Когато говорим за използване на Evrotrust от финансова институция, е важно да се направи ясно разграничение между възлагане на конкретна услуга и прехвърляне на регулаторна отговорност. Evrotrust действа като квалифициран доставчик на удостоверителни услуги съгласно eIDAS, което означава, че носи пълна отговорност за процесите по идентификация, издаването на удостоверения и спазването на всички технически и правни изисквания, заложени в регламента. Това включва и гарантиране на правната валидност на електронните подписи и идентификационните процеси в рамките на ЕС.

В същото време, финансовата институция не прехвърля своята крайна отговорност по отношение на регулаторното съответствие. Тя остава отговорна за изпълнението на своите задължения по KYC и AML, за управлението на риска и за вземането на решения, свързани с обслужването на клиента. От тази гледна точка използването на Evrotrust следва да се разглежда като интегриране на външна, силно регулирана и стандартизирана услуга, а не като възлагане на критична функция в пълния смисъл на essential outsourcing, както е дефинирано в насоките на European Banking Authority (EBA).

Моделът работи именно защото има ясно разделение на отговорностите и висока степен на регулаторна яснота. Evrotrust поема отговорност за сигурността, проследимостта и правната издържаност на самия процес по идентификация и подписване. Финансовата институция от своя страна запазва контрола върху това как тези услуги се използват в рамките на нейните вътрешни процеси и политики. Това позволява едновременно спазване на регулациите и ефективна дигитализация на ключови клиентски процеси.

Разликите в юридическата тежест идват основно от нивото на сигурност, проследимост и регулаторно признание на самия процес. При базовите форми на идентификация защитата е по-ограничена, тъй като разчитат на по-малко сигнали и в съдебен контекст често се изискват допълнителни доказателства и експертен анализ.

При по-високите нива, които включват проверка на документи, видео идентификация и биометрия, вече има значително по-богата одитна следа – записи, метаданни и технически параметри. Това дава на вещите лица повече материал за анализ и прави процеса по-труден за оспорване.

В практиката това означава, че ролята на вещите лица се променя – при по-ниските нива те трябва активно да установяват автентичността на действието, докато при по-високите и регламентирани процеси по-скоро се проверява дали процедурите са изпълнени коректно и дали има индикации за компрометиране.

Най-високата степен на защита е при квалифицираната идентификация и подписване съгласно eIDAS. Там процесът е регламентиран и правно признат в ЕС, а квалифицираният електронен подпис има стойност, равна на саморъчен. Това означава, че в съдебен спор той се приема за валиден, освен ако не бъде доказано противното.

При Full KYC, като най-високо ниво на идентификация, сигурността на AML данните се гарантира чрез принципа на минимален достъп. Партньорите не получават пълния набор от данни, а само тази информация, която е необходима за изпълнение на конкретните им регулаторни задължения.

Обменът на данни се осъществява чрез защитени интеграции и криптирани канали, като достъпът е строго контролиран и удостоверен. В повечето случаи не се предоставят сурови данни, а структурирани резултати или атрибути, което значително намалява риска от неправомерна употреба.

От регулаторна гледна точка процесът е съобразен с GDPR и AML изискванията, като ролите и отговорностите на всички участници са ясно дефинирани. Това гарантира проследимост, отчетност и възможност за одит на всяко действие, свързано с достъпа и обработката на данните.

Това се гарантира чрез комбинация от няколко слоя защита, като основният е т.нар. liveness detection – проверки, които установяват, че пред камерата стои реален човек в реално време, а не статично изображение или запис. Те включват анализ на движения, реакции и други поведенчески сигнали, които трудно могат да бъдат симулирани със снимка.

Паралелно с това се извършва сравнение между лицето в реално време и снимката от предоставения документ за самоличност, като се използват биометрични алгоритми. Това позволява да се установи дали има съвпадение и дали няма опит за подмяна.

Допълнително се анализират и редица технически индикатори, свързани с устройството, средата и самия видео поток. Всички тези данни се записват като част от одитната следа, което позволява последваща проверка и експертен анализ при необходимост.

Да, дигиталната идентификация се използва и при юридически лица чрез комбинация от KYC и KYB процеси. На практика се идентифицира физическото лице, което представлява компанията, а паралелно с това се извършва проверка на самото юридическо лице чрез официални регистри.

Процесът включва идентификация на представителя чрез стандартните механизми – документ, видео и биометрия, след което се валидира връзката му с компанията, включително правото му да я представлява. Това става чрез достъп до търговски регистри или други надеждни източници.

Така се постига пълна проследимост както на самоличността, така и на представителната власт, което гарантира правната валидност на действията от името на юридическото лице.

Един от най-честите проблеми е, че вътрешно дигитализираните процеси се прекъсват в момента, в който трябва да се взаимодейства с администрацията. Там често все още се изискват хартиени документи, физическо присъствие или ръчни проверки, което връща процеса назад.

Това води до дублиране на работа – една и съща информация се обработва дигитално вътре в организацията, а след това отново на хартия или в несвързани системи. Освен че забавя операциите, това увеличава риска от грешки и натоварва допълнително екипите.

В крайна сметка, дори компаниите с високо ниво на дигитализация не могат да реализират пълната ефективност на процесите си, защото са ограничени от външна среда, която не е на същото ниво.

Gig икономиката разчита на бързо включване и изключване на хора в процеси, често в рамките на часове. Когато липсва дигитална идентификация и електронно подписване, онбордингът се забавя значително, защото изисква физическо присъствие и документи на хартия.

Това директно ограничава мащабирането – компаниите не могат да активират бързо нови хора, а разходите за администрация растат. В резултат губят гъвкавостта, която всъщност е основното предимство на gig модела.

Регулацията на ниво ЕС предвижда задължение за приемане на EUDI Wallet, но конкретните срокове за внедряване зависят от националното транспониране и готовността на екосистемата. Очакванията са това да се случва поетапно в следващите няколко години.

По отношение на процесите, логиката е да обхване всички ключови точки на взаимодействие с клиента – онбординг, вход в системи и подписване на документи. При преводи и транзакции това ще зависи от конкретните приложения и регулаторните изисквания за силна автентикация.

Защитата не разчита на един сигнал, а на комбинация от проверки. Основна роля играе liveness detection, което установява дали пред камерата има реален човек в реално време, а не запис или синтетично изображение.

Допълнително се анализират поведенчески и технически сигнали – например несъответствия в изображението, движение, светлина, както и параметри на самия видео поток. Комбинацията от тези слоеве прави успешна deepfake атака значително по-трудна.

Технологично това е възможно още днес, но въпросът е основно регулаторен и свързан с обществено доверие. Електронното гласуване изисква изключително високо ниво на сигурност, прозрачност и защита от манипулации.

Затова въвеждането му обикновено се случва много по-бавно от други дигитални услуги. По-реалистично е първо да видим разширяване на дигиталната идентичност и електронните услуги, преди да се премине към масово е-гласуване.

Комуникацията между приложение и портфейла се реализира чрез т.нар. request–response модел. Приложението не „достъпва“ директно данни, а изпраща конкретна заявка – например „искам да потвърдя възраст“ или „искам да получа име и ЕГН“. Тази заявка се визуализира в портфейла на потребителя.

Портфейлът действа като посредник и контролна точка. Той показва ясно кой иска данните, какви точно данни се искат и с каква цел. Потребителят може да одобри или откаже, а в някои случаи дори да сподели само част от информацията – например да докаже, че е над 18, без да разкрива точната си дата на раждане.

Технически обменът не е просто изпращане на данни, а използва криптографски подписани атрибути или удостоверения. Това означава, че приложението не получава „твърдение“, а проверимо доказателство, което може да валидира без да се свързва обратно с източника. Така се избягва централизиран достъп до данни и се минимизира рискът от злоупотреба.

Към момента европейският портфейл за дигитална идентичност е насочен основно към идентификация и достъп до услуги, а не към плащания.

Няма конкретен срок, в който да се въведе като средство за плащане. Темата се разглежда като следващ етап и е тясно свързана с развитието на инициативи като дигиталното евро.

Дали и кога портфейлът ще се използва за плащания ще зависи от регулаторните решения и от това как ще бъдат дефинирани тези функции на европейско ниво.

При подпис на таблет пред служител липсва надежден механизъм за установяване кой реално държи устройството. Подписът е по-скоро графично изображение, отколкото криптографско доказателство.

При дистанционното подписване има силна идентификация, контрол на достъпа и криптографска връзка между подписа и конкретното лице. Това създава много по-силна доказателствена стойност в юридически контекст.

Извън Европа моделите са по-фрагментирани. В САЩ например липсва единна национална рамка, а решенията са предимно частни и децентрализирани.

В Азия има много силни държавни инициативи, но често с различен баланс между удобство и защита на личните данни. Европа се отличава с това, че се опитва да съчетае високо ниво на сигурност, регулация и защита на правата на потребителите.

Към момента двете инициативи се развиват паралелно и са на различен етап. Дигиталното евро все още е в проектна и тестова фаза, докато европейският портфейл за дигитална идентичност вече има ясна регулаторна рамка и започва внедряване.

На този етап няма официална, задължителна интеграция между тях. Връзката е по-скоро логическа – и двете изискват сигурна идентификация на потребителя и доверена среда за взаимодействие.

В бъдеще е възможно да се използват заедно, но към момента те се разработват като отделни, макар и допълващи се системи.

За частни лица използването на портфейла на Evrotrust е безплатно, така че няма бариера за достъп до услугата.

Таксуването ще се случва на ниво бизнес или институция, която използва идентификацията или подписването като част от свой процес. Това позволява по-широко използване от страна на потребителите и улеснява дигитализацията на услугите.

Технически дигиталният портфейл може да поддържа различни атрибути, включително здравни данни. Но кръвната група е чувствителна здравна информация и нейното включване би изисквало много ясна правна рамка, изрично съгласие и силни гаранции за защита на данните.

По-вероятно е първо да се развият по-стандартни атрибути като самоличност, адрес, шофьорска книжка, образование или професионални квалификации. Здравните данни биха дошли само при ясно дефинирана нужда и много строг контрол.

Европейският портфейл за дигитална идентичност е предвиден за граждани, резиденти и бизнеси в ЕС, като държавите членки трябва да осигурят достъп до него в следващите години.

На практика юридическите лица не се идентифицират самостоятелно. Идентифицира се физическо лице, което ги представлява, а портфейлът може да съдържа информация за неговата представителна власт.

Затова задължението логично се разпростира и върху бизнесите чрез техните законни представители, като конкретният обхват ще зависи от финалните национални правила и конкретните процеси.

В България има и други квалифицирани доставчици на удостоверителни услуги, които имат право да издават електронни подписи и да предоставят удостоверителни услуги съгласно eIDAS регламента.

Важно е обаче да се направи разграничение – не всички доставчици предлагат едни и същи решения, особено когато говорим за дистанционна идентификация, интеграции с държавни регистри и цялостни дигитални процеси. Именно там се виждат реалните разлики в практическото приложение.

Да, това е основен принцип на европейския портфейл за дигитална идентичност – трансгранична използваемост и взаимно признаване между държавите членки.

На практика това означава, че портфейл, издаден в една държава, ще може да се използва за достъп до услуги в друга, както в публичния, така и в частния сектор.

Криптографската устойчивост срещу бъдещи технологии като квантовите компютри не се постига с едно конкретно решение, а с подход към архитектурата. Идеята е системите да не бъдат зависими от един алгоритъм или технология, а да могат да се адаптират при промяна на стандартите.

На практика това означава, че криптографските механизми са изградени така, че да позволяват подмяна на алгоритми, ключове и сертификати без да се нарушава работата на системата. Ако се появят нови, по-сигурни методи, те могат да бъдат внедрени без да се налага промяна на цялата инфраструктура или прекъсване на услугите.

Възможно е данни от документи да бъдат извличани чрез различни технологии за сканиране и разпознаване, което позволява частично автоматично попълване на информация.

При европейския портфейл за дигитална идентичност обаче фокусът е различен. Вместо данните просто да се прочитат от документ, те се предоставят директно от доверени източници, като държавни регистри или издаващи институции. Така се гарантира, че информацията не само е въведена, но и предварително проверена.

Затова автоматичното попълване може да бъде част от процеса, но основният модел е работа с вече удостоверени данни, а не разчитане на информация от физически документ.

Европейският портфейл за цифрова самоличност е насочен основно към граждани и резиденти на ЕС, тъй като е част от европейската регулаторна рамка за дигитална идентичност.

В същото време е възможно в бъдеще да се въведат механизми за използване от граждани извън ЕС, например чрез взаимно признаване на удостоверения или в рамките на конкретни трансгранични и бизнес сценарии. Това ще зависи от допълнителни регулации и международни споразумения.

Да, това е една от силните страни на модела. Ако даден атрибут идва от доверен източник – например образователна институция или регистър – той може да бъде обновяван автоматично. Въпреки това, в повечето случаи ще има ниво на контрол от страна на потребителя, за да се гарантира прозрачност и съгласие.

Това е ключов въпрос за реалното приемане на подобни решения. На първо място стои потребителското изживяване – процесите трябва да бъдат максимално опростени, с ясни стъпки и минимално натоварване за потребителя.

Паралелно с това е важно да има и допълващи механизми за подкрепа – както чрез институции и бизнеси, така и чрез образователни инициативи, които да помогнат на хората да изградят увереност в използването на такива услуги.