Elektroniczna identyfikacja – co to jest i jak działa?

Elektroniczna identyfikacja (eID) to proces używania danych cyfrowych do jednoznacznego wskazania osoby fizycznej, osoby prawnej albo osoby reprezentującej firmę w systemie informatycznym. Dzięki niej urząd, bank lub inny usługodawca może sprawdzić, kim jesteś podczas korzystania z usługi online. W Unii Europejskiej zasady takiej identyfikacji określa rozporządzenie eIDAS.

Czym jest elektroniczna identyfikacja?

Elektroniczna identyfikacja jest cyfrowym odpowiednikiem okazania dokumentu tożsamości, choć nie musi oznaczać użycia elektronicznego dowodu. W praktyce wykorzystuje się określony środek identyfikacji, na przykład dane logowania, aplikację, kartę, certyfikat lub inne rozwiązanie spełniające wymagania danego systemu.

Rozporządzenie eIDAS nr 910/2014 definiuje identyfikację elektroniczną jako proces używania danych w postaci elektronicznej, które unikalnie reprezentują osobę fizyczną lub prawną. System, który otrzymuje i sprawdza te dane, nazywa się często stroną ufającą. Może nią być urząd, bank, placówka medyczna albo przedsiębiorstwo świadczące usługę internetową.

Trzeba odróżnić identyfikację od uwierzytelniania. Identyfikacja wskazuje, kim jest użytkownik, a uwierzytelnianie jest procesem sprawdzającym, czy rzeczywiście może on posługiwać się daną tożsamością. Nie jest to również to samo co podpis elektroniczny. Identyfikacja potwierdza tożsamość, natomiast podpis elektroniczny służy do zatwierdzenia treści dokumentu lub wyrażenia woli.

Jak działa identyfikacja elektroniczna?

Mechanizm można przedstawić na przykładzie logowania do usługi publicznej. Użytkownik nie przekazuje stronie internetowej wszystkich danych potrzebnych do weryfikacji bezpośrednio. Zwykle zostaje przekierowany do systemu identyfikacji, który potwierdza jego tożsamość i przekazuje usłudze tylko informacje niezbędne do przyznania dostępu.

Proces przebiega zazwyczaj w następujących etapach:

1. Wybór usługi – użytkownik otwiera stronę urzędu, banku lub innego usługodawcy. Ten podmiot występuje jako strona ufająca i wskazuje wymagany poziom bezpieczeństwa.
2. Żądanie uwierzytelnienia – usługa przekierowuje użytkownika do wybranego systemu identyfikacji elektronicznej, na przykład rozwiązania państwowego lub portfela cyfrowego.
3. Potwierdzenie tożsamości – użytkownik loguje się i potwierdza operację za pomocą dostępnej metody, takiej jak hasło, kod jednorazowy, aplikacja mobilna, dokument elektroniczny albo biometria.
4. Przekazanie wyniku – system identyfikacji przekazuje stronie ufającej potwierdzenie oraz ustalony zakres danych. Usługa przyznaje dostęp, jeśli wynik spełnia jej wymagania.

Technologia użyta w tym procesie może być różna. eIDAS jest neutralny technologicznie, dlatego nie narzuca jednego urządzenia ani konkretnej aplikacji. Liczy się osiągnięty poziom pewności tożsamości, sposób wydania środka identyfikacji oraz zabezpieczenia systemu.

Jakie są poziomy bezpieczeństwa eID?

eIDAS wyróżnia trzy poziomy bezpieczeństwa. Opisują one stopień zaufania, że osoba posługująca się daną tożsamością rzeczywiście jest osobą, której ta tożsamość została przypisana. Wyższy poziom zwykle oznacza dokładniejszą weryfikację przy wydawaniu środka identyfikacji i silniejsze zabezpieczenia podczas logowania.

Poziom nie oznacza wyłącznie sposobu logowania. Ocenia się także procedurę potwierdzenia tożsamości, proces wydania środka, podmiot wydający, rozwiązania techniczne i sposób uwierzytelniania. Dostęp do usługi zawierającej wrażliwe dane może wymagać wyższego poziomu niż korzystanie z usługi o niewielkim ryzyku.

Jakie korzyści daje elektroniczna identyfikacja?

Wprowadzenie wspólnych zasad ma znaczenie zarówno dla obywateli, jak i przedsiębiorców. Najważniejsze korzyści obejmują:

• Transgraniczny dostęp – w określonych warunkach środek identyfikacji wydany w jednym państwie UE może służyć do uwierzytelnienia w publicznej usłudze innego państwa.
• Wygodę – wiele spraw można załatwić zdalnie, bez osobistej wizyty w urzędzie.
• Bezpieczeństwo – systemy są oceniane według wspólnych wymagań dotyczących poziomów bezpieczeństwa i ochrony danych.
• Interoperacyjność – krajowe systemy mogą współpracować, dzięki czemu usługodawca nie musi tworzyć osobnego procesu dla każdego państwa.

Wzajemne uznawanie nie oznacza automatycznego dostępu do każdej usługi. Środek musi pochodzić z odpowiedniego, notyfikowanego systemu i mieć poziom bezpieczeństwa równy wymaganemu albo wyższy. Samo potwierdzenie tożsamości nie zastępuje też innych warunków określonych w prawie krajowym.

Co zmienia eIDAS 2.0 i portfel cyfrowy?

eIDAS 2.0 rozwija wcześniejsze ramy, kładąc większy nacisk na Europejski Portfel Cyfrowej Tożsamości, znany jako EU Digital ID Wallet. Ma on umożliwiać przechowywanie i udostępnianie nie tylko danych identyfikacyjnych, lecz także elektronicznych poświadczeń, takich jak potwierdzenia kwalifikacji lub uprawnień.

W polskim kontekście rozwiązanie to jest wiązane z rozwojem aplikacji mObywatel, jednak szczegółowy sposób wdrożenia i zakres dostępnych funkcji zależą od europejskich oraz krajowych prac wykonawczych. Założeniem portfela jest większa kontrola użytkownika nad tym, jakie dane przekazuje konkretnej usłudze. W praktyce oznacza to możliwość udostępnienia tylko informacji potrzebnych w danej sytuacji, zamiast całego dokumentu.

Nowe ramy mają rozszerzyć wykorzystanie cyfrowej tożsamości także poza administracją publiczną, między innymi w usługach prywatnych. Kierunek zmian jest więc szerszy niż samo logowanie do urzędu. Chodzi o stworzenie wspólnego, interoperacyjnego sposobu potwierdzania tożsamości i wybranych atrybutów w całej Unii Europejskiej.

Najprościej mówiąc, elektroniczna identyfikacja odpowiada na pytanie „kto korzysta z usługi?”, a podpis elektroniczny na pytanie „co ta osoba zatwierdziła?”. To rozróżnienie pomaga zrozumieć, dlaczego oba rozwiązania mogą występować razem, ale pełnią różne funkcje.