El Marco de Confianza Digital de Nueva Zelanda: avances y preguntas sin resolver

Nueva Zelanda ha dado un importante paso hacia la transformación digital con el lanzamiento del Digital Identity Services Trust Framework (DISTF), un conjunto de reglas que no contempla explícitamente la auto soberanía.

C

omo muchos otros territorios, Nueva Zelanda busca con este proyecto modernizar cómo las personas interactúan con servicios y validan su identidad en diferentes contextos. Ahora que las identificaciones digitales son una realidad, es fundamental que los ciudadanos conozcan en qué consisten, cuáles son sus derechos y qué pueden hacer para evitar abusos.  

El proyecto neozelandés cuenta con una autoridad de supervisión que juega un papel esencial. Como veremos más adelante, introduce elementos que lo diferencian del modelo auto soberano. 

Un ecosistema para servicios de identidad digital 

El marco DISTF se enmarca dentro de una estrategia nacional que tiene como objetivo introducir servicios de identidad digital prácticos y accesibles. Entre los servicios previstos se incluyen: 

• Licencias de conducir digitales, que permitirán validar la identidad de los conductores sin necesidad de portar documentos físicos. 

• Identificación bancaria, facilitando procesos financieros como la apertura de cuentas o la aprobación de préstamos. 

• Certificaciones de comercio, esenciales para profesionales y técnicos que necesiten validar sus credenciales de forma ágil y segura. 

Todos estos servicios estarán disponibles a través de aplicaciones y wallets digitales acreditadas, ofreciendo a los ciudadanos una experiencia eficiente para gestionar sus datos personales. 

Reglas para garantizar privacidad y seguridad 

El DISTF establece un conjunto de normas obligatorias para los proveedores de servicios de identidad digital que se adhieran al marco. Estas reglas están diseñadas para proteger la privacidad, empoderar a los usuarios y fortalecer la seguridad. 

Veamos con más detalle las claves que oficialmente sostienen el proyecto: 

• La regla principal del marco de confianza es que el consentimiento siempre es obligatorio. Los proveedores de servicios de identidad digital acreditados deben solicitar permiso explícito a los usuarios antes de compartir cualquier información personal u organizacional. Este principio es esencial y se aplica a todas las transacciones realizadas dentro del sistema. 

• La información personal no se almacenará en una base de datos centralizada. En comparación con otros marcos nacionales, como el myGovID de Australia o el Aadhaar de la India, el DISTF hace hincapié en la descentralización y la privacidad por diseño, otorgando a los usuarios un mayor control sobre sus datos. Cada transacción se inicia con una solicitud del usuario para acceder a un servicio o compartir información, y los proveedores acreditados no podrán conectar datos de manera no consentida por el usuario. 

• El uso de los servicios de identidad digital es voluntario. Las personas podrán optar por no usar los servicios digitales, ya que siempre habrá alternativas tradicionales, como los trámites presenciales o en papel, para acceder a los servicios gubernamentales. 

• La acreditación de proveedores de servicios no es obligatoria. Los proveedores de servicios de identidad digital pueden ofrecer sus servicios sin estar acreditados bajo el marco de confianza. Sin embargo, la acreditación permite a personas y empresas identificar fácilmente a los proveedores que cumplen con los estándares establecidos, como una especie de sello de calidad. 

• Existen reglas claras sobre cómo se puede recopilar, almacenar y compartir la información personal y organizacional. Las normas cubren tres áreas principales: 

1. Recopilación de información: Los servicios acreditados deben ser transparentes sobre el propósito de la recolección 
2. Almacenamiento de información: Solo se debe retener la información cuando sea necesario. 
3. Compartir información: Los procesos técnicos de intercambio deben seguir estándares como la encriptación y evitar que las partes involucradas puedan rastrear la información. Además, se debe minimizar la cantidad de datos compartidos. 
4. Eliminación de datos: Los proveedores acreditados también deben contar con un proceso para eliminar de forma segura la información no necesaria. 

Los proveedores deberán cumplir con estándares específicos, incluyendo los Estándares de Identificación, la Ley de Privacidad de Nueva Zelanda y otras normativas aplicables. La supervisión estará a cargo de la Trust Framework Authority. 

Fundamentos para el marco neozelandés 

El marco se rige por principios fundamentales que buscan asegurar que el entorno digital sea accesible, seguro, privado y respetuoso con las necesidades de las personas, organizaciones y comunidades.  

Uno de los principios más importantes es que el sistema debe ser centrado en las personas, asegurando que las necesidades y derechos de los usuarios sean siempre la prioridad. La participación de las personas en el uso de servicios de identidad digital es completamente voluntaria, con la posibilidad de optar por no usarlos sin ningún tipo de penalización. Además, los usuarios mantienen el control sobre su información, de acuerdo con las leyes vigentes, incluyendo la Ley de Privacidad de 2020. 

El marco busca ser inclusivo al máximo, creando un entorno digital accesible para todos, sin barreras sociales, financieras o técnicas que dificulten el acceso. No se debe discriminar a ningún individuo, y el sistema debe ser capaz de reflejar las necesidades de una amplia gama de actores involucrados. En este sentido, se asegura que todos los usuarios puedan hacer uso de los servicios sin riesgo de exclusión. 

El principio de seguridad garantiza que la información personal y organizacional se maneje de forma segura en todo momento. Los sistemas y servicios están diseñados para proteger la información contra posibles brechas o pérdidas. Además, el marco incorpora un enfoque proactivo de privacidad, asegurando que la protección de datos esté integrada en el diseño y mantenimiento de todos los servicios. 

Atendiendo a las necesidades específicas de este territorio, Los Māori tienen un rol activo en la toma de decisiones y el liderazgo dentro del sistema, lo que asegura que sus enfoques de identidad y datos estén representados. 

La sostenibilidad es otro principio clave, ya que el entorno digital debe ser diseñado de manera que garantice su viabilidad a largo plazo, tanto en términos sociales, económicos como tecnológicos. Esto incluye la capacidad del sistema de adaptarse a cambios y apoyar la innovación, al mismo tiempo que proporciona valor a todos los involucrados. 

La interoperabilidad es fundamental para asegurar que la información personal y organizacional pueda ser reutilizada de manera segura entre diferentes servicios, sectores y geografías. Esto se logra a través de estándares comunes, directrices y una colaboración constante entre diversos actores, tanto a nivel nacional como internacional. 

Finalmente, el principio de transparencia y apertura establece que el entorno digital debe ser accesible y responsable. Debe quedar claro cómo se almacena, utiliza y comparte la información personal y organizacional, y todos los estándares y reglas deben estar disponibles para el público.  

Estos principios, cuando se aplican de manera coherente, aseguran que los servicios de identidad digital no solo sean seguros y efectivos, sino que también sean justos, accesibles y respetuosos con la privacidad y las identidades culturales. 

¿Se alinea el DISTF de Nueva Zelanda con los principios de la Identidad Auto Soberana (SSI)? 

El Digital Identity Services Trust Framework (DISTF) de Nueva Zelanda tiene como objetivo construir un entorno seguro y confiable para la gestión de la identidad digital, pero su diseño revela diferencias significativas con los principios fundamentales de la Identidad Autosoberana (Self Sovereign Identity, SSI). Aunque ambos comparten ciertos objetivos, como la protección de los datos personales y la confianza en las interacciones digitales, el DISTF introduce elementos centralizados que limitan su alineación con un modelo puramente autosoberano. 

Acreditación de proveedores. Una característica clave del marco es la posibilidad de que los proveedores de servicios de identidad digital se acrediten. Esta acreditación certifica que cumplen con los estándares establecidos para la recopilación, almacenamiento y uso seguro de información personal y organizacional. 

• Enfoque centralizado: Este proceso depende de un regulador central (la Trust Framework Authority, o TFA), que otorga credibilidad a los proveedores. 

• Comparación con SSI: En un modelo SSI puro, no existe una autoridad reguladora central ni intermediarios que determinen quién es confiable. En su lugar, los usuarios son los únicos responsables de gestionar sus datos y decidir con quién compartirlos mediante credenciales verificables, respaldadas por tecnologías descentralizadas como blockchain. 

Rol de la Trust Framework Authority (TFA). La TFA es la entidad reguladora encargada de supervisar el cumplimiento de las normas del marco. Entre sus funciones están: 

• Acreditar a los proveedores de servicios de identidad digital. 

• Supervisar el cumplimiento continuo de las regulaciones. 

• Investigar quejas relacionadas con servicios acreditados. 

• Gestionar el sello de acreditación, que identifica a los proveedores que cumplen con los estándares. 

La presencia de un regulador centralizado contrasta con el principio de descentralización inherente a la SSI. En un sistema auto soberano, la confianza no se establece a través de una autoridad externa, sino mediante la tecnología y el control directo de los usuarios sobre su información. 

El DISTF asegura un entorno donde las personas pueden compartir información personal de manera segura y donde las empresas pueden confiar en la autenticidad de los datos recibidos. 

Este enfoque coincide con el objetivo de la SSI de garantizar interacciones digitales seguras y confiables. Sin embargo, el DISTF logra esto mediante una arquitectura que depende de un organismo regulador y de estándares centralizados, mientras que la SSI utiliza criptografía y tecnologías distribuidas para eliminar intermediarios. 

Podríamos decir que el DISTF comparte algunos valores con la Identidad Autosoberana, sin embargo, se desvía significativamente en dos puntos fundamentales: 

• Centralización: La TFA centraliza la supervisión y regula quién puede participar en el ecosistema de identidad digital. En contraste, la SSI elimina la necesidad de un intermediario central, confiando en redes distribuidas y en la autonomía de los usuarios. 

• Dependencia de proveedores acreditados: Los usuarios interactúan a través de entidades previamente validadas por la TFA, lo que introduce un nivel de intermediación que no existe en los sistemas puramente auto soberanos. 

El DISTF representa un modelo híbrido que combina prácticas tradicionales con un enfoque descentralizado limitado. Esto puede ser una estrategia efectiva para fomentar la adopción de la identidad digital en un entorno regulado, pero está lejos de ofrecer el control absoluto y la independencia que son la esencia del modelo SSI. 

Depender de marcos de identidad digital que no sigan claramente los principios de la Identidad Autosoberana (SSI) pone en riesgo el control de los usuarios sobre sus datos. Si un sistema centralizado, como el DISTF, regula quién puede gestionar nuestra información y cómo, el poder permanece en manos de intermediarios y autoridades, lo que abre la puerta a abusos, brechas de seguridad y uso indebido de datos personales. Sin un modelo verdaderamente descentralizado, los ciudadanos quedan expuestos a un ecosistema donde las decisiones sobre sus identidades no siempre priorizan su privacidad ni su autonomía. 

Fechas clave  

El marco de confianza y su sistema de acreditación entraron oficialmente en vigor el 8 de noviembre de 2024, marcando el inicio de una nueva etapa en la gestión de identidad digital en el país. Además, los estándares relacionados con la autenticación biométrica, denominados Authentication Assurance Standard, ya habían comenzado a aplicarse desde el 1 de octubre de 2024, preparando el terreno para la adopción de tecnologías más avanzadas. 

Será interesante observar cómo los usuarios reciben y adoptan estos proyectos de identidad digital a medida que se despliegan. Resultará fundamental verificar si realmente se cumplen todas las medidas de protección y respeto por las personas, garantizando que la seguridad, la privacidad y el control de la información personal se mantenga en todo momento. La aceptación del público dependerá de cómo estos principios se implementen de manera efectiva, y de si los usuarios sienten confianza en el sistema para compartir su información de forma segura y controlada. 

Contacta con nuestro equipo y conoce TrustCloud Wallet, basada en Identidad Auto Soberana