Conform eIDAS 2.0, orice organizație care dorește să solicite atribute de la un Portofel EUDI — o bancă ce verifică vârsta, un marketplace ce verifică o licență profesională, o platformă ce confirmă statutul de angajat — trebuie mai întâi să se înregistreze ca Parte Utilizatoare (Relying Party). Nu este o formalitate adăugată la integrarea tehnică, ci o precondiție legală. Fără înregistrare, portofelul nici măcar nu afișează ecranul de consimțământ pentru cererea ta, pentru că aplicația verifică certificatul solicitantului în infrastructura națională de încredere înainte de a arăta ceva utilizatorului.
Ce este de fapt înregistrarea ca Parte Utilizatoare
Înregistrarea este procesul prin care o autoritate națională de supraveghere verifică identitatea organizației tale, temeiul legal pentru atributele pe care intenționezi să le soliciți și conformitatea cu cerințele tehnice și de securitate din Cadrul de Arhitectură și Referință (ARF). Odată aprobată, organizația ta este înscrisă într-un registru național al Părților Utilizatoare — o listă publică sau semi-publică, alimentând infrastructura mai largă a Listei de Încredere a UE — și primești certificatele necesare pentru a solicita prezentări de la portofele.
- Stabilește cine ești, ca entitate juridică ce solicită date cu caracter personal.
- Stabilește de ce ai dreptul să soliciți anumite atribute (temeiul legal sau interesul legitim pentru fiecare caz de utilizare).
- Are ca rezultat emiterea unui certificat de acces de Parte Utilizatoare, folosit pentru semnarea cererilor de prezentare.
Ce date transmiți efectiv
Cerințele diferă ușor de la un stat membru la altul, dar dosarul de bază este constant:
- Documente de identitate corporativă și dovada înființării legale.
- Descrierea fiecărui caz de utilizare: ce atribute soliciți, din ce tipuri de atestări și temeiul legal pentru fiecare cerere (contract, obligație legală, consimțământ).
- Dovezi de conformitate tehnică: modul în care software-ul tău de Parte Utilizatoare validează semnăturile, verifică statusul de revocare și gestionează fluxul de prezentare OpenID4VP.
- Documentație de protecție a datelor: perioade de retenție, DPIA acolo unde este aplicabil, și confirmarea că soliciți setul minim de atribute necesar.
- Persoane de contact desemnate pentru incidente de securitate și corespondența cu autoritatea de supraveghere.
Fiecare cerere de atribut înregistrată trebuie justificată individual — nu poți înregistra un caz de utilizare generic de tip „verificare a identității” și apoi să soliciți orice îți dorești ulterior. Dacă fluxul tău de onboarding evoluează, ai nevoie de o modificare a înregistrării.
Termene
Timpii de procesare nu sunt standardizați la nivelul UE, iar primele implementări arată variații mari. Ca reper de planificare:
- Pregătirea dosarului inițial: 4-8 săptămâni intern, în principal muncă juridică și de produs, nu inginerie.
- Analiza autorității de supraveghere: de la câteva săptămâni la câteva luni, în funcție de volumul de cazuri al autorității naționale și de eventualele clarificări solicitate.
- Emiterea certificatului și integrarea tehnică în infrastructura națională de încredere: săptămâni suplimentare.
- Cicluri de reînnoire și modificare: recurente, nu punctuale — certificatele expiră, iar cazurile de utilizare evoluează.
Termenele de înregistrare se comportă ca o licențiere reglementată, nu ca o simplă obținere a unei chei API. Bugetează trimestre, nu zile.
Problema duplicării pe fiecare stat membru
Aici procesul devine costisitor pentru orice companie care operează transfrontalier. Fiecare stat membru administrează propriul registru, propria autoritate de supraveghere și, în primii ani ai ecosistemului, propria interpretare a cerințelor ARF. O companie care operează în Franța, Germania, Italia și Spania nu se înregistrează o singură dată — administrează patru dosare separate, cu patru seturi de persoane de contact, patru calendare de reînnoire și patru cicluri de viață ale certificatelor de urmărit. Această duplicare nu adaugă niciun plus de securitate — este pur și simplu birocrație administrativă generată de absența, pe termen scurt, a unui registru unic al Părților Utilizatoare la nivelul UE.
- Patru analize juridice ale acelorași cazuri de utilizare, adaptate la cerințe locale de formulare.
- Patru calendare de rotație a certificatelor, cu perioade de valabilitate diferite.
- Patru puncte de contact de menținut pentru corespondența cu autoritățile și notificarea incidentelor.
Certificatele de acces în practică
Odată înregistrat, statutul tău de Parte Utilizatoare se exprimă tehnic printr-un certificat de acces: fiecare cerere de prezentare trimisă unui portofel trebuie semnată cu acest certificat, iar portofelul îl validează în infrastructura de încredere înainte de a afișa ecranul de consimțământ. Certificatele au perioade de valabilitate definite și trebuie rotite înainte de expirare — un certificat expirat blochează silențios întregul flux de onboarding, nu doar o funcționalitate izolată.
De ce majoritatea companiilor externalizează acest proces
Având în vedere duplicarea pe state membre și efortul continuu de mentenanță, majoritatea echipelor de produs și conformitate concluzionează că înregistrarea directă are sens doar dacă verificarea prin portofel este esențială pentru modelul lor de afaceri reglementat (de exemplu o bancă). Pentru toți ceilalți, înregistrarea printr-o Parte Utilizatoare intermediară — o organizație deja înregistrată în fiecare stat membru relevant, care execută cererea de prezentare în numele tău — reduce patru dosare și patru cicluri de viață ale certificatelor la o singură integrare API. Acesta este modelul operat de Arkadiz: noi deținem înregistrările și certificatele, iar echipa ta se integrează o singură dată.