EUDI Wallet: ce inseamna pentru companii

Pana la sfarsitul lui 2026, fiecare stat membru UE trebuie sa puna la dispozitia cetatenilor cel putin un portofel european de identitate digitala (EUDI Wallet). Majoritatea discutiei publice trateaza subiectul ca pe un proiect de guvernare electronica — ceva ce priveste statul si cetateanul, nu compania dvs. Este o perceptie gresita: din momentul in care organizatia devine „relying party” (adica verifica sau accepta date din portofel), apare o operatiune noua de prelucrare a datelor cu caracter personal, cu toate obligatiile GDPR pe care le presupune.

Ce este, de fapt, EUDI Wallet

Portofelul european de identitate digitala este o aplicatie mobila, emisa sau certificata de fiecare stat membru, prin care cetatenii si rezidentii UE pot stoca si partaja selectiv documente si atribute de identitate — carte de identitate, permis de conducere, diplome, calificari profesionale — recunoscute juridic in toate cele 27 de state membre.

Baza legala este Regulamentul (UE) 2024/1183, cunoscut drept „eIDAS 2.0”, care modifica vechiul Regulament eIDAS (910/2014) si a intrat in vigoare la 20 mai 2024.

Cele doua termene care conteaza

Retineti doar doua date, restul sunt detalii tehnice:

• Sfarsitul lui 2026 (termen frecvent citat: 24 decembrie 2026) — fiecare stat membru trebuie sa ofere cetatenilor cel putin un portofel certificat.
• Sfarsitul lui 2027 (24 decembrie 2027) — prestatorii privati de servicii care sunt obligati, prin lege sau prin contract, sa foloseasca autentificarea puternica a utilizatorului (de exemplu in banking, telecomunicatii, sanatate, energie, transport) trebuie sa accepte portofelul, la cererea utilizatorului. Obligatia nu depinde de sector in sine, ci de existenta acestei cerinte de autentificare, si exista o exceptie pentru microintreprinderi si intreprinderile mici (art. 5f). Platformele online foarte mari au o obligatie proprie.

Important: folosirea portofelului ramane voluntara (art. 5a alin. 15). Statele membre nu pot restrange accesul la servicii publice sau private pentru persoanele care aleg sa nu il foloseasca. Pentru companii, consecinta practica este ca trebuie pastrata in paralel o metoda alternativa de identificare.

Arhitectura: controlul sta la utilizator, nu la stat

Portofelul stocheaza datele local, pe dispozitivul utilizatorului, si permite dezvaluire selectiva — de exemplu, pentru verificarea varstei, aplicatia poate confirma „peste 18 ani” fara sa dezvaluie data nasterii sau alte date din document. Acest principiu de proiectare se suprapune direct peste minimizarea datelor ceruta de art. 5 alin. (1) lit. (c) GDPR, ceea ce face din EUDI Wallet unul dintre putinele proiecte de infrastructura publica construite explicit pe logica „privacy by design”.

Un semnal la care merita sa fiti atenti: multe materiale de prezentare (inclusiv cel din care pornim aici) eticheteaza arhitectura drept „self-custodial” — un termen imprumutat din lumea criptomonedelor. Functional, ideea e corecta (cheile si datele stau la utilizator, nu intr-o baza de date centrala), dar termenul nu apare in textul regulamentului si nu garanteaza, de la o tara la alta, aceeasi implementare tehnica. Nu luati eticheta ca pe o specificatie.

Unde se afla Romania, concret

Proiectul romanesc se numeste RoEUDIW. Guvernul a anuntat ca va prelua solutia open-source dezvoltata de Germania, pentru a evita construirea infrastructurii de la zero. Roluri institutionale stabilite pana acum:

• Ministerul Economiei, Digitalizarii, Antreprenoriatului si Turismului — supravegheaza ecosistemul EUDIW.
• Ministerul Afacerilor Interne (MAI) — furnizeaza aplicatia mobila si infrastructura back-end, emite datele de identificare a persoanei (PID) si credentialele de verificare a varstei.
• STS — emite certificatele de acces pentru participantii din ecosistem (furnizori de portofel, emitenti etc.) si administreaza registrul.

La data redactarii (1 octombrie 2026), Romania nu are inca un portofel functional in productie. MAI a publicat la sfarsitul lunii august 2026 site-ul oficial (rowallet.gov.ro) si documentatia tehnica pe GitHub (rowallet-documentation, rowallet-pid). Calendarul anuntat de MAI prevede o versiune de test pe 31 octombrie 2026, certificarea versiunii 1 si o lansare beta limitata pe 22 decembrie 2026, iar lansarea publica pe 14 ianuarie 2027. Daca acest calendar se mentine, lansarea publica ar fi ulterioara termenului UE din decembrie 2026.

Prima versiune va include doar datele de identificare a persoanei (PID) si verificarea varstei; permisul de conducere si diplomele sunt prevazute pentru etape ulterioare. Calendarul poate fi ajustat, asa ca recomandam verificarea stadiului curent pe site-ul oficial inainte de orice decizie operationala.

Ce inseamna pentru dvs., din perspectiva GDPR

Daca organizatia va integra verificarea prin EUDI Wallet — pentru onboarding clienti, autentificare, semnatura electronica sau verificarea varstei — apar cel putin trei puncte de atentie:

1. Temei legal si actualizarea registrului de activitati de prelucrare. Verificarea datelor din portofel este o prelucrare noua si trebuie documentata ca atare, cu temei legal clar (de regula, executarea unui contract sau o obligatie legala, nu consimtamant implicit).
2. DPIA, daca e cazul. Daca fluxul de onboarding implica verificare biometrica pentru legarea identitatii de dispozitiv, o evaluare a impactului asupra protectiei datelor (art. 35 GDPR) trebuie luata in calcul din start, nu adaugata ulterior.
3. Contractele cu furnizorii tehnici. Relatia cu furnizorul de solutie de verificare a portofelului trebuie analizata din perspectiva rolurilor operator/persoana imputernicita (art. 28 GDPR) — nu presupuneti automat ca furnizorul e doar un „canal tehnic” fara obligatii contractuale.

Ce inseamna pentru dvs., din perspectiva AI Act — si o confuzie pe care o vedem des

Daca verificarea de identitate din fluxul dvs. foloseste potrivire faciala automata (compararea unui selfie live cu fotografia din document), multi presupun automat ca sistemul intra in categoria de risc ridicat din Regulamentul AI. Nu este corect ca regula generala.

Anexa III a Regulamentului AI exclude explicit din categoria de risc ridicat sistemele de verificare biometrica al caror scop unic este confirmarea ca o persoana este cine pretinde ca este (verificare 1:1). Sunt considerate de risc ridicat sistemele de identificare biometrica de tip 1:N (compararea unei persoane cu o baza de date, pentru a afla cine este). Diferenta dintre „confirma ca esti tu” si „afla cine esti din multime” este exact linia de demarcatie din regulament — si e ratata frecvent in materialele de conformitate disponibile public.

Asta nu inseamna ca fluxul dvs. e automat scutit de orice obligatie — depinde de proiectarea exacta a sistemului si de alte prevederi aplicabile (inclusiv restrictiile GDPR art. 9 privind datele biometrice). Inseamna ca incadrarea corecta merita o analiza punctuala, nu o presupunere de tip „e biometrie, deci e risc ridicat”.

La Battlegroup tratam consultanta de guvernanta AI ca serviciu structural separat de mandatul de DPO, tocmai pentru a pastra independenta functiei de DPO conform art. 38 GDPR — cele doua analize (protectia datelor si incadrarea AI Act) se fac cu rigoare proprie fiecareia, nu ca o anexa una la cealalta.

Ce ar trebui sa faceti acum

• Identificati daca si unde organizatia va deveni „relying party” pentru EUDI Wallet (autentificare clienti, semnatura, verificare varsta, KYC).
• Actualizati maparea fluxurilor de date pentru a include acest scenariu, chiar daca portofelul romanesc nu e inca live.
• Daca folositi sau sunteti obligati sa folositi autentificarea puternica a utilizatorului, tratati decembrie 2027 ca termen de proiect, nu ca data indepartata, si pastrati o alternativa pentru cei care nu folosesc portofelul.
• Nu presupuneti incadrarea AI Act fara o analiza punctuala a scopului exact al sistemului de verificare.

Cum va putem ajuta

Daca organizatia dvs. va deveni „relying party” pentru EUDI Wallet — autentificare clienti, KYC, semnatura electronica, verificare varsta — aveti nevoie de un DPO care sa mapeze acest flux nou de prelucrare inainte sa fie pus in productie, nu dupa un control ANSPDCP. Ca DPO extern, Battlegroup poate prelua:

• actualizarea registrului de activitati de prelucrare cu noile fluxuri legate de portofel;
• evaluarea temeiului legal si, unde e cazul, realizarea DPIA (art. 35 GDPR);
• revizuirea contractelor cu furnizorii tehnici din perspectiva rolurilor operator/persoana imputernicita (art. 28 GDPR).

Programati o discutie cu echipa noastra de DPO — cu cat incepeti maparea mai devreme, cu atat integrarea e mai putin costisitoare cand portofelul romanesc devine functional.

Separat, daca fluxul dvs. de verificare a identitatii foloseste potrivire biometrica, oferim — ca serviciu distinct de mandatul de DPO, tocmai pentru a pastra independenta acestuia conform art. 38 GDPR — consultanta de guvernanta AI pentru incadrarea corecta a sistemului conform Regulamentului AI (evitand atat supra-conformarea inutila, cat si subestimarea riscului).

Concluzie

EUDI Wallet nu este doar un proiect de digitalizare a administratiei publice. Este o schimbare de infrastructura care va genera, pentru orice companie ce interactioneaza cu identitatea clientilor ei, obligatii noi de conformitate GDPR si, in anumite scenarii, obligatii din Regulamentul AI. Termenele legale sunt fixe; stadiul real al proiectelor nationale — inclusiv al celui romanesc — se misca. Merita tratate separat.