EUDI Wallet: o que uma relying party deve preparar para o rollout no fim de 2026
O fim de 2026 é o prazo de disponibilização dos Estados-Membros, não uma obrigação universal de aceitação empresarial. A relying party deve classificar-se, fechar registo e atributos e testar a integração antes de confundir prontidão com dever legal.
- Estado jurídico
- Regulamento vigente; disponibilização estatal até 24.12.2026 e aceitação privada condicionada do artigo 5.º-F, n.º 2, até 24.12.2027, por cálculo dos prazos legais.
- Quem deve aceitar
- Depende da classe: setor público, privados sujeitos a autenticação forte, plataformas em linha de muito grande dimensão ou adesão voluntária.
- Verificado
- 02.08.2026 · regulamento-base, 2025/848 e alterações 2026/1730–1731, pacote técnico, RGPD, Toolbox e pilotos oficiais.
- Próxima revisão
- 11.08.2026, quando 2026/1730 e 2026/1731 entrarem em vigor; depois, quando Portugal publicar registo, certificados e carteiras reconhecidas ou o ARF mudar.
Em resumo
O regulamento está em vigor e cada Estado-Membro deve disponibilizar pelo menos uma carteira até 24.12.2026, por cálculo dos 24 meses legais. A aceitação privada obrigatória tem âmbito condicionado e, para a categoria do artigo 5.º-F, n.º 2, vence até 24.12.2027. Registo, minimização, identificação da relying party, protocolos, fallback e evidência devem ser preparados durante o rollout.
- 24.12.2026 é o prazo calculado para o Estado-Membro disponibilizar pelo menos uma carteira; não é um prazo universal de aceitação para empresas.
- A obrigação privada até 24.12.2027 só alcança relying parties não micro nem pequenas que estejam obrigadas por lei ou contrato a usar autenticação forte para identificação online.
- Quem pretenda usar a carteira em interação digital deve registar-se no Estado-Membro de estabelecimento, declarar a finalidade e os dados pedidos e não pedir dados além dos registados.
- O utilizador escolhe voluntariamente a carteira; minimização, divulgação seletiva, alternativa de acesso e tratamento de falhas devem fazer parte do desenho.
Há três relógios — e o rollout de 2026 é apenas um deles
O Regulamento (UE) 2024/1183 entrou em vigor em 20.05.2024. O artigo 5.º-A obriga cada Estado-Membro a disponibilizar pelo menos uma EUDI Wallet nos 24 meses seguintes à entrada em vigor dos atos de execução relevantes; estes foram publicados em 04.12.2024 e entraram em vigor 20 dias depois.
Daí resultam 24.12.2026 para a disponibilização estatal e 24.12.2027 para o limite de 36 meses aplicável à categoria privada do artigo 5.º-F, n.º 2. São cálculos do texto legal, não duas datas intercambiáveis.
Cronologia sem atalhos
As datas de 2026 e 2027 correspondem a sujeitos e obrigações diferentes.
- Regulamento EUDI em vigor
O quadro europeu de identidade digital passa a ser diretamente aplicável.
- Primeiro pacote de cinco atos publicado
O pacote que fixa funcionalidades, protocolos, dados, certificação e notificações entra em vigor 20 dias depois e aciona o cálculo do rollout.
- Regras de registo publicadas
O Regulamento de Execução 2025/848 detalha registos, verificação, certificados e suspensão; aplica-se a partir de 24.12.2026.
- Duas atualizações técnicas publicadas
Os Regulamentos 2026/1730 e 2026/1731 atualizam registo e especificações; em 02.08.2026 ainda aguardam a entrada em vigor de 11.08.2026.
- Prazo calculado dos Estados-Membros
Cada Estado-Membro deve disponibilizar pelo menos uma carteira conforme e certificada.
- Prazo calculado para privados abrangidos
Vence o limite de 36 meses do artigo 5.º-F, n.º 2, apenas para relying parties que preencham todas as condições.
A primeira decisão é saber em que classe de relying party se está
O artigo 5.º-F não impõe a mesma regra a todas as organizações. O setor público, certos privados, plataformas em linha de muito grande dimensão e os restantes prestadores têm gatilhos distintos.
A enumeração setorial dos privados — transportes, energia, banca, serviços financeiros, segurança social, saúde, água, correios, infraestrutura digital, educação e telecomunicações — é introduzida por “incluindo”. O teste decisivo continua a ser a obrigação legal ou contratual de usar autenticação forte para identificação online.
Matriz de aceitação
“Preparar” não significa que todas as linhas tenham o mesmo prazo ou dever.
| Classe | Gatilho legal | Relógio de aceitação | Decisão até ao fim de 2026 |
|---|---|---|---|
| Organismo do setor público | O Estado-Membro exige identificação e autenticação eletrónicas para aceder ao serviço público online | Deve aceitar uma carteira conforme; o n.º 1 não contém o prazo privado de 36 meses | Testar o canal para a carteira disponibilizada e confirmar regras nacionais do serviço. |
| Privado não micro/pequeno sujeito a autenticação forte | Lei da UE, lei nacional ou contrato exige autenticação forte para identificação online | Aceitação até 24.12.2027, apenas a pedido voluntário do utilizador | Concluir classificação, orçamento, registo, integração e piloto. |
| Plataforma em linha de muito grande dimensão | A plataforma exige autenticação para acesso ao serviço | Deve aceitar e facilitar a carteira a pedido voluntário e apenas para os dados mínimos; o n.º 3 não usa a fórmula dos 36 meses | Obter parecer jurídico específico e preparar integração quando exista carteira conforme. |
| Outro prestador privado | Não cai nas categorias obrigatórias anteriores | O artigo 5.º-F não cria uma obrigação universal de aceitação | Pode aderir voluntariamente, com registo e os mesmos controlos de dados e confiança. |
O registo transforma cada atributo pedido numa declaração verificável
Uma relying party que pretenda usar EUDI Wallet numa interação digital deve registar-se no Estado-Membro onde está estabelecida. O Regulamento de Execução 2025/848, aplicável a partir de 24.12.2026, detalha identidade, contactos, uso pretendido, dados pedidos, verificação, rejeição, certificados, suspensão e atualização; o Regulamento 2026/1730, publicado em julho e com entrada em vigor em 11.08.2026, atualiza esse mecanismo.
A relying party não pode pedir dados além dos declarados e deve identificar-se ao utilizador. O registo não constitui, por si, base jurídica nem autorização para o tratamento de dados: continuam a aplicar-se o RGPD, a minimização e, quando os critérios legais se verificarem, a avaliação de impacto sobre a proteção de dados.
- Identidade mínima: Estado-Membro de estabelecimento, nome, número de registo aplicável e identificação do registo oficial.
- Contacto operacional e jurídico para pedidos, incidentes, proteção de dados e atualização do registo.
- Uso pretendido descrito por jornada concreta, não por uma finalidade genérica como “verificação”.
- Lista fechada dos atributos pedidos, com finalidade, base jurídica, necessidade, retenção e alternativa menos intrusiva.
- Processo para atualizar o registo antes de mudar finalidade, atributos, entidade, intermediário ou canal.
- Intermediários atuando por conta da relying party são tratados como relying parties e não podem armazenar dados sobre o conteúdo da transação.
A implementação deve seguir atos vinculativos e testar contra um referencial em evolução
A implementação já não cabe numa referência estática aos cinco atos de 2024. Esse primeiro pacote acionou os prazos e continua a estruturar funcionalidades, protocolos, dados, certificação e notificações; o Regulamento 2025/848 acrescentou o regime de registo aplicável em 24.12.2026. Em 22.07.2026 foram publicados 2026/1730 e 2026/1731, que atualizam o registo e quatro atos técnicos, mas em 02.08.2026 ainda não entraram em vigor: produzem efeito a partir de 11.08.2026, com transições próprias onde o texto as prevê.
A Toolbox, o Architecture and Reference Framework, a implementação de referência e os pilotos dão o caminho operacional para interoperabilidade e testes. São essenciais para engenharia, mas não devem ser apresentados como se cada detalhe do protótipo fosse, por si só, uma obrigação legal imutável.
Workstreams da relying party
O alvo é uma integração substituível, testável e independente de uma única carteira nacional.
| Workstream | Evidência de aceitação | Estado esperado no rollout |
|---|---|---|
| Identidade da relying party | Registo, autenticação e certificado de acesso válidos; nome correto mostrado ao utilizador | Fluxo e dependências nacionais identificados; ambiente de teste preparado. |
| Pedido de atributos | Pedido coincide exatamente com finalidade e atributos registados; divulgação seletiva suportada | Esquemas e políticas de minimização aprovados por caso de uso. |
| Confiança | Carteira, emissor, atributo, validade e estado de revogação são verificados | Cadeia de confiança testada com casos válidos, expirados, suspensos e adulterados. |
| Protocolos e interfaces | Fluxos remotos e, se aplicável, de proximidade passam testes de interoperabilidade | Conformidade testada contra atos de execução e versão corrente do ARF. |
| Falha e acessibilidade | Erros não expõem dados, existe alternativa sem carteira e a jornada é acessível | Runbook, suporte, métricas, fallback e testes de acessibilidade concluídos. |
O objetivo de 2026 é uma candidata a produção, não uma declaração jurídica genérica
A recomendação Velqory é chegar à disponibilização estatal com uma integração candidata a produção para os casos de uso prioritários, mesmo quando a aceitação privada obrigatória só vencer em 2027. Isto é gestão de risco operacional, não antecipação fictícia do prazo legal.
A carteira é voluntária para o utilizador. A relying party deve manter uma alternativa apropriada, pedir apenas os atributos necessários e evitar reconstruir no seu backend a concentração de dados que a divulgação seletiva pretende impedir.
- Até 31.08.2026: emitir parecer de classificação por entidade, serviço e jornada, incluindo a exceção de micro/pequena empresa quando invocada.
- Até 30.09.2026: fechar casos de uso, atributos mínimos, bases jurídicas, retenção, DPIA quando aplicável e modelo de fallback.
- Até 31.10.2026: selecionar arquitetura e fornecedor, com suporte aos atos de execução, ARF atual, certificados e portabilidade.
- Até 30.11.2026: concluir testes de interoperabilidade, segurança, revogação, acessibilidade, carga, suporte e recuperação.
- Até 24.12.2026: obter decisão go/no-go por mercado; produção só onde carteira, registo, confiança e suporte estejam disponíveis.
- Durante 2027: ampliar cobertura e fechar evidência de aceitação antes de 24.12.2027 para as entidades abrangidas pelo artigo 5.º-F, n.º 2.
Fontes consultadas
Consultadas na data de atualização indicada.
Abre numa nova janela.- 01Regulation (EU) 2024/1183 — European Digital Identity FrameworkEUR-Lex · EU-EURLEX
- 02European Digital Identity (EUDI) RegulationEuropean Commission — DG CONNECT · EU-DIGITAL
- 03EU Digital Identity Wallet Toolbox processEuropean Commission — DG CONNECT · EU-DIGITAL
- 04Implementing regulation for European Digital Identity WalletsEuropean Commission — DG CONNECT · EU-DIGITAL
- 05EU Digital Identity Wallet Pilot implementationEuropean Commission — DG CONNECT · EU-DIGITAL
- 06European Digital Identity WalletEuropean Commission — DG CONNECT · EU-DIGITAL
- 07Commission Implementing Regulation (EU) 2025/848 — registration of wallet-relying partiesEUR-Lex · EU-EURLEX
- 08Commission Implementing Regulation (EU) 2026/1730 — amendments to wallet-relying-party registration rulesEUR-Lex · EU-EURLEX
- 09Commission Implementing Regulation (EU) 2026/1731 — amendments to EUDI Wallet technical specificationsEUR-Lex · EU-EURLEX
- 10Regulation (EU) 2016/679 — General Data Protection RegulationEUR-Lex · EU-EURLEX
Participar
Partilhe a análise. Acrescente contexto.
Divulgue a matéria no seu canal ou deixe uma observação ligada ao tema.
Comentários
A carregar a conversa.