کیف پول هویت دیجیتال اروپا؛ وقتی پذیرش هویت دیجیتال برای بانک‌ها و پلتفرم‌ها تکلیف می‌شود
هر کدام از ما بارها برای افتتاح حساب، خرید سیم‌کارت یا عقد یک قرارداد آنلاین، تصویر کارت ملی‌مان را برای این و آن فرستاده‌ایم؛ بی‌آنکه بدانیم آن تصویر کجا ذخیره می‌شود، چه کسی به آن دسترسی دارد و چند سال بعد در کدام نشت اطلاعاتی سر درمی‌آورد. پرسش حقوقی ساده است، اما پاسخش ساده نیست؛ آیا می‌توان هویت شخص را به‌صورت دیجیتال، معتبر و قابل‌استناد اثبات کرد، بدون آنکه هر بار کل پرونده هویتی او به دست طرف مقابل بیفتد؟ و اگر چنین ابزاری ساخته شد، آیا بخش خصوصی باید به پذیرفتن آن ملزم شود یا اختیار با خودش است؟
اتحادیه اروپا به این پرسش‌ها پاسخی الزام‌آور داده است. با بازنگری مقررات eIDAS از طریق مقرره (EU) 2024/1183 که از ۳۱ اردیبهشت ۱۴۰۳ (۲۰ مه ۲۰۲۴) لازم‌الاجرا شده، هر کشور عضو باید تا ۳ دی ۱۴۰۵ (۲۴ دسامبر ۲۰۲۶) دست‌کم یک «کیف پول هویت دیجیتال اروپایی» (EUDI Wallet) در اختیار شهروندانش بگذارد؛ و تحلیل تازه‌ای که مؤسسه حقوقی Heuking در ۱۰ مهر ۱۴۰۵ (۲ اکتبر ۲۰۲۶) منتشر کرده، نشان می‌دهد آلمان قصد دارد نسخه دولتی خود را با نام «d-you» در ۱۲ دی ۱۴۰۵ (۲ ژانویه ۲۰۲۷) راه‌اندازی کند. یعنی چند هفته دیگر، این نظام از متن مقررات به زندگی روزمره می‌رسد.
۱. کیف پول هویت؛ اختیاری برای شهروند، اجباری برای دولت
نخستین نکته‌ای که به نظر من باید دقیق دید، توزیع تکلیف‌هاست. استفاده از کیف پول برای شهروند کاملاً اختیاری و رایگان است؛ کسی را نمی‌توان مجبور کرد هویتش را از طریق یک اپلیکیشن اثبات کند. در مقابل، دولت‌های عضو مکلف به ارائه آن‌اند و نهادهای عمومی، هر جا احراز هویت لازم باشد، باید آن را بپذیرند. نکته ظریف‌تر این است که اختیاری بودن، دو سو دارد؛ ارائه‌دهنده خدمت نمی‌تواند به کسی که از کیف پول استفاده نمی‌کند خدمت ندهد و بنابراین روش‌های سنتی احراز هویت باید در کنار روش جدید باقی بمانند. معتقدم این طراحی، پاسخی هوشمندانه به یک خطر واقعی است؛ خطر آنکه فناوری هویتی، به جای تسهیل، به ابزار طرد کسانی تبدیل شود که گوشی هوشمند ندارند یا نمی‌خواهند همه زندگی‌شان در یک اپلیکیشن جمع شود.
۲. الزام بخش خصوصی به پذیرش؛ ماده ۵f و منطق «احراز هویت قوی»
تحول اصلی برای فعالان اقتصادی در ماده ۵f مقرره است. بر اساس این ماده، اشخاص خصوصی‌ای که به حکم قانون یا قرارداد مکلف‌اند مشتریان خود را با «احراز هویت قوی کاربر» شناسایی کنند، مانند بانک‌ها، مؤسسات پولی و پرداخت، شرکت‌های انرژی و مخابرات، باید از اواخر دسامبر ۲۰۲۷ (حدود دی ۱۴۰۶) به درخواست مشتری، کیف پول را به‌عنوان وسیله احراز هویت بپذیرند. پلتفرم‌های آنلاین بسیار بزرگ، به معنای قانون خدمات دیجیتال اتحادیه، نیز همین تکلیف را دارند. اما بنگاه‌های خرد و کوچک از این الزام معاف شده‌اند. به نظر من این معیار، یعنی گره زدن تکلیف به وجود یک الزام قبلی به احراز هویت قوی، منطقی و سنجیده است؛ قانون‌گذار تکلیف تازه‌ای برای شناسایی مشتری نساخته، بلکه گفته است هر جا شناسایی قوی از قبل لازم بوده، این ابزار استاندارد را هم باید پذیرفت. معافیت بنگاه‌های کوچک هم نشان می‌دهد که هزینه انطباق برای کسب‌وکارهای نوپا جدی گرفته شده است.
۳. افشای حداقلی؛ وقتی فروشنده فقط می‌فهمد شما بالای ۱۸ سال هستید
جذاب‌ترین بخش این نظام از نگاه حقوق داده، اصل افشای گزینشی است. کاربر خودش تصمیم می‌گیرد کدام داده را به اشتراک بگذارد؛ فروشگاه اینترنتی‌ای که فقط باید بداند مشتری به سن قانونی رسیده یا نه، اصولاً باید همین یک واقعیت را دریافت کند، نه نام، نشانی و شماره سند هویت را. علاوه بر این، طبق ماده ۵b هر «طرف اتکاکننده»، یعنی کسب‌وکاری که می‌خواهد به داده کیف پول تکیه کند، باید پیشاپیش در کشور محل استقرار خود ثبت شود و اعلام کند چه داده‌ای را برای چه هدفی می‌خواهد؛ و حق ندارد بیش از آنچه ثبت کرده درخواست کند. معتقدم این یعنی اصل «حداقل‌سازی داده» از یک توصیه کلی در متن قانون به یک قید فنی در خود زیرساخت تبدیل شده است؛ حریم خصوصی دیگر فقط وعده نیست، در معماری سامانه نوشته شده است!
۴. فاصله متن تا اجرا؛ تجربه آلمان
با این حال، واقع‌بینی حکم می‌کند فاصله میان مقرره و اجرا را هم ببینیم. به گزارش Heuking، قانون هویت دیجیتال آلمان (DIdG) که برای تکمیل مقرره اروپایی لازم است، هنوز پس از شور نخست در بوندستاگ در جریان تصویب است. نسخه آلمانی در آغاز فقط کارت شناسایی دیجیتال را پشتیبانی خواهد کرد و چند قابلیت مهم را ندارد؛ فعلاً بدون اینترنت کار نمی‌کند، امکان اثبات صرف سن بدون انتقال داده‌های هویتی دیگر را در ابتدا ندارد و با تعویض گوشی باید از نو راه‌اندازی شود. دریافت آن هم فعلاً فقط از فروشگاه‌های اپلیکیشن اپل و گوگل ممکن است. از سوی دیگر، مؤسسه Arthur Cox یادآوری کرده که هر کشور عضو باید دفتر ثبت جداگانه‌ای برای طرف‌های اتکاکننده داشته باشد و کیف پول ناچار است با ۲۷ دفتر ثبت مختلف تعامل کند. به نظر من این‌ها نقص نظام نیست؛ واقعیت هر زیرساخت ملی است که باید مرحله‌به‌مرحله ساخته شود. درس عملی‌اش برای کسب‌وکارها این است که روش‌های فعلی احراز هویت را کنار نگذارند و کیف پول را مکمل ببینند، نه جانشین فوری.
۵. هویت دیجیتال برای شرکت‌ها؛ کیف پول تجاری اروپا
گام بعدی اروپا «کیف پول تجاری اروپایی» (EBW) است؛ ابزاری که کمیسیون در نوامبر ۲۰۲۵ پیشنهاد داد تا شرکت‌ها بتوانند در سراسر اتحادیه خود را احراز هویت کنند، اسناد را امضا و مهر الکترونیکی کنند، مدارکی مانند شماره مالیاتی یا پروانه کسب را ارائه دهند و با نهادهای عمومی از مجرایی امن، شبیه نامه سفارشی دیجیتال، مکاتبه کنند. برخلاف کیف پول شهروندی، این ابزار بر بستر ابری طراحی شده تا هر اقدام تجاری لزوماً به حضور شخص مدیر نیاز نداشته باشد و کارکنان بتوانند سطوح متفاوتی از اختیار داشته باشند. شورا در خرداد ۱۴۰۵ (ژوئن ۲۰۲۶) و پارلمان در شهریور ۱۴۰۵ (سپتامبر ۲۰۲۶) مواضع خود را تعیین کرده‌اند و پارلمان خواستار آن شده که ارائه‌دهندگان تحت کنترل مستقیم یا غیرمستقیم کشورهای ثالث نباشند و داده‌ها فقط در اتحادیه ذخیره شود. معتقدم این جزئیات نشان می‌دهد هویت دیجیتال در اروپا دیگر فقط موضوعی فنی نیست؛ به بخشی از سیاست حاکمیت داده تبدیل شده است.
۶. درس‌هایی برای ایران
به نظر من چند درس روشن می‌توان گرفت. نخست، قانون تجارت الکترونیکی مصوب ۱۳۸۲ پایه‌ای برای اعتبار داده‌پیام و امضای الکترونیکی فراهم کرده است؛ اما تا جایی که بنده اطلاع دارم، ما هنوز چارچوب قانونی یکپارچه‌ای نداریم که «هویت دیجیتال» را به‌عنوان یک حق قابل‌حمل برای شهروند تعریف کند و تکلیف پذیرش آن را میان بخش عمومی و خصوصی روشن کند؛ احراز هویت غیرحضوری بیشتر بر پایه مقررات بخشی و دستورالعمل‌های نهادهای ناظر هر صنعت شکل گرفته است. دوم، الگوی اروپایی نشان می‌دهد که می‌توان پذیرش را برای صنایع دارای الزام شناسایی مشتری، مانند بانک‌ها و پرداخت‌یارها، اجباری کرد و هم‌زمان کسب‌وکارهای کوچک را معاف دانست؛ این توازن برای اکوسیستم استارتاپی ما بسیار آموزنده است. سوم، اصل افشای حداقلی را می‌توان حتی پیش از هر اصلاح قانونی، در طراحی سامانه‌های استعلام هویت به کار گرفت؛ هیچ ضرورتی ندارد برای اثبات یک ویژگی، کل اطلاعات هویتی شخص منتقل یا ذخیره شود. چهارم، تا جایی که بنده اطلاع دارم، لایحه حمایت از داده‌های شخصی هنوز به قانون تبدیل نشده است؛ هر نظام هویت دیجیتالی بدون پشتوانه یک قانون جامع حمایت از داده، پایه‌ای ناقص خواهد داشت. و پنجم، برای وکلا و مشاوران استارتاپ‌هایی که به بازار اروپا خدمت می‌دهند، اواخر ۲۰۲۷ یک ضرب‌الاجل واقعی است؛ ثبت به‌عنوان طرف اتکاکننده، بازبینی فرایندهای شناسایی مشتری و ارزیابی اثر بر حفاظت از داده، از همین امروز باید در برنامه کار آن‌ها باشد. واقعیت این است که هویت، نخستین دارایی هر شخص در اقتصاد دیجیتال است؛ قانونی که از آن حمایت نکند، اعتماد را نمی‌سازد!
منابع: Heuking، ۲ اکتبر ۲۰۲۶؛ Arthur Cox، ۲۰ اکتبر ۲۰۲۵. تصویر: Wikimedia Commons، مجوز CC BY-SA 4.0.
این یادداشت جنبه آموزشی دارد و جایگزین مشاوره حقوقی در پرونده‌های مشخص نیست.
