Subir una foto del documento de identidad se ha convertido en un gesto tan rutinario que apenas nos detenemos a pensar en él. Lo hacemos para abrir una cuenta bancaria, para alquilar un coche, para contratar una tarifa móvil o para acceder a determinados servicios digitales. En cada uno de esos trámites entregamos una copia completa de un documento que contiene mucha más información de la que el servicio necesita realmente. Esa desproporción, evidente cuando uno se para a mirarla, está en el origen de un cambio técnico que se está cocinando en Europa y que promete alterar bastante la forma en que demostramos quiénes somos en internet.
El problema de fondo: damos demasiado para probar muy poco
Piénselo con un ejemplo cotidiano. Para comprar una botella de vino en una tienda online, el comercio necesita saber una única cosa: que el comprador es mayor de edad. Sin embargo, el procedimiento habitual consiste en pedirle una copia del DNI, un documento que revela además su nombre completo, su fecha exacta de nacimiento, su número de identificación, su nacionalidad, su fotografía y, en el reverso, sus datos de filiación.
El comercio obtiene la respuesta que buscaba, sí, pero también acaba almacenando en algún servidor un paquete de datos personales que no necesitaba y que ahora tiene la obligación de custodiar. Y cuando ese servidor sufre una brecha de seguridad, algo que ocurre con una frecuencia incómoda, lo que se filtra no es el dato de que alguien era mayor de edad: es el documento entero.
Multiplicado por las decenas de servicios en los que una persona se registra a lo largo de los años, el resultado es que cada uno de nosotros tiene copias de su documento de identidad repartidas por un número indeterminado de bases de datos sobre las que no ejerce ningún control.
La alternativa: demostrar un atributo sin enseñar el documento
La solución técnica que se está imponiendo en el diseño de los nuevos sistemas se llama credencial verificable, y la idea de fondo es sencilla aunque la criptografía que hay debajo no lo sea tanto.
En lugar de entregar el documento, el usuario guarda en su móvil una credencial firmada digitalmente por una autoridad de confianza, por ejemplo la administración que emitió su DNI. Cuando un servicio necesita comprobar algo, no pide el documento: pide la confirmación de un atributo concreto. La credencial responde "esta persona es mayor de 18 años" y adjunta una firma criptográfica que el servicio puede verificar como auténtica sin llegar a conocer el nombre, la fecha de nacimiento ni el número del titular.
El servicio obtiene una respuesta fiable. El usuario no entrega nada más que esa respuesta. Y no queda ninguna copia del documento circulando por servidores ajenos.
Europa ya está construyendo la infraestructura
Esto no es un ejercicio teórico. El reglamento europeo de identidad digital, la actualización del marco conocido como eIDAS, obliga a los Estados miembros a poner a disposición de sus ciudadanos una cartera de identidad digital, y España trabaja en su propia implementación.
La cartera funcionará como un contenedor seguro en el móvil donde el usuario guarde sus credenciales oficiales: identidad, permiso de conducir, títulos académicos, certificados profesionales. Cuando un servicio requiera comprobar algo, el usuario autorizará la consulta desde el propio dispositivo y compartirá únicamente el dato solicitado.
El planteamiento invierte la lógica actual. Hoy la información viaja del usuario al servicio y se queda allí. Con este modelo, la información permanece en el dispositivo del usuario y lo que viaja es una respuesta puntual y verificable.
Dónde se está aplicando primero
Los sectores que van por delante en la adopción son, previsiblemente, aquellos donde la verificación de edad o de identidad es una obligación legal y no una preferencia.
El comercio de productos restringidos por edad ha sido uno de los primeros terrenos de prueba, junto con las plataformas de contenido para adultos, sometidas en varios países europeos a normas de verificación obligatoria que han generado un debate intenso sobre privacidad. El sector financiero avanza por su cuenta, empujado por la normativa de prevención del blanqueo, que exige identificar al cliente pero no especifica que haya que hacerlo mediante una fotocopia.
El juego online es probablemente el caso más ilustrativo, porque en él conviven ahora mismo modelos de verificación muy distintos según la jurisdicción que emite la licencia del operador. Los operadores con licencia española aplican el estándar más exigente y verifican la identidad antes de permitir cualquier retirada de fondos, mientras que en otros marcos regulatorios han surgido opciones interesantes desde el punto de vista técnico, con esquemas de verificación diferida o por umbrales que reducen la fricción del registro y trasladan el control al momento en que el dinero sale de la plataforma. Conviene recordar que se trata de una actividad reservada a mayores de 18 años en cualquiera de esos marcos.
Lo que todavía no está resuelto
Sería ingenuo presentar esta transición como un cambio limpio y sin aristas. Hay al menos tres problemas abiertos que condicionan el calendario.
El primero es la brecha digital. Un sistema que depende de un teléfono móvil compatible y de cierta soltura tecnológica deja fuera a una parte de la población, y en comarcas con población envejecida esa parte no es pequeña. Cualquier despliegue serio tiene que mantener vías alternativas durante un periodo largo.
El segundo es la concentración. Si la cartera de identidad acaba dependiendo de un puñado de proveedores tecnológicos, se habrá cambiado un problema de dispersión por uno de dependencia. El diseño europeo intenta evitarlo mediante estándares abiertos e interoperabilidad obligatoria, pero la ejecución dirá.
El tercero es la trazabilidad. Un sistema mal diseñado podría permitir que el emisor de la credencial registre cada consulta y reconstruya así el rastro completo de actividad del titular. Las especificaciones incorporan mecanismos para impedirlo, y su implementación efectiva será la prueba de fuego de todo el modelo.
Un cambio silencioso
La verificación de identidad no es un tema que genere titulares, y sin embargo condiciona buena parte de la experiencia digital cotidiana. Que el trámite pase de entregar un documento completo a confirmar un dato puntual es, en términos de privacidad, una mejora considerable.
El calendario europeo apunta a un despliegue progresivo en los próximos años, con un periodo de convivencia entre el sistema actual y el nuevo. Probablemente pasará un tiempo antes de que la mayoría note el cambio, y llegará el día en que subir una foto del DNI a una web parecerá tan anticuado como enviar un fax.