están delineados por un «-» si es menor de 100 años, o «+» si es mayor de 100 años de edad.

Disclaimer:

A pesar de que en el trabajo de investigción he tratado de identificar los documentos nacionales de identidad y cuando no me ha sido posible, otros documentos como el carné de conducir y el pasaporte, no se puede descartar que esta relación contenga algún error.

Por ello agradeceré cualquier comentario a quienes conozcan mejor los documentos de un determinado pais , tanto en el sentido de confirmar la información como de corregirla

Podéis contactar en la sección de comentarios de los artículos de este blog, por twitter o por email (ver «Acerca de Julián Inza«).

Cartera IDUE = EUDI Wallet


El nuevo ecosistema que hay que desplegar para acoger el futuro mecanismo de Identidad Digital de la Unión Europea tendrá entre sus principales componentes una Cartera Digital (Cartera IDUE. Identidad Digital de la Unión Europea) desde la que se gestionarán certificados de firma electrónica, testimonios digitales de atributos (que podrán ser cualificados y no cualificados) y datos personales.

Los datos que se ceden estarán bajo el control de su titular que en un momento dado podrá retirar el permiso de acceso a sus datos que hubiera otorgado con anterioridad.

En la cartera (o más bien en el ecosistema creado alrededor de la cartera) quedará registrada cada cesión de datos y ¡por fin! existirá un mecanismos para tener constancia de todas las veces en las que se formula el consentimiento para que empresas y entidades hagan uso de nuestros datos, en un contexto en el que el Reglamento General de Protección de Datos da una pauta de nuestros derechos pero no aclara como ejercerlos de manera adecuada.

No necesitaremos una libreta para ir apuntando cada vez que nos piden permiso para tener nuestros datos y junto a la anotación la forma de ejercer frente a la entidad los derechos SOPLAR.

El documento que resume la funcionalidad de la Cartera IDUE y el futuro ecosistema lo ha elaborado el Grupo de Expertos EIDAS creado al efecto cuando se anunció la Propuesta de modificación del Reglamento EIDAS y la versión que existe ahora mismo es la de febrero de 2022. Se denomina «ARF» (European Digital Identity Architecture and Reference Framework – Outline).

Se anunció que el 30 de octubre de 2022 se publicaría una nueva versión, pero todavía no se ha publicado.

Video de mi charla en Tecnowebinars sobre Criptografía postcuántica y EIDAS2


El pasado 18 de mayo de 2022 participé como ponente en uno de los eventos organizados por Tecnowebinars, en este caso bajo el auspicio de EADTrust.

Daniel Alguacil fue el introductor.

La charla está dividida en 2 partes.

Una sobre los posibles algoritmos de criptografía de clave pública resistentes a la computación cuantica, con el reto que supone el algoritmo de Shor, que surgirán del proceso de selección desarrollado por el NIST.

Y la otra sobre el reto que supondrá en Europa la modificación del Reglamento EIDAS (EIDAS2), sobre todo en relación con la EUDI Wallet (European Union Digital Identity Wallet). En español, Cartera IDUE (Cartera de Identidad Digital de la Unión Europea).

Posteriormente, en julio de 2022, se publicó por el NIST la selección de algoritmos de criptografía de clave pública de la fase 3 del proceso de de selección de este tipo de algoritmos resistentes a la computación cuántica. Entre otros, dos de los algoritmos seleccionados han sido CRYSTALS KYBER para el intecambio de claves y CRYSTALS DILITHIUM para la firma digital.

El informe del NIST «Status Report on the Third Round of the NIST Post-Quantum Cryptography Standardization Process» está disponible en https://t.co/0i9Jn10lpi

Jornada “Europa Conectada: Claves para la integración digital” el jueves 22 de septiembre en Paterna


El Instituto de Robótica y Tecnologías de la Información y la Comunicación (IRTIC) de la Universitat de València (UV) acoge la jornada “Europa Conectada: Claves para la integración digital” el próximo jueves 22 de septiembre a las 9:30 horas.

La entrada al evento, situado en el salón de actos del primer piso del Parc Científic de la Universidad de Valencia por la entrada de la calle Catedrático José Beltrán, 2, en Paterna, es libre y gratuita.

Durante la sesión, se ofrecerán varias ponencias por parte de profesionales del sector centradas en la relación entre las administraciones públicas y los ciudadanos a través de servicios digitales, las claves de futuros proyectos de innovación en el ámbito europeo y el camino seguido por los casos de éxito en convocatorias Connecting Europe Facility (CEF) anteriores.

Con el fin de facilitar el diseño de certificados de asistencia y el coffee break, así como garantizar el aforo, la organización del evento agradece que las personas interesadas en la jornada a rellenen este formulario indicando sus datos de contacto: https://encuestas.uv.es/index.php/952652.

La agenda provisional de la jornada es la siguiente:

FINANCIACIÓN DE ACTIVIDADES DE INNOVACIÓN

09:30 Bienvenida e introducción a la jornada.

09:40 Líneas de financiación europeas. José Vilar, IVACE

10:00 Líneas de financiación regionales y nacionales. Óscar David, Inndrómeda

EUROPA CONECTADA: RETOS ACTUALES Y FUTUROS

10:20 Administración pública digital y ciudadanía. Ernesto Faubel, Ayuntamiento de València

10:40 Identidad digital: Del eIDAS al eIDAS2. Julián Inza, Trust Conformity Assessment Body

11:00 La privacidad del individuo en la Europa digital. Ricard Martínez, Universitat de València

11:20 PAUSA (coffee break)

CASOS DE ÉXITO

11:50 Visión general de proyectos recientes: tendencia a la estandarización de servicios digitales. José Rocha, LMT Group

12:10 Experiencia de entidades en proyectos CEF Digital.

  • LODRoadTran18 – CEF Open Data. Fernanda Peset, Universitat Politècnica de València
  • AS4EDI2020 – CEF eDelivery. Santi Casas, ValidatedID
  • eID4Spain2020 – CEF eIdentification. Teresa Bonet, Ayuntamiento de Torrent.
  • EUROLogin2020 – CEF eIdentification. Ignacio Sánchez, Universitat de València

12:50 Preguntas y respuestas

13:00 Clausura

La jornada aglutina las actividades de innovación tecnológica alineadas con las prioridades de la Comisión Europea, que en la actualidad está impulsando la denominada «EUDI Wallet» Cartera de identidad digital europea, que se generalizará una vez se apruebe el nuevo Reglamento europeo que modiica el vigente Regamento 910/2014 (EIDAS),

Se puede solicitar más información al IRTI a través de este enlace.

Aportación del Parlamento español al proceso legislativo europeo conducente a la modificación del Reglamento UE nº 910/2014 (EIDAS)


El Parlamento español remitió al Parlamento europeo en octubre de 2021 su primer informe respecto al proceso legislativo relativo a la propuesta de Reglamento siguiente: «Proposal for a Regulation of the European Parliament and of the Council amending Regulation (EU) No 910/2014 as regards establishing a framework for a European Digital Identity»

Este es el documento remitido (en PDF).

Y aquí la transcripción del infome:

INFORME 28/2021 DE LA COMISIÓN MIXTA PARA LA UNIÓN EUROPEA, DE 23 DE SEPTIEMBRE DE 2021, SOBRE LA APLICACIÓN DEL PRINCIPIO DE SUBSIDIARIEDAD POR LA PROPUESTA DE REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO POR EL QUE SE MODIFICA EL REGLAMENTO (UE) N.o 910/2014 EN LO QUE RESPECTA AL ESTABLECIMIENTO DE UN MARCO PARA UNA IDENTIDAD DIGITAL EUROPEA [COM (2021) 281 FINAL] [COM (2021) 281 FINAL ANEXO] [2021/0136 (COD)] {SEC (2021) 228 FINAL} {SWD (2021) 124 FINAL}{SWD (2021) 125 FINAL}

ANTECEDENTES

A. El Protocolo sobre la aplicación de los principios de subsidiariedad y proporcionalidad, anejo al Tratado de Lisboa de 2007, en vigor desde el 1 de diciembre de 2009, ha establecido un procedimiento de control por los Parlamentos nacionales del cumplimiento del principio de subsidiariedad por las iniciativas legislativas europeas. Dicho Protocolo ha sido desarrollado en España por la Ley 24/2009, de 22 de diciembre, de modificación de la Ley 8/1994, de 19 de mayo. En particular, los nuevos artículos 3 j), 5 y 6 de la Ley 8/1994 constituyen el fundamento jurídico de este informe.

B. La Propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se modifica el Reglamento (UE) n.0 910/2014 en lo que respecta al establecimiento de un Marco para una Identidad Digital Europea, ha sido aprobada por la Comisión Europea y remitida a los Parlamentos nacionales, los cuales disponen de un plazo de ocho semanas para verificar el control de subsidiariedad de la iniciativa, plazo que concluye el 4 de octubre de 2021.

C. La Mesa y los Portavoces de la Comisión Mixta para la Unión Europea, el 14 de septiembre de 2021, adoptaron el acuerdo de proceder a realizar el examen de la iniciativa legislativa europea indicada, designando como ponente al Diputado D. José María Sánchez García (GVOX), y solicitando al Gobierno el informe previsto en el artículo 3 j) de la Ley 8/1994.

D. Se ha recibido informe del Gobierno en el que se manifiesta la conformidad de la iniciativa con el principio de subsidiariedad. Asimismo, se han recibido informes del Parlamento Vasco y del Parlamento de Cantabria comunicando el archivo de expediente o la no emisión de dictamen motivado.

E. La Comisión Mixta para la Unión Europea, en su sesión celebrada el 23 de septiembre de 2021, aprobó el presente

INFORME

1.- El artículo 5.1 del Tratado de la Unión Europea señala que «el ejercicio de las competencias de la Unión se rige por los principios de subsidiariedad y proporcionalidad’. De acuerdo con el artículo 5.3 del mismo Tratado, «en virtud del principio de subsidiariedad la Unión intervendrá sólo en caso de que, y en la medida en que, los objetivos de la acción pretendida no puedan ser alcanzados de manera suficiente por los Estados miembros, ni a nivel central ni a nivel regional y local, sino que puedan alcanzarse mejor, debido a la dimensión o a los efectos de la acción pretendida, a escala de la Unión«.

2.- La Propuesta legislativa analizada se basa en el artículo 114 del Tratado de Funcionamiento de la Unión Europea, que establece lo siguiente:

«Artículo 114

1. Salvo que los Tratados dispongan otra cosa, se aplicarán las disposiciones siguientes para la consecución de los objetivos enunciados en el artículo 26. El Parlamento Europeo y el Consejo, con arreglo al procedimiento legislativo ordinario y previa consulta al Comité Económico y Social, adoptarán las medidas relativas a la aproximación de las disposiciones legales, reglamentarias y administrativas de los Estados miembros que tengan por objeto el establecimiento y el funcionamiento del mercado interior.
( ….
)
10. Las medidas de armonización anteriormente mencionadas incluirán, en los casos apropiados, una cláusula de salvaguardia que autorice a los Estados miembros a adoptar, por uno o varios de los motivos no económicos indicados en el artículo 36, medidas provisionales sometidas a un procedimiento de control de la Unión.»

3.- La Propuesta de Reglamento sobre la que se informa lo es de modificación del Reglamento (UE) n.0 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior.

Luego la materia es relativa al mercado interior por lo que dicha materia es de competencia compartida entre la Unión y los Estados miembros (art.4.2.a) del Tratado de Funcionamiento de la Unión Europea.

Por consiguiente, debe ser examinada la conformidad de la Propuesta de Reglamento analizada con el principio de subsidiariedad.

La Propuesta de Reglamento sobre la que se informa se ordena a la armonización en la prestación de servicios de confianza, así como de la seguridad, tanto para los ciudadanos que utilicen una identidad digital europea con fines de representación en línea como para los proveedores de servicios en línea, de modo tal que puedan confiar plenamente en las soluciones de identidad digital y aceptarlas con independencia de dónde se hayan expedido.

Dicha armonización o aproximación de legislaciones (de los Estados miembros) – tal y como la denomina el capítulo 3 del Título VII del Tratado de Funcionamiento de la Unión Europea- es de suyo subsidiaria toda vez que es difícil concebir la armonización general de todas las legislaciones nacionales de los Estados miembros por otro sujeto que no sea la propia Unión Europea, si nos atenemos al concepto de subsidiariedad ex artículo 5.3 del Tratado citado, con la salvedad de que el contenido objetivo de la Propuesta de Reglamento analizada no fuese propiamente armonizador. No parece verificarse esta hipótesis de excepción.

Cumple censurar, no obstante y por último, el tenor hermético y de perfiles cuasi esotéricos de la exposición de motivos recibida, que precede a la Propuesta de Reglamento, cuando se afirma en ella lo siguiente: «ofrece un instrumento adecuado para establecer la estructura de interoperabilidad necesaria para la creación de un ecosistema de identidad digital a escala de la UE basado en identidades legales expedidas por los Estados miembros y en la provisión de atributos de identidad digital cualificados y no cualificados«.

Además, incurre dicho texto en una petición de principio al justificar la proporcionalidad, sabido que la Propuesta de Reglamento es armonizadora, así: «Supone una contribución clara al objetivo de mejorar el mercado único digital a través de un marco jurídico más armonizado«.

CONCLUSIÓN

Por los motivos expuestos, la Comisión Mixta para la Unión Europea entiende que la Propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se modifica el Reglamento (UE) n.• 910/2014 en lo que respecta al establecimiento de un Marco para una Identidad Digital Europea, es conforme al principio de subsidiariedad establecido en el vigente Tratado de la Unión Europea.

Proyectos Piloto a gran escala para impulsar la adopcion de la cartera de identidad europea EUDIWallet


Ayer, 17 de agosto de 2022 se cerró la licitación para optar a desarrollar los proyectos piloto a gran escala (LSP, Large-Scale Pilots) para implantar los prototipos de carteras de identidad digital que son la base de uno de los mayores cambios previstos con la modificación del Reglamento UE 910/2014 (EIDAS) que se está preparando tras la publicación el año pasado de la propuesta inicial de modificación del Reglamento EIDAS y que, de momento, estamos denominando «EIDAS2«. Se trata de la Licitación de pilotos a gran escala para el Marco Europeo de Identidad Digital de la Comisión Europea (Tender for Large Scale Pilots for European Digital Identity Framework).

Joerg Lenz ha difundido en LinkedIn un interesante resumen sobre los consorcios identificados para desarrollar este tipo de proyectos, y merece la pena recogerlo aquí. en español, para general conocimiento.

Algunos consorcios de empresas y organizaciones gubernamentales que mostraron interés en participar en estos pilotos han creado páginas web para describir el enfoque de su participación.

Se espera que en octubre o noviembre de 2022 se comunique oficialmente la información sobre los consorcios que se han presentado a la convocatoria y los que se han seleccionado. Podría haber más que los aquí recogidos.

Los consorcios que se han identificado son los siguientes:

POTENTIAL aborda seis casos de uso: registro electrónico de una tarjeta SIM, apertura de cuentas, permiso de conducir electrónico, servicios de gobierno electrónico, firma electrónica y receta electrónica. El sitio web contiene breves declaraciones sobre los objetivos y visiones de cada caso de uso. El consorcio reúne a 148 participantes de 19 Estados miembros de la UE y Ucrania.

El consorcio NOBID se ocupa de la emisión de carteras, la emisión de medios de pago y la aceptación de pagos.

EL Consorcio DC4EU trata eID, VCs, Educational Credentials and professional qualifications,  Social Security y contempla 23 países, incluida Ucrania.

El Consorcio «EUDI Wallet Consortium (EWC)» se centra especialmente en las credenciales digitales de viaje, la identificación organizativa y los pagos. Reúne a participantes de todos los Estados miembros de la UE más el Reino Unido y Ucrania. Desde el 17 de agosto, el sitio web actualizado también contiene información sobre casos de uso y experiencia de usuario (user journey).

El objetivo de la Comisión Europea es contar con al menos 4 proyectos piloto a gran escala para probar el despliegue de la Cartera Europea de Identidad Digital en casos de uso prioritarios y en relación con el principio de «una sola vez» bajo el reglamento de la Pasarela Digital Única (Single Digital Gateway). Estos proyectos piloto desplegarán la Cartera Europea de Identidad Digital (European Union Digital Identity Wallet o EUDI Wallet) en los ecosistemas nacionales de identificación electrónica de los Estados miembros, contando con la interoperabilidad transfronteriza de la identidad como elemento base de diseño, sin necesidad de modelos de reconocimiento muto que se consideara que no han funcionado en el despliegue del «EIDAS 1«.

Es interesante conocer igualmente el material difundido por la Comisión Europea para dar apoyo a la convocatoria: Material para la convocatoria de «Apoyo a la aplicación del Marco Digital Europeo» (Material for the call to provide «Support to the implementation of the European Digital Framework»). El material disponible incluye presentaciones, charlas e información recopilada en los dos seminarios web dedicados a la convocatoria. Adicionalmente hay una sección de preguntas frecuentes con información adicional y aclaraciones en la página web de la convocatoria.

EUDI Wallet

Certificados de empleado público ¿con número de identificación profesional o con seudónimo?


El Real Decreto 1671/2009, de 6 de noviembre, por el que se desarrolla parcialmente la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los servicios públicos se modificó por el Real Decreto 668/2015, de 17 de julio, por el que se modifica el Real Decreto 1671/2009, de 6 de noviembre, por el que se desarrolla parcialmente la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los servicios públicos.

La modificación fue necesaria para incluir los «certificados electrónicos de empleado público con seudónimo» ya que…

El cumplimiento de las funciones legales atribuidas a estas instituciones y organismos públicos, así como la utilización, en su caso, de información clasificada para ese cumplimiento, hace necesario que en estos ámbitos la firma electrónica del personal al servicio de aquellas instituciones no esté basada en un certificado electrónico vinculado al nombre y apellidos del titular y a su número de documento nacional de identidad, requisitos que actualmente y sin excepción alguna exige el citado artículo 22 Real Decreto 1671/2009, de 6 de noviembre.

Por estas razones, se hace necesaria la modificación de este precepto añadiendo un nuevo apartado que permita el uso del certificado electrónico de empleado público mediante un seudónimo. Dicha reforma compatibiliza esta facultad de expedir certificado de empleado público con las obligaciones de revelar la verdadera identidad de los funcionarios y empleados públicos afectados en el caso de ser requerida por los órganos judiciales en el ejercicio de sus funciones o a tenor de lo previsto en el artículo 11.2 de la Ley Orgánica 15/1999, de 13 de diciembre.

En el mismo sentido, la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Públic, en su artículo 43.2 indica

Cada Administración Pública determinará los sistemas de firma electrónica que debe utilizar su personal, los cuales podrán identificar de forma conjunta al titular del puesto de trabajo o cargo y a la Administración u órgano en la que presta sus servicios. Por razones de seguridad pública los sistemas de firma electrónica podrán referirse sólo el número de identificación profesional del empleado público.

Pero, tal como se explicó en el artículo de ayer «¿Debe constar el número de DNI en los certificados cualificados expedidos en España?» la Ley 6/2020 «obliga » a consignar el número de DNI (o CIF o NIE) o usar un pseudónimo incumplienndo el Reglamento EIDAS.

El artículo 43 de la Ley 40/2015 se ha desarrollado en el Real Decreto 203/2021 mediante el artículo 23:

1. Sin perjuicio de lo previsto en el artículo 22.3 de este Reglamento, de acuerdo con lo previsto en el artículo 43.2 de la Ley 40/2015, de 1 de octubre, los prestadores cualificados de servicios de confianza podrán consignar un número de identificación profesional en el certificado electrónico de empleado público, a petición de la Administración en la que presta servicios el empleado o empleada de que se trate, si dicho certificado se va a utilizar en actuaciones que afecten a información clasificada, a la seguridad pública, a la defensa nacional o a otras actuaciones para cuya realización esté legalmente justificado el anonimato. Estos certificados se denominarán «certificados electrónicos de empleado público con número de identificación profesional».

(…)

3. La Administración solicitante del certificado conservará la documentación acreditativa de la identidad del titular.

Nótese que la denominación indicada («Estos certificados se denominarán «certificados electrónicos de empleado público con número de identificación profesional».) contrasta con la utilizada en el artículo 22 del Real Decreto 1671/2009,tras la modificación del Real Decreto 668/2015 («Estos certificados se denominarán certificados electrónicos de empleado público con seudónimo».)

Por tanto, si se considerara que es obligatorio consignar el número de DNI (o CIF o NIE) en los certificados cualificados, no podrían expedirse «certificados electrónicos de empleado público con número de identificación profesional». Y para pode usar la alternativa prevista en la Ley 6/2020 (el pseudónimo), la norma (RD 203/2021) debería mencionar de forma expresa la posibilidad de seudónimo como ya lo hacía el Real Decreto 668/2015.

¿Conclusión?

¿Debe constar el número de DNI en los certificados cualificados expedidos en España?


La Ley 6/2020 recoge en su Artículo 6 (sobre «Identidad y atributos de los titulares de certificados cualificados.»

  1. La identidad del titular en los certificados cualificados se consignará de la siguiente forma:
  • En el supuesto de certificados de firma electrónica y de autenticación de sitio web expedidos a personas físicas, por su nombre y apellidos y su número de Documento Nacional de Identidad, número de identidad de extranjero o número de identificación fiscal, o a través de un pseudónimo que conste como tal de manera inequívoca. Los números anteriores podrán sustituirse por otro código o número identificativo únicamente en caso de que el titular carezca de todos ellos por causa lícita, siempre que le identifique de forma unívoca y permanente en el tiempo.
  • En el supuesto de certificados de sello electrónico y de autenticación de sitio web expedidos a personas jurídicas, por su denominación o razón social y su número de identificación fiscal. En defecto de este, deberá indicarse otro código identificativo que le identifique de forma unívoca y permanente en el tiempo, tal como se recoja en los registros oficiales.
  1. Si los certificados admiten una relación de representación incluirán la identidad de la persona física o jurídica representada en las formas previstas en el apartado anterior, así como una indicación del documento, público si resulta exigible, que acredite de forma fehaciente las facultades del firmante para actuar en nombre de la persona o entidad a la que represente y, en caso de ser obligatoria la inscripción, de los datos registrales.

Sin embargo, el Reglamento europeo EIDAS, establece en el Artículo 4 (sobre el «Principio del mercado interior»

  1. No se impondrá restricción alguna a la prestación de servicios de confianza en el territorio de un Estado miembro por un prestador de servicios de confianza establecido en otro Estado miembro por razones que entren en los ámbitos cubiertos por el presente Reglamento.
  2. Se permitirá la libre circulación en el mercado interior de los productos y servicios de confianza que se ajusten al presente Reglamento.

Por tanto, la normativa española estaría imponiendo una restricción a la prestación de servicios de confianza que excede a lo que prevé el Reglamento Europeo y restringiendo opciones a los prestadores de servicios de confianza españoles. Lo cual está expresamente prohibido por el Reglamento UE nº 910/2014, que, por cierto, es una norma de rango superior a la Ley 6/2020 española.

Prueba de que la intención del legislador europeo es la de definir diferentes mecanismos de numeración es que el Anexo I (sobre «REQUISITOS DE LOS CERTIFICADOS CUALIFICADOS DE FIRMA ELECTRÓNICA») indica:

Los certificados cualificados de firma electrónica contendrán:

a) una indicación, al menos en un formato adecuado para el procesamiento automático, de que el certificado ha sido expedido como certificado cualificado de firma electrónica;

b) un conjunto de datos que represente inequívocamente al prestador cualificado de servicios de confianza que expide los certificados cualificados, incluyendo como mínimo el Estado miembro en el que dicho prestador está establecido, y

— para personas jurídicas: el nombre y, cuando proceda, el número de registro según consten en los registros oficiales,

para personas físicas, el nombre de la persona;

c) al menos el nombre del firmante o un seudónimo; si se usara un seudónimo, se indicará claramente;

d) datos de validación de la firma electrónica que correspondan a los datos de creación de la firma electrónica;

e) los datos relativos al inicio y final del período de validez del certificado;

f) el código de identidad del certificado, que debe ser único para el prestador cualificado de servicios de confianza;

g) la firma electrónica avanzada o el sello electrónico avanzado del prestador de servicios de confianza expedidor;

h) el lugar en que está disponible gratuitamente el certificado que respalda la firma electrónica avanzada o el sello electrónico avanzado a que se hace referencia en la letra g);

i) la localización de los servicios que pueden utilizarse para consultar el estado de validez del certificado cualificado;

j) cuando los datos de creación de firma electrónica relacionados con los datos de validación de firma electrónica se encuentren en un dispositivo cualificado de creación de firma electrónica, una indicación adecuada de esto, al menos en una forma apta para el procesamiento automático.

Es decir, es el Prestador el que define la forma de codificar el código de identidad del certificado.

En el mismo sentido se establece el principio recogido en el considerando 54:

La interoperabilidad y el reconocimiento transfronterizos de los certificados cualificados es un requisito previo para el reconocimiento transfronterizo de las firmas electrónicas cualificadas. Por consiguiente, los certificados cualificados no deben estar sometidos a ningún requisito obligatorio que exceda de los requisitos establecidos en el presente Reglamento. No obstante, en el plano nacional debe permitirse la inclusión de atributos específicos, por ejemplo identificadores únicos, en los certificados cualificados, a condición de que tales atributos específicos no comprometan la interoperabilidad y el reconocimiento transfronterizos de los certificados y las firmas electrónicas cualificados.

Y, en el plano técnico, la interoperabilidad se resuelve haciendo uso del estándar europeo destinado para ello, la norma ETSI EN 319 412-1 Y en esta norma se ve (apartado «5.1.3 Natural person semantics identifier») que son varias las posibilidades de codificar números de identidad, que no se limitan a recoger el número de DNI:

The semantics of id-etsi-qcs-SemanticsId-Natural shall be as follows.

When the natural person semantics identifier is included, any present serialNumber attribute in the subject field shall contain information using the following structure in the presented order:

  • 3 character natural person identity type reference;
  • 2 character ISO 3166-1 [2] country code;
  • hyphen-minus «-» (0x2D (ASCII), U+002D (UTF-8)); and
  • identifier (according to country and identity type reference).

The three initial characters shall have one of the following defined values:

  1. «PAS» for identification based on passport number.
  2. «IDC» for identification based on national identity card number.
  3. «PNO» for identification based on (national) personal number (national civic registration number).
  4. «TAX» for identification based on a personal tax reference number issued by a national tax authority. Thisvalue is deprecated. The value «TIN» should be used instead.
  5. «TIN» Tax Identification Number according to the European Commission – Tax and Customs Union (https://ec.europa.eu/taxation_customs/tin/tinByCountry.html).
  6. Two characters according to local definition within the specified country and name registration authority, identifying a national scheme that is considered appropriate for national and European level, followed by the character «:» (colon).

Other initial character sequences are reserved for future amendments of the present document.

EXAMPLES: "PASSK-P3000180", "IDCBE-590082394654" and "EI:SE-200007292386".

When a locally defined identity type reference is provided (two characters followed by «:»), the nameRegistrationAuthorities element of SemanticsInformation (IETF RFC 3739) shall be present and shall contain at least a uniformResourceIdentifier generalName. The two letter identity type reference preceding the «:» character shall be unique within the context of the specified uniformResourceIdentifier.

Por tanto, dada la posibilidad de hacer constar otros números de identificación de la persona física a criterio del Prestador de Servicios de Certificación y la limitación impuesta a los estados miembro que les prohíbe legislar en lo que ya legisla el Reglamento EIDAS, no sería obligatorio hacer constar el número de DNI.

Seminario Internacional Reniec 2022


Hoy comienza a las 16:00 horas de España (y de Europa central) el Seminario Internacional Reniec 2022 con el lema «Identificación para un Perú Digital” en el que participo como ponente. Se extiende del 12 al 14 de julio de 2022 y tiene lugar de 09 a 13 horas, según huso horario de Perú (de 16:00 a 20:00 según horario de España).

Seminario Internacional RENIEC 2022

Este evento ha tenido lugar de forma presencial durante pasadas ediciones en Lima (Perú) y en esta ocasión el formato es «on line».

La inscripción es gratuita (ver formulario en la parte de abajo de la página).

El hashtag del eveneto será #SeminarioReniecDigital2022

El Seminario tiene como objetivo fortalecer los conocimientos previos, compartir las experiencias nacionales e internacionales y construir oportunidades para un intercambio efectivo de buenas prácticas en los temas de identificación y registros civiles.

El Seminario lo organiza el Registro Nacional de Identificación y Estado Civil (RENIEC) y el Banco Interamericano de Desarrollo (BID), y presenta conferencias y paneles. Comienza con una ceremonia inaugural.

Se tratarán diversos temas, “Avances del Sistema de Identificación en el Perú” a cargo de la Jefa Nacional de RENIEC, Carmen Velarde Koechlin, “Arquitecturas Organizacionales Sostenibles o Resilientes” a cargo de Juan Carlos Miranda, Manager Regional de Centro América y VP de Consultoría de Krüger Corporation, “El Valor de la Identificación para el Desarrollo de las Personas” a cargo de Bernard Norvant, “Integración de Sistemas de Registro Civil e Identificación” a cargo de Sharon Sinclair, Directora Nacional del Registro Civil del Tribunal Electoral de Panamá.

El día 13, se expondrá, “Identidad Digital y Estándares Internacionales” a cargo de Stephanie de Labriolle, Gerente de Asuntos Públicos y Relaciones Internacionales, Secure Identity Alliance, “Tecnologías de Identificación Emergentes / Experiencias de la Automatización para la Identificación” a cargo de Jose Luis Hernández, Especialista Senior de Gobierno Digital del Banco Interamericano de Desarrollo y Julián Inza, Consultor Internacional y Especialista en Nuevas Tecnologías, “Gobierno Digital en Países Lideres en Economía Digital” a cargo Jose Clastornik, Ex director general del Proyecto BID en OSCE.

El día 14 de julio se expondrán, “Servicios Digitales del Estado para Ciudadanos” a cargo del representante del Ministerio del Interior de Korea, “La Identificación Electronica como componente clave de la Digitalización de un país” a cargo de Erika Piirmets de Digital transformation adviser en e-Estonia Briefing Centre, “Gestión del Cambio y Transformación Cultural” a cargo de Gabriel Weinstein, “Organizaciones Agiles” a cargo de Jean Barroca, Consultor en Modernización Digital del Sector Publico en Deloite.