A Carteira Europeia de Identidade Digital chega em dezembro de 2026: como preparar-se

Até 24 de dezembro de 2026, todos os Estados-Membros da UE têm de disponibilizar pelo menos uma Carteira Europeia de Identidade Digital aos seus cidadãos e residentes. É uma obrigação legal com data marcada, não um ponto num roteiro. Nem todos os Estados estarão prontos no dia: o ministério alemão do digital agendou a sua carteira, a d-you, para 2 de janeiro de 2027, e alguns Estados-Membros estão ainda mais atrasados.

Um ano depois, em dezembro de 2027, uma longa lista de organizações passa a ter a obrigação legal de a aceitar. Bancos, operadores de transportes, fornecedores de energia, serviços de saúde, telecomunicações, serviços postais, instituições de ensino e operadores de infraestruturas digitais estão todos nessa lista, juntamente com quem já é obrigado a usar autenticação forte dos utilizadores.

Para todos os outros, a aceitação é facultativa. Ainda assim, vale a pena perceber como funciona, porque a carteira resolve vários problemas em que as empresas gastam hoje bastante dinheiro, e mal.

O que é, afinal, a carteira

A Carteira Europeia de Identidade Digital nasce do Regulamento eIDAS revisto, normalmente chamado eIDAS 2. É uma aplicação móvel que guarda atributos de identidade e credenciais verificados, emitidos por entidades de confiança, que o utilizador pode apresentar de forma seletiva a quem os pedir.

Há três características que a distinguem dos sistemas de identidade que a maioria dos sites usa hoje.

É garantida pelo Estado. A identidade guardada na carteira deriva de um sistema nacional de identificação eletrónica. Não é um perfil autodeclarado.

Permite a divulgação seletiva. Um utilizador pode provar que tem mais de dezoito anos sem revelar a data de nascimento, ou provar que reside num Estado-Membro sem revelar a morada. É esta a parte com mais consequências práticas para o desenho de produto.

Funciona além-fronteiras. Uma carteira emitida na Eslovénia tem de ser aceite por partes utilizadoras na Alemanha. É essa a razão de ser do regulamento, e é precisamente o que os sistemas nacionais de identidade nunca conseguiram assegurar.

A par das carteiras para cidadãos, a Comissão propôs uma Carteira Europeia de Empresas para pessoas coletivas, pensada para a representação de empresas, mandatos e troca de documentos oficiais entre empresas e autoridades públicas. A proposta surgiu com o pacote Omnibus Digital em novembro de 2025. O Conselho adotou a sua posição de negociação em 9 de junho de 2026 e, em 10 de setembro de 2026, a comissão da indústria do Parlamento (ITRE) aprovou o seu relatório, juntamente com um mandato para negociar com o Conselho. Ainda está longe, mas se o seu produto envolve identidade de empresas, mandatos ou troca de documentos B2B, é o dossiê a acompanhar.

Em que ponto está realmente a implementação

O grau de preparação varia imenso de Estado-Membro para Estado-Membro, e convém ser realista quanto a isso.

Vários países já lançaram implementações nacionais antes do prazo. A França tem a France Identité, a Áustria tem os eAusweise, a Itália tem a IT-Wallet. Outros estão mais atrasados, e alguns vão cumprir o prazo de dezembro de 2026 com uma primeira versão limitada, sem o conjunto completo de funcionalidades.

Os Estados-Membros podem cumprir a obrigação de três formas: desenvolver e emitir eles próprios uma carteira, mandatar um terceiro para o fazer, ou reconhecer uma carteira desenvolvida pelo setor privado. Isto significa que o ecossistema com que vai fazer a integração não será uniforme, e é exatamente por isso que as especificações de interoperabilidade são importantes.

O papel de parte utilizadora

Se quer aceitar credenciais da carteira, torna-se uma parte utilizadora (relying party), e trata-se de um papel sujeito a registo, não de algo informal.

O processo, em linhas gerais:

1. Registe-se junto da entidade de registo nacional. Declara que atributos tenciona pedir e com que finalidade. É um controlo a sério, não um formulário. Não se pode registar para pedir o conjunto completo de dados de identidade de um cidadão só porque um dia pode dar jeito.
2. Obtenha os certificados de acesso de parte utilizadora. Autenticam-no perante as carteiras e permitem ao utilizador ver quem está a pedir os dados.
3. Implemente os protocolos de apresentação. Pedir credenciais, receber uma apresentação, verificá-la.
4. Verifique criptograficamente. Validação de assinaturas, validação da cadeia de confiança contra a lista de confiança da UE, verificação de revogação.
5. Peça o mínimo. Aqui, a minimização de dados está imposta pela própria estrutura. Se se registou para verificar a idade, pode pedir uma declaração de idade, não uma data de nascimento.

Este último ponto merece destaque, porque inverte a integração de identidade habitual. Na maioria dos sistemas recebe um conjunto de dados e decide o que guardar. Aqui declara de antemão o que pode pedir, e a arquitetura impede-o de recolher em excesso. É um modelo genuinamente melhor, e significa que a sua avaliação de impacto sobre a proteção de dados para a verificação de identidade fica bastante mais curta.

As normas com que vai lidar

A pilha técnica assenta em várias especificações e, se está a dimensionar o trabalho, estas são as siglas que vão aparecer:

• ISO/IEC 18013-5, a norma da carta de condução móvel, que fornece o modelo de apresentação por proximidade e boa parte da conceção do formato das credenciais.
• W3C Verifiable Credentials, para o modelo de dados das credenciais.
• OpenID for Verifiable Presentations e OpenID for Verifiable Credential Issuance, para os fluxos de pedido e de emissão na web.
• SD-JWT, para a divulgação seletiva de afirmações individuais.
• O EUDI Architecture and Reference Framework, publicado pela Comissão, que é o documento que junta tudo e que deve ler antes de fazer qualquer estimativa.

Nada disto é exótico se a sua equipa já trabalhou com OpenID Connect. Mas é bastante diferente de uma integração de login SAML ou OIDC, porque está a verificar credenciais criptograficamente em vez de confiar na asserção de sessão de um fornecedor de identidade.

Onde a carteira resolve um problema real

Conformidade à parte, há vários casos em que isto é simplesmente melhor do que o que existe hoje.

Verificação da idade

É o caso de utilização mais imediato, e está a ser promovido com força. A Comissão Europeia tem instado os Estados-Membros a terem soluções de verificação da idade a funcionar até 31 de dezembro de 2026, e publicou uma aplicação de verificação da idade em código aberto como solução de transição até as carteiras estarem amplamente disponíveis. O objetivo de conceção é que a plataforma receba apenas um token de idade, um sim ou um não, sem data de nascimento nem qualquer outro atributo.

Se explora algo com restrição de idade (álcool, jogo, conteúdos para adultos, certos produtos financeiros) ou uma plataforma sujeita às expectativas de proteção de menores do Regulamento dos Serviços Digitais, é este o mecanismo que lhe permite verificar a idade sem construir uma base de dados de documentos de identificação digitalizados. Essa base de dados é um passivo que hoje carrega sem uma boa razão.

Onboarding e KYC

Hoje, um onboarding regulado implica carregar documentos, provas de vida, revisão manual e uma fila de espera. Uma apresentação da carteira substitui tudo isto por uma verificação criptográfica que fica concluída em segundos, com maior nível de garantia e sem imagens de documentos para guardar.

Para bancos, seguradoras, serviços de criptoativos e qualquer outra entidade que faça KYC, a diferença de custo é significativa. Além disso, elimina o conjunto de dados mais sensível que a maioria das empresas detém.

Serviços transfronteiriços

Se serve clientes em vários Estados-Membros, mantém hoje integrações com uma manta de retalhos de sistemas nacionais de identidade, ou desistiu e usa a digitalização de documentos em todo o lado. Uma única integração com a carteira cobre todos.

Formulários com menos atrito

Nome, morada e contactos verificados, apresentados numa só ação em vez de escritos num formulário. É uma melhoria na conversão e também na qualidade dos dados.

O que fazer agora

A resposta honesta para a maioria das empresas é: por enquanto, pouco, mas há algumas coisas baratas que vale a pena fazer.

Se é uma parte utilizadora obrigada, com prazo em dezembro de 2027, comece já. Os processos de registo são novos e lentos, as implementações nacionais variam e vai querer fazer um piloto num mercado antes de se comprometer. Doze meses não é muito para uma integração regulada.

Se não é obrigado, mas faz verificação da idade, analise isto a sério nos próximos trimestres. Guardar documentos de identificação para saber se alguém tem dezoito anos é um mau negócio, e agora existe uma alternativa.

Se faz KYC ou verificação de identidade, calcule a poupança. A nossa experiência é que o caso de negócio costuma sustentar-se sozinho, sem qualquer argumento de conformidade.

Se nada disto se aplica, faça uma coisa: garanta que a sua camada de identidade está abstraída. Se o código da sua aplicação chama um serviço de autenticação e não o SDK de um fornecedor específico, acrescentar suporte para a carteira mais tarde é um novo adaptador. Se a lógica de login está espalhada pelos controladores, é preciso reescrever tudo.

O que vai correr mal

Com base no modo como estes lançamentos costumam decorrer, conte com o seguinte.

Disponibilidade desigual. Alguns Estados-Membros vão arrancar com funcionalidades limitadas. Prepare-se para o caso de um utilizador num país ter uma carteira completa e um utilizador noutro não ter, e mantenha o seu percurso alternativo atual.

Adoção lenta pelos utilizadores. Estar disponível não é estar a ser usado. Mesmo em países com sistemas nacionais de eID maduros, a penetração demorou anos. Não elimine os fluxos alternativos.

Atrito no registo. Os processos das entidades de registo nacionais são novos. Conte com mais tempo do que a documentação sugere.

Deriva das especificações. O Architecture and Reference Framework já foi revisto várias vezes e voltará a sê-lo. Isole o tratamento dos protocolos atrás de uma interface, para que uma atualização da especificação não toque na sua lógica de negócio.

Onde isto se enquadra

A carteira é uma das peças mais construtivas da atual agenda digital da UE. Quase todo o resto impõe obrigações. Esta, quando funcionar, elimina uma categoria de infraestrutura cara e arriscada que as empresas constroem hoje por não terem alternativa.

O nosso guia de conformidade digital da UE para 2026 mostra como se articula com os outros prazos, e o guia de engenharia para o RGPD trata da camada de proteção de dados que qualquer trabalho de identidade tem de cumprir.

Construímos sistemas de autenticação e identidade para empresas que operam na UE e estamos já a trabalhar em integrações de partes utilizadoras. Se quer ajuda para perceber o que exigiria aceitar a carteira na sua pilha tecnológica, ou se tem uma obrigação para dezembro de 2027 e nenhum plano, escreva para office@c9group.dev. Há mais sobre o nosso trabalho na Europa na página de entrada no mercado.