Part usuària de l'EUDI Wallet: registre, certificats i obligacions
Com ser part usuària de la cartera europea d'identitat digital (EUDI Wallet): registre de l'article 5b, certificats d'accés i registre, sol·licituds OpenID4VP, què podeu demanar, deures i llista per al 24 de desembre de 2027.
En resum
Una part usuària de la cartera europea d'identitat digital (EUDI Wallet) és una empresa o un organisme públic que es basa en les carteres europees d'identitat digital (EUDI) per prestar un servei i demana als usuaris que presentin dades de la cartera. S'ha de registrar a l'Estat membre on està establerta (art. 5b(1)), declarar les dades que sol·licitarà i obtenir un certificat d'accés que l'autentica davant la cartera.[1][2]
- Les empreses privades regulades que han d'utilitzar l'autenticació forta d'usuari han d'acceptar la cartera a petició de l'usuari a tot tardar el 24 de desembre de 2027. Les microempreses i les petites empreses n'estan exemptes.[1]
- No pots sol·licitar mai més atributs dels que has registrat.[1]
- La verificació dels certificats de registre per part de la cartera només s'aplica a partir de l'11 d'agost de 2028.[3]
Cada Estat membre de la UE ha de proporcionar una EUDI Wallet a tot tardar el 24 de desembre de 2026 en virtut de l'eIDAS 2, el Reglament (UE) 2024/1183, que modifica el Reglament (UE) núm. 910/2014.[1] La cartera conté dades d'identificació de la persona (PID) amb un nivell de garantia (LoA) alt. Una part usuària (RP) sol ser un banc, una asseguradora, un operador de telecomunicacions o una plataforma.
Si la identificació electrònica (eID) és nova per a tu, comença per què és la verificació eID.
Què exigeix la llei a una part usuària de l'EUDI Wallet
Tres disposicions de l'eIDAS modificat defineixen aquest paper: l'article 5b estableix el registre i les obligacions que comporta, l'article 5f indica qui ha d'acceptar la cartera i l'article 5b(10) inclou els intermediaris en l'àmbit d'aplicació.[1]
Article 5b(1)Reglament (UE) núm. 910/2014, modificat pel Reglament (UE) 2024/1183
"Quan una part usuària tingui la intenció de basar-se en les carteres europees d'identitat digital per a la prestació de serveis públics o privats mitjançant interacció digital, la part usuària s'ha de registrar a l'Estat membre on estigui establerta."
Font: EUR-Lex, Reglament (UE) 2024/1183[1]
L'article 5f determina si has d'acceptar la cartera:[1]
| Qui | Obligació d'acceptació | Termini segons el text |
|---|---|---|
| Organismes del sector públic | Quan es requereix eID per a un servei en línia (art. 5f(1)) | Consulta la normativa nacional |
| Parts privades obligades per llei o per contracte a utilitzar l'autenticació forta d'usuari | Només a petició voluntària de l'usuari (art. 5f(2)) | 24 de desembre de 2027 |
| Microempreses i petites empreses | Exemptes de l'art. 5f(2) | Cap |
| Plataformes en línia de mida molt gran | Quan requereixin autenticació d'usuari, només les dades mínimes (art. 5f(3)) | Sense data pròpia |
Atenció
Els sectors que esmenta l'article 5f(2) (banca, energia, salut, telecomunicacions i altres) són exemples; el que activa l'obligació és el deure d'autenticació forta. L'ús de la cartera continua sent voluntari, i cal mantenir oberts altres canals (art. 5a(15)).[1]
Sobre els intermediaris, l'article 5b(10) diu: "Els intermediaris que actuïn en nom de parts usuàries es consideraran parts usuàries i no emmagatzemaran dades sobre el contingut de la transacció."[1]
Com registrar-se com a part usuària de la cartera europea d'identitat digital (EUDI Wallet)
Us registreu una sola vegada, a l'estat membre on esteu establerts. El registre ha de ser "rendible i proporcionat al risc" i recull, com a mínim, el vostre estat membre, el nom, el número de registre, les dades de contacte i "l'ús previst de les carteres europees d'identitat digital, inclosa una indicació de les dades que se sol·licitaran".[1] Les normes detallades, el Reglament d'Execució (UE) 2025/848, s'apliquen a partir del 24 de desembre de 2026.[2]
El Marc d'Arquitectura i Referència (ARF) hi afegeix tres punts: l'encarregat del registre recull dades "només amb finalitats de transparència", sense autorització prèvia; una part usuària "pot registrar-se diverses vegades"; i "l'emissió de certificats d'accés a una part usuària registrada és obligatòria".[4]
1Definiu cada cas d'ús
El servei i els atributs que necessita.
2Registreu-vos al vostre estat membre
Identitat, contactes, ús previst, dades sol·licitades.
3Rebeu un certificat d'accés
Obligatori per a tota part usuària registrada.
El vostre estat membre emet certificats de registre
Rebeu un certificat de registre
Enumera els atributs registrats.
Us baseu en el registre
La vostra inscripció continua limitant el que podeu sol·licitar.
4Desenvolupeu, proveu i passeu a producció
Sol·licituds signades, comprovacions de les respostes, un canal alternatiu.
Registre d'acord amb l'article 5b i el Reglament d'Execució (UE) 2025/848, de manera simplificada.[1][2][4]
Els models nacionals són diferents (més informació a Llançament de l'EUDI Wallet per país i L'EUDI Wallet d'Alemanya):
| Estat membre | Què diu el govern |
|---|---|
| Alemanya | Una organització es registra, és identificada i rep un certificat d'accés i un certificat de registre per a l'organització i el cas d'ús ("EUDI Wallet Hub DE"). L'aplicació estatal de cartera està prevista per a principis de 2027.[7] |
| Dinamarca | La cartera, AltID, s'està implantant per fases; el seu registre actual de parts usuàries "encara no és un registre de parts usuàries d'eIDAS 2.0".[9] |
| Països Baixos | La NL Wallet pública està en desenvolupament i segueix la legislació nacional d'aplicació.[10] |
Certificats d'accés i certificats de registre
Dos certificats porten el vostre registre a cada transacció:[2][3][4]
| Certificat d'accés (WRPAC) | Certificat de registre | |
|---|---|---|
| Què és | "Un certificat de segells o signatures electròniques que autentica i valida la part usuària de la cartera" | "Un objecte de dades que descriu l'ús previst de la part usuària i indica els atributs" que ha registrat |
| Emès per | Un proveïdor de certificats d'accés | Quan l'Estat membre ho exigeix |
| Obligatori | Sí | Una opció de l'Estat membre |
| Estàndard | ETSI TS 119 475; el certificat final per a l'identificador de client x509_hash d'OpenID4VP | Es transmet al paràmetre verifier_info de la sol·licitud |
| La cartera el comprova | En cada presentació, abans de mostrar la sol·licitud | A partir de l'11 d'agost de 2028 |
El considerant 6 del Reglament d'Execució (UE) 2026/1731 diu que la comprovació "només s'hauria d'aplicar a partir de l'11 d'agost de 2028". El text dispositiu que afegeix al Reglament d'Execució (UE) 2024/2982 diu "l'article 3(4) serà aplicable a partir de l'11 d'agost de 2028".[3] L'article 5b(3) us vincula des del principi, tant si una cartera fa la comprovació com si no.[1]
- 30 d'abril de 2024eIDAS 2Es publica el Reglament (UE) 2024/1183.
- 24 de desembre de 2026Termini de les carteresS'apliquen les normes de registre.
- 24 de desembre de 2027AcceptacióParts usuàries privades regulades.
- 11 d'agost de 2028ComprovacionsEs comproven els certificats de registre. Retrat a la PID.
Les dates que una part usuària (RP) té en compte per planificar. Vegeu terminis de la cartera europea d'identitat digital (EUDI Wallet) per al 2026 i el 2027.[1][2][3]
La sol·licitud: què envia un verificador de l'EUDI Wallet
La PID s'emet com a SD-JWT VC (un JSON Web Token de divulgació selectiva) o en el format ISO/IEC mdoc.[3] A l'ARF, mdoc serveix per a l'ús de proximitat i SD-JWT VC per a l'ús remot, i les carteres admeten tots dos formats (vegeu SD-JWT VC vs mdoc).[4] La llei fixa dos perfils de presentació, un perfil ISO/IEC-mdoc i un perfil OpenID4VC-HAIP. L'ARF enumera aquestes combinacions remotes:[3][4]
| Protocol | Transport | ARF v3.0.0 |
|---|---|---|
| OpenID for Verifiable Presentations (OpenID4VP) | Redireccions i esquemes d'URI personalitzats | Compatible |
| OpenID4VP | W3C Digital Credentials API | Compatible |
| ISO/IEC 18013-7 | W3C Digital Credentials API | Compatible (annex C a la norma) |
| ISO/IEC 18013-7 | Redireccions i esquemes d'URI personalitzats | Opcional |
En un sol dispositiu, el navegador passa al telèfon un enllaç com openid4vp://, que obre la cartera. En un ordinador, el lloc web mostra un codi QR. L'ARF adverteix que els fluxos entre dispositius amb URI personalitzats "són vulnerables a atacs de pesca electrònica (phishing) i de retransmissió" i remet a la Digital Credentials API com a alternativa.[4] El detall de les sol·licituds és a la guia del verificador OpenID4VP. La seqüència mostra el cas d'un sol dispositiu; amb un codi QR, la resta és idèntica:
Verifica la teva identitat
Comparteix les teves dades des de la teva cartera europea d'identitat digital (EUDI Wallet).
Continua a la cartera
Fes servir un altre mètode
1Mateix dispositiu: el botó passa un enllaç openid4vp:// a la cartera. Els altres mètodes continuen oberts.[1][4]
Example Bank sol·licita
- CognomsCompartit
- NomCompartit
- Data de naixementCompartit
- AdreçaNo compartit
2La mateixa cartera identifica el teu servei (art. 5b(8)) i enumera els atributs sol·licitats.[4]
Aprova la sol·licitud
Comparteix només el que triïs.
Comparteix
Rebutjar
3L'usuari aprova o rebutja.[4]
Dades rebudes
4El vostre servei valida el que ha rebut.[1]
Vídeo pendent: flow-eudi-openid4vp
Una presentació amb la cartera europea d'identitat digital (EUDI Wallet) mitjançant OpenID4VP, de principi a fi.
Què podeu demanar
El registre és la manera com la llei fa complir la minimització de dades: "Les parts usuàries no sol·licitaran als usuaris que proporcionin cap dada diferent de les indicades" en el seu registre (article 5b(3)). Les carteres admeten la divulgació selectiva, i no podeu rebutjar els pseudònims quan el dret de la Unió o el dret nacional no exigeixin la identificació (article 5b(9)).[1]
El que podeu esperar ho determinen els atributs de les PID del Reglament d'execució (UE) 2024/2977. Aquí els relacionem amb les dades del client que demana el Reglament de la UE contra el blanqueig de capitals (AMLR):[3][5]
| Dades que necessiteu | Atribut de les PID | A les PID |
|---|---|---|
| Noms | family_name, given_name | Obligatori |
| Data i lloc de naixement | birth_date, birth_place | Obligatori |
| Nacionalitat | nationality | Obligatori |
| Número d'identificació nacional | personal administrative number | Opcional |
| Adreça | camps d'adreça | Opcional |
| Número d'identificació fiscal | Cap | No figura al PID |
| Retrat | retrat | Opcional fins a l'11 d'agost de 2028 |
El retrat és opcional al PID fins a l'11 d'agost de 2028,[3] així que no doneu per fet que podreu fer una comparació facial amb el retrat de la cartera abans d'aquesta data. Preveieu una altra via. L'article 22(6)(b) de l'AMLR accepta la identificació electrònica de nivell substancial o alt.[11] El projecte final de normes tècniques de regulació de l'Autoritat de Lluita contra el Blanqueig de Capitals (AMLA) en virtut de l'article 28(1) de l'AMLR (30 de setembre de 2026, enviat a la Comissió, encara no és dret vigent) diu que això "inclou les carteres europees d'identitat digital" i que els atributs que faltin s'obtenen "per altres mitjans".[12]
Llistes de confiança i les comprovacions que feu
El Reglament d'Execució (UE) 2024/2980 regula les notificacions que fan els estats membres sobre l'ecosistema de la cartera, i l'ARF v3.0.0 obté els ancoratges de confiança de les llistes de confiança (ETSI TS 119 612) i de les llistes d'entitats de confiança (ETSI TS 119 602).[4][6] La cartera les fa servir per comprovar el vostre certificat d'accés. Vosaltres les feu servir per comprovar l'emissor del PID.
L'article 5b(9) us fa "responsables de dur a terme el procediment d'autenticació i validació" del PID.[1] A l'ARF, la cartera us autentica, compara la sol·licitud amb el vostre registre i demana el consentiment a l'usuari. Després, vosaltres verifiqueu la signatura, comproveu la revocació i comproveu la vinculació al dispositiu perquè una credencial copiada o reproduïda falli.[4]
Mostra el vostre nom i els atributs
Una presentació remota simplificada, basada en la secció 6.6.3 de l'ARF v3.0.0.[4]
Les vostres obligacions: cap seguiment, cap sol·licitud excessiva
Els proveïdors de carteres garanteixen la "inobservabilitat" (considerant 32), i els emissors d'atestacions no poden fer el seguiment, vincular ni correlacionar l'ús sense el consentiment explícit de l'usuari (art. 5a(16)).[1] Les obligacions que us corresponen:
| Obligació | Article | A la pràctica |
|---|---|---|
| Demanar només les dades registrades | 5b(3) | Un conjunt d'atributs per cas d'ús |
| Identificar-vos davant l'usuari | 5b(8) | El vostre nom apareix a la cartera |
| Autenticar i validar el PID | 5b(9) | Signatura, revocació, vinculació |
| Acceptar pseudònims quan no calgui la identificació | 5b(9) | Cap PID complet per a un servei que no en necessita |
| Els intermediaris no emmagatzemen el contingut de les transaccions | 5b(10) | Comproveu el vostre proveïdor |
| Mantingueu altres vies d'accés | 5a(15) | La cartera afegeix una via |
Nota
Els usuaris disposen d'un tauler amb les parts usuàries amb què han compartit dades. Des d'aquest tauler poden sol·licitar-ne la supressió o denunciar una part usuària davant l'autoritat de protecció de dades (article 5a(4)(d)).[1]
Quant costa esdevenir part usuària
La cartera ha de ser gratuïta per a les persones físiques (article 5a(13)). Per a les parts usuàries, el Reglament només exigeix que el registre sigui "eficient en costos i proporcionat al risc" (article 5b(2)).[1]
Què se sap a 5 d'octubre de 2026
Les fonts oficials en què es basa aquesta guia no publiquen cap tarifa per al registre ni per als certificats d'accés. L'única xifra oficial és la d'Alemanya: la seva llei de la cartera estima uns €13.5 milions de cost únic i €1.1 milions anuals per a les empreses, i un estalvi anual d'uns €121.7 milions per a l'administració.[8]
Llista de comprovació de preparació abans de desembre de 2027
Itàlia va informar de 10.1 milions d'activacions d'IT-Wallet a 17 de febrer de 2026,[13] i, segons Euronews (15 de setembre de 2026), diversos estats membres van amb retard.
- Confirmeu si l'article 5f(2) us és aplicable.[1]
- Feu correspondre les vostres dades de diligència deguda amb els atributs PID i busqueu una font per a cada mancança.[12]
- Registreu cada cas d'ús i obteniu un certificat d'accés.[4]
- Trieu els vostres perfils: OpenID4VC-HAIP, ISO/IEC-mdoc o tots dos.[3]
- Implementeu les comprovacions de signatura, de revocació i de vinculació al dispositiu.[4]
- Doneu preferència a la Digital Credentials API per als fluxos entre dispositius.[4]
- Feu proves en un entorn de proves (sandbox) nacional on n'hi hagi, com el d'Alemanya.[7]
- Mantingueu una via documental per als usuaris sense cartera.[1]
Com us ajuda Didit a preparar-vos per a la cartera europea d'identitat digital (EUDI Wallet)
L'acceptació de l'EUDI Wallet arribarà aviat a Didit, en el mateix flux de treball que les eID nacionals i els documents que ja podeu utilitzar avui.
Cinc eID nacionals funcionen en producció en set països mitjançant carteres d'identitat digital: MitID, BankID Sweden, el Finnish Trust Network, Smart-ID i Mobile-ID. Activeu-les a la consola a Workflows, al pas ID Verification, a Countries i després a Wallets accepted. Cadascuna retorna el nom complet, la data de naixement, un identificador de l'esquema (per exemple, el personnummer suec; MitID retorna un identificador pseudonimitzat, no el número CPR), el nivell de garantia que ha declarat l'esquema i una comprovació de signatura.[14] Els usuaris que no en tenen passen a la captura de documents amb lectura del xip NFC, detecció de vida i coincidència facial. Una verificació KYC completa costa $0.33, la verificació NFC $0.15 i el cribratge AML $0.20. Compareu els esquemes a la pàgina de verificació eID i a esquemes eID per país. Els preus de les carteres són a la pàgina de preus.
Didit proporciona
- Inicis de sessió amb eID nacionals i la via documental en un sol flux de treball
- Cribratge AML i l'evidència de cada comprovació
- Acceptació de l'EUDI Wallet, properament
Queda al vostre càrrec
- El vostre registre com a part usuària i els atributs declarats
- Si l'article 5f(2) us és aplicable
- L'avaluació de riscos i la decisió d'incorporació del client
Planifiqueu amb nosaltres el desplegament de la cartera europea d'identitat digital (EUDI Wallet)
Expliqueu-nos els vostres mercats i casos d'ús, i comenceu avui amb els eID nacionals i els documents.
Punts clau
- Els certificats d'accés són obligatoris. Els certificats de registre són una opció de cada Estat membre, i la comprovació que en fa la cartera s'aplica a partir de l'11 d'agost de 2028.
- Les parts usuàries privades regulades han d'acceptar la cartera a més tardar el 24 de desembre de 2027, a petició de l'usuari.
- El PID no inclou el número fiscal, i l'adreça i la fotografia hi són opcionals: mantingueu una altra via.
Preguntes freqüents
Què és una part usuària de l'EUDI Wallet?
Una empresa o un organisme públic que es basa en l'EUDI Wallet per prestar un servei i demana als usuaris que hi presentin dades. L'article 5b l'obliga a registrar-se primer.[1]
On m'he de registrar com a part usuària?
A l'Estat membre on està establerta la vostra organització, no a cada país on viuen els vostres usuaris. El registre deixa constància de qui sou i de les dades que teniu intenció de sol·licitar.[1]
Quina diferència hi ha entre un certificat d'accés i un certificat de registre?
El certificat d'accés us autentica davant la cartera en cada presentació, i cada part usuària registrada en rep un. El certificat de registre descriu l'ús previst i els atributs registrats. Els Estats membres decideixen si l'emeten.[2][4]
Quan han de comprovar les carteres els certificats de registre?
A partir de l'11 d'agost de 2028, la data d'aplicació que el Reglament d'execució (UE) 2026/1731 fixa per a l'article 3(4) del Reglament d'execució (UE) 2024/2982.[3] La norma segons la qual només podeu sol·licitar dades registrades s'aplica des del principi.[1]
La meva empresa ha d'acceptar l'EUDI Wallet a més tardar el desembre de 2027?
Només si la llei o un contracte us exigeix fer servir l'autenticació forta d'usuari per a la identificació en línia i no sou una microempresa ni una petita empresa. En aquest cas, l'heu d'acceptar a més tardar el 24 de desembre de 2027, quan un usuari demani fer-la servir.[1]
Quins protocols he d'admetre?
La llei estableix dos perfils de presentació: OpenID4VC-HAIP, basat en OpenID4VP, i un perfil ISO/IEC-mdoc que utilitza la ISO/IEC 18013-7 per als fluxos remots.[3] L'ARF també recull tots dos sobre la W3C Digital Credentials API.[4]
Puc demanar l'adreça o el número fiscal de l'usuari?
Només si els heu registrat. L'adreça és opcional al PID i el número fiscal no en forma part, de manera que preveieu una altra font.[1][5]
Una presentació amb l'EUDI Wallet és suficient per a la diligència deguda amb el client de l'AMLR?
L'article 22(6)(b) de l'AMLR accepta l'eID de nivell substancial o alt, i el projecte final de normes tècniques de regulació de l'AMLA indica que això inclou les EUDI Wallets.[11][12] Aquestes normes encara no són llei, i els atributs que faltin s'han d'obtenir per altres mitjans.[12]
Puc fer servir un intermediari?
Sí. L'article 5b(10) estableix que un intermediari que actua en nom vostre es considera part usuària i no ha d'emmagatzemar dades sobre el contingut de la transacció.[1] Pregunteu al vostre registrador nacional com s'ha de fer constar en el vostre registre.
Quant costa el registre com a part usuària?
El Reglament exigeix que el registre sigui eficient en costos i proporcionat al risc.[1] A data de 5 d'octubre de 2026, les fonts oficials d'aquesta guia no publiquen cap tarifa per al registre ni per als certificats d'accés. L'única xifra oficial que hem trobat és l'estimació d'Alemanya per a la seva llei de la cartera en conjunt: uns €13.5 milions de cost puntual i €1.1 milions anuals per a les empreses.[8]
Fonts
- Reglament (UE) 2024/1183 (eIDAS 2), EUR-Lex, Diari Oficial del 30 d'abril de 2024. Articles 5a, 5b, 5d, 5f i considerant 32.
- Reglament d'Execució (UE) 2025/848 sobre el registre de les parts usuàries de carteres, EUR-Lex, Diari Oficial del 7 de maig de 2025.
- Reglament d'Execució (UE) 2026/1731, EUR-Lex, Diari Oficial del 22 de juliol de 2026 (formats, perfils, retrat, comprovacions del certificat de registre).
- Marc d'arquitectura i de referència v3.0.0, Comissió Europea, 23 de juliol de 2026.
- Reglament d'Execució (UE) 2024/2977 sobre les dades d'identificació de la persona, EUR-Lex, Diari Oficial del 4 de desembre de 2024.
- Reglament d'Execució (UE) 2024/2980 sobre les notificacions relatives a l'ecosistema de carteres, EUR-Lex, Diari Oficial del 4 de desembre de 2024.
- Preguntes freqüents sobre la cartera europea d'identitat digital (EUDI Wallet), Govern federal alemany, consultat el 5 d'octubre de 2026.
- Digitale Identitätengesetz, primera lectura, Bundestag alemany, 23 de setembre de 2026.
- eIDAS2 i la cartera d'identitat digital, Agència Danesa de Govern Digital, consultat el 5 d'octubre de 2026.
- Cartera d'identitat, Govern neerlandès (NL Digital Government), consultat el 5 d'octubre de 2026.
- Reglament (UE) 2024/1624 (AMLR), EUR-Lex, Diari Oficial del 19 de juny de 2024, article 22(6).
- Informe final, projecte d'RTS en virtut de l'article 28(1) de l'AMLR, AMLA, 30 de setembre de 2026 (projecte final, no és dret vigent).
- IT-Wallet supera els 10 milions d'activacions, Departament per a la Transformació Digital d'Itàlia, 17 de febrer de 2026.
- Carteres d'identitat digital, documentació de Didit.
Més informació sobre com acceptar la cartera a la pàgina de l'EUDI Wallet i a eIDAS 2, explicat.
Comenceu amb les eID que els vostres usuaris ja tenen
Gestioneu les eID nacionals i la via documental en un sol flux de treball mentre es desplega l'EUDI Wallet.
Articles relacionats
- Integració de Cl@ve a Espanya: qui s'hi pot connectar i què fer servir en lloc seu
- Verificació PhilSys: com comproven les empreses el National ID
- Guia OpenID4VP: verificar i acceptar la cartera europea d'identitat digital (EUDI Wallet)
- Reglament eIDAS explicat: què canvia eIDAS 2 (2024/1183)
- API de Smart-ID: guia de la RP API v3 per a desenvolupadors
- Identitat digital nacional al món: models, líders i estàndards