EUDI Wallet: la Cartera Europea de Identidad Digital en España

La Cartera Europea de Identidad Digital (EUDI Wallet) es una aplicación móvil oficial, gratuita y voluntaria, que permitirá a cualquier ciudadano y residente legal de la UE identificarse electrónicamente, firmar documentos con valor legal y compartir credenciales verificadas con organismos públicos y privados, desde un único punto de acceso.

Fue creada por el Reglamento (UE) 2024/1183 del Parlamento Europeo y del Consejo, de 11 de abril de 2024, por el que se modifica el Reglamento (UE) n.º 910/2014 (eIDAS) en lo que respecta al establecimiento del Marco Europeo de Identidad Digital. Se publicó en el DOUE el 30 de abril de 2024 y entró en vigor el 20 de mayo de 2024.

Es comúnmente conocida como eIDAS 2 o eIDAS 2.0, ya que modifica y amplía el reglamento eIDAS original de 2014 (que regulaba la identificación electrónica y los servicios de confianza). El primer eIDAS no contemplaba una identidad digital móvil unificada para toda la UE.

La EUDI Wallet permite almacenar y compartir múltiples tipos de credenciales: el DNI digital, permiso de conducir, tarjeta sanitaria europea, certificados académicos, certificados profesionales, datos bancarios para pagos, y cualquier otra credencial certificada por un emisor reconocido. El ciudadano controla qué información comparte y con quién (principio de "selective disclosure" o divulgación selectiva).

El despliegue de la EUDI Wallet sigue un calendario fijado por el Reglamento 2024/1183 y vinculado a la entrada en vigor de sus actos de ejecución:

La fecha más importante para los ciudadanos es el 24 de diciembre de 2026: antes de esa fecha cada Estado miembro debe proporcionar al menos una EUDI Wallet gratuita (24 meses desde la entrada en vigor, el 24-dic-2024, de los reglamentos de ejecución adoptados el 28-nov-2024). La obligación de aceptación por las partes usuarias privadas obligadas a usar autenticación reforzada llega, a más tardar, el 24 de diciembre de 2027.

Los actos de ejecución ya están adoptados: un primer paquete en noviembre de 2024 (Reglamentos de Ejecución 2024/2977, 2979, 2980, 2981 y 2982) y un segundo en mayo de 2025 (entre otros, el 2025/848 sobre registro de partes usuarias, modificado por el Reglamento de Ejecución 2026/1730, de 15 de julio de 2026). La Comisión mantiene además un marco técnico de referencia (Architecture Reference Framework, ARF), que no es un acto de ejecución. Los Estados miembros desarrollan sus carteras concretas; en España no hay anuncio oficial de lanzamiento a septiembre de 2026.

Consulta el timeline visual más abajo con todos los hitos.

La EUDI Wallet es un contenedor seguro para credenciales digitales verificables (Verifiable Credentials, VC). Según el Reglamento de Ejecución (UE) 2024/2977, los datos de identificación personal se expiden en dos formatos: la norma ISO/IEC 18013-5:2021 y el modelo de credenciales verificables 1.1 del W3C.

Credenciales de identidad ciudadana (Person Identification Data — PID). Datos básicos del DNI: nombre, apellidos, fecha de nacimiento, DNI/NIE, foto. Los expide el proveedor que designe cada Estado miembro.

Atestaciones electrónicas de atributos (Electronic Attestations of Attributes — EAA). Cualquier credencial verificada emitida por un emisor reconocido: permiso de conducir, titulación académica, certificado profesional, certificado de nacimiento, datos médicos básicos, datos fiscales, certificado de residencia, etc.

Datos bancarios. Podrá almacenar atestaciones financieras, como la titularidad de una cuenta bancaria, si las entidades emisoras las ofrecen.

Firma electrónica cualificada. La wallet integra capacidad de firma electrónica cualificada (QES) con plena validez jurídica equivalente a la firma manuscrita, según eIDAS.

La diferencia con almacenar PDFs o capturas: las credenciales en la wallet están firmadas criptográficamente por el emisor, son verificables instantáneamente por el receptor, no pueden ser modificadas y permiten compartir solo lo necesario (ej. "soy mayor de 18 años" sin revelar fecha exacta de nacimiento).

El principio de selective disclosure (divulgación selectiva) es la novedad más importante de la EUDI Wallet desde la perspectiva del usuario. Permite compartir solo el atributo necesario para una operación concreta, sin revelar el resto de datos.

Ejemplo 1. Para entrar en una discoteca te piden demostrar ser mayor de 18 años. Con DNI físico tienen que ver todos tus datos (nombre, dirección, fecha exacta, foto, DNI). Con EUDI Wallet, la wallet emite una credencial firmada criptográficamente que solo dice "esta persona es mayor de 18 años" — sin revelar nada más.

Ejemplo 2. Una financiera necesita confirmar que tienes una nómina mensual de al menos 1.000 €. Con EUDI Wallet, si tu banco emite esa atestación, podrías compartir una credencial que solo confirme "ingresos mensuales ≥ 1.000 €", sin revelar el importe exacto, el pagador o el resto de movimientos.

Ejemplo 3. Para verificar tu titularidad de cuenta bancaria antes de un microcrédito, la wallet comparte un atributo verificado por tu banco ("esta persona es titular de la cuenta IBAN X") sin revelar saldos, movimientos ni otras cuentas.

Técnicamente se apoya en firmas digitales que admiten la divulgación selectiva: el receptor verifica la firma del emisor sin acceder a los datos no compartidos. El reglamento exige además que la cartera permita técnicas de protección de la privacidad que garanticen la no vinculación cuando la declaración de atributos no requiera identificar al usuario (art. 5 bis, apartado 16, letra b).

El artículo 5 septies del Reglamento eIDAS modificado (introducido por el Reglamento 2024/1183) establece la obligación de aceptación de la EUDI Wallet por parte de determinados actores. Para las partes usuarias privadas, el plazo máximo es el 24 de diciembre de 2027.

Sector público. Cuando se exija identificación electrónica para acceder a un servicio en línea de un organismo del sector público, deberá aceptarse también la EUDI Wallet. En España afectaría a servicios como los de la AEAT, la Seguridad Social, la DGT o las sedes electrónicas autonómicas y municipales. El reglamento no fija para el sector público el plazo de 36 meses: la obligación opera cuando se proporcionan las carteras.

Partes usuarias privadas con autenticación reforzada. Cuando el Derecho de la Unión o nacional, o una obligación contractual, exija a una empresa privada utilizar autenticación reforzada de usuario para la identificación en línea (en particular en transporte, energía, banca, servicios financieros, seguridad social, sanidad, agua potable, servicios postales, infraestructura digital, educación o telecomunicaciones), deberá aceptar la EUDI Wallet a más tardar el 24 de diciembre de 2027, y solo a petición voluntaria del usuario. Quedan excluidas las microempresas y pequeñas empresas.

Plataformas en línea de muy gran tamaño. Las designadas bajo la DSA (45 millones o más de usuarios activos mensuales en la UE) que exijan autenticación para acceder a sus servicios deberán aceptar la EUDI Wallet, solo a petición voluntaria del usuario y para los datos mínimos necesarios.

Financieras de microcréditos. Solo estarán obligadas si una norma o un contrato les exige autenticación reforzada para la identificación en línea y no son micro o pequeñas empresas.

La obligación es de aceptación, no de uso exclusivo: la financiera o el banco siguen pudiendo aceptar otros métodos (videoidentificación, certificado digital, Cl@ve, DNIe). Pero si la entidad está obligada y el cliente quiere identificarse con la EUDI Wallet, no puede rechazarla.

España, como el resto de Estados miembros, debe proporcionar al menos una EUDI Wallet antes del 24 de diciembre de 2026. A septiembre de 2026 no hay anuncio oficial de lanzamiento de la cartera EUDI española.

La aplicación Cartera Digital Beta fue presentada por el Gobierno en julio de 2024, inicialmente para verificar la mayoría de edad en el acceso a contenidos para adultos, con la previsión de estar disponible al final de ese verano (La Moncloa). Ese calendario no se cumplió; España participa además en el piloto europeo de verificación de edad junto con Francia, Grecia, Italia y Dinamarca.

Coexistencia con Cl@ve, certificado digital y DNI. La EUDI Wallet no sustituye a Cl@ve, al certificado digital de la FNMT ni al DNIe: su uso es voluntario (art. 5 bis, apartado 15) y esos medios siguen operativos. Desde abril de 2025 existe además el DNI digital (app MiDNI): el Real Decreto 255/2025 le otorga la misma eficacia jurídica a efectos de identificación, con doce meses de adaptación para las entidades.

Los actos de ejecución técnicos que condicionan el plazo ya están adoptados (noviembre de 2024 y mayo de 2025), por lo que el plazo del Reglamento para la cartera española ya está fijado.

Para el ecosistema de microcréditos y préstamos rápidos online en España, la EUDI Wallet puede suponer un cambio relevante en el proceso de identificación y verificación de clientes (KYC).

Situación actual (2026). El KYC en un microcrédito online típico requiere: foto del DNI, selfie con prueba de vida (videoidentificación), verificación contra ASNEF, verificación de titularidad de cuenta (microtransferencia o conexión PSD2) y verificación de ingresos (subida de nómina o conexión PSD2).

Escenario posible con la EUDI Wallet. El cliente abriría la cartera y compartiría con la financiera solo las credenciales necesarias: identidad verificada (PID) y, si los emisores las ofrecen, atestaciones como la titularidad de una cuenta bancaria o un umbral de ingresos. Al estar firmadas por emisores reconocidos, cabe esperar un proceso más rápido y menos expuesto a la suplantación, aunque su alcance real dependerá de la adopción por emisores y financieras.

Posible reducción de costes. El proceso actual de KYC tiene un coste por solicitud (videoidentificación, verificación manual). Si la verificación con la cartera se automatiza, ese coste podría reducirse, aunque todavía no es posible cuantificarlo.

Posible mejora de la inclusión. Personas con dificultades para realizar videoidentificación (problemas técnicos, condiciones del entorno, discapacidad visual) podrían tener un acceso más sencillo.

Riesgos a vigilar. (1) Brecha digital: personas mayores o no familiarizadas con smartphones quedan fuera. La regulación obliga a mantener canales alternativos. (2) Concentración tecnológica: si la cartera pública concentra la mayoría de usos, se plantean cuestiones de gobernanza y resiliencia. La regulación permite también wallets privadas certificadas. (3) Privacidad: aunque selective disclosure mitiga, el ecosistema de credenciales genera nuevos vectores de riesgo si los emisores no cumplen estándares.

Conexión con otras regulaciones del cluster: EUDI Wallet + CCD2 (evaluación de solvencia con datos verificados) + AI Act (scoring transparente sobre datos verificados) + PSD3 (pagos instantáneos con identidad verificada) configuran el nuevo marco operativo de las financieras europeas a partir de 2026-2027.

Autoridades responsables en España. La Ley 6/2020 (art. 14) atribuye la supervisión de los prestadores de servicios electrónicos de confianza al ministerio competente en materia de transformación digital. La AEPD supervisa los aspectos de protección de datos personales. A septiembre de 2026 no consta designado el organismo de supervisión de las carteras previsto en el artículo 46 bis del Reglamento.

Coordinación a nivel UE. La cooperación entre los Estados miembros y la Comisión se articula en el Grupo de Cooperación sobre la Identidad Digital Europea (art. 46 sexies), en el que la Agencia de Ciberseguridad de la UE (ENISA) participa en calidad de observadora.

Sanciones. El Reglamento obliga a cada Estado miembro a establecer sanciones efectivas, proporcionadas y disuasorias (art. 16). Para los prestadores de servicios de confianza, la multa máxima debe ser de al menos 5 millones de euros o el 1 % del volumen de negocios mundial. En España, la Ley 6/2020 fija hoy multas de hasta 300.000 € y no se ha adaptado todavía a eIDAS 2.

Reclamaciones del ciudadano. Si una entidad obligada rechaza la identificación con la EUDI Wallet una vez vigente su obligación (para las partes usuarias privadas, a más tardar el 24 de diciembre de 2027), lo prudente es reclamar primero ante la propia entidad y, en banca, después ante el Banco de España. Los canales específicos para este incumplimiento dependerán del organismo de supervisión que designe España. Si hay vulneración de datos personales, también puede acudirse a la AEPD.