(Atualizado em 23 de agosto de 2026.)
O Regulamento (UE) n.º 910/2014, de 23 de julho de 2014, conhecido como Regulamento eIDAS, estabeleceu o quadro europeu para a identificação eletrónica e os serviços de confiança utilizados nas transações eletrónicas. Foi publicado no Jornal Oficial da União Europeia em 28 de agosto de 2014, entrou em vigor em 17 de setembro de 2014 e tornou-se, em geral, aplicável em 1 de julho de 2016.
O Regulamento (UE) 2024/1183, de 11 de abril de 2024, foi publicado no Jornal Oficial da União Europeia em 30 de abril de 2024 e entrou em vigor em 20 de maio de 2024. Este diploma é frequentemente designado por eIDAS 2.0 e cria o Regime Europeu para a Identidade Digital.
O regulamento de 2024 não revoga nem substitui o Regulamento (UE) n.º 910/2014. Altera-o e amplia-o substancialmente. O regime atual deve, por isso, ser lido no texto consolidado do Regulamento eIDAS, sem prejuízo de a versão consolidada ter natureza documental e de os atos publicados no Jornal Oficial serem os textos autênticos.
O regime de 2014 criou uma base comum para o reconhecimento transfronteiriço dos sistemas de identificação eletrónica notificados pelos Estados-Membros e para a prestação de serviços de confiança na União Europeia, incluindo:
O regulamento distingue os serviços qualificados dos não qualificados. A qualificação depende do cumprimento de requisitos reforçados, da supervisão competente e da inclusão do prestador e do serviço na lista de confiança aplicável.
Uma assinatura eletrónica não pode ser privada de efeitos jurídicos nem recusada como prova apenas por se apresentar em formato eletrónico ou por não cumprir os requisitos de uma assinatura eletrónica qualificada. Contudo, isto não significa que todas as assinaturas eletrónicas tenham automaticamente o mesmo valor probatório.
A assinatura eletrónica qualificada tem efeito jurídico equivalente ao de uma assinatura manuscrita. Os selos, selos temporais e serviços de envio registado eletrónico qualificados beneficiam também das presunções específicas previstas no regulamento. Os documentos eletrónicos não podem ser privados de efeitos jurídicos ou de admissibilidade como prova apenas por se apresentarem em formato eletrónico.
A reforma de 2024 mantém a estrutura essencial do eIDAS e introduz um ecossistema europeu de identidade digital mais amplo, centrado na Carteira Europeia de Identidade Digital. Alarga ainda o regime dos serviços de confiança, nomeadamente através de:
Cada Estado-Membro deve fornecer pelo menos uma Carteira Europeia de Identidade Digital. A carteira pode ser disponibilizada diretamente pelo Estado, por uma entidade mandatada pelo Estado ou por uma entidade independente cuja solução seja reconhecida pelo Estado-Membro.
A carteira destina-se a pessoas singulares e coletivas e deverá permitir, de forma segura e sob controlo do utente:
A utilização da carteira é voluntária. As pessoas que não a utilizem não podem ser prejudicadas no acesso a serviços públicos ou privados, ao mercado de trabalho ou à liberdade de empresa, devendo continuar disponíveis outros meios de identificação e autenticação.
Para as pessoas singulares, a emissão, a utilização e a revogação da carteira são gratuitas. Deve também ser oferecida, por defeito e gratuitamente, a possibilidade de assinar através de assinaturas eletrónicas qualificadas, embora os Estados-Membros possam limitar essa gratuitidade a fins não profissionais.
O regulamento exige divulgação seletiva, minimização de dados, proteção de dados desde a conceção e controlo efetivo pelo utente. Os fornecedores da carteira não podem recolher informação sobre a sua utilização para além do necessário à prestação do serviço, nem combinar esses dados com informação de outros serviços, salvo pedido expresso do utilizador e dentro dos limites legais. Os dados relacionados com a carteira devem ser mantidos logicamente separados.
A carteira deve ter nível de garantia elevado, garantir a segurança desde a conceção e ser certificada por organismos designados. A certificação pode vigorar até cinco anos, desde que seja realizada uma avaliação de vulnerabilidades de dois em dois anos. Se uma violação ou comprometimento afetar a fiabilidade da carteira ou de outras carteiras, o Estado-Membro fornecedor deve suspender, sem demora indevida, o seu fornecimento e utilização. Quando a gravidade o justifique, ou se a situação não for corrigida no prazo de três meses após a suspensão, a carteira deve ser retirada e, neste último caso, a sua validade revogada. Os intervenientes afetados e a Comissão devem ser informados nos termos do artigo 5.º-E.
Em regra, o código-fonte dos componentes de software de aplicação da carteira fica sujeito a licença de fonte aberta, admitindo-se exceções justificadas para determinados componentes que não estejam instalados nos dispositivos dos utentes.
A aplicação do eIDAS não afasta o cumprimento do Regulamento Geral sobre a Proteção de Dados.
A aceitação da Carteira Europeia de Identidade Digital não constitui uma obrigação geral e imediata para todas as empresas ou todos os sítios Web.
Para estes prestadores privados, a obrigação deve ser cumprida, o mais tardar, 36 meses após a entrada em vigor dos atos de execução relevantes. Considerando os atos iniciais que entraram em vigor em 24 de dezembro de 2024, o prazo conduz a 24 de dezembro de 2027. A utilização continua a depender do pedido voluntário do utente.
Uma organização que pretenda utilizar a carteira para prestar serviços por interação digital passa a atuar como entidade utilizadora da carteira.
Deve, designadamente:
Os intermediários que atuem em nome destas entidades são igualmente considerados utilizadores da carteira e não podem conservar dados sobre o conteúdo da transação.
Os certificados eletrónicos qualificados de atributos e os certificados emitidos por, ou em nome de, organismos públicos responsáveis por fontes autênticas têm o mesmo efeito jurídico que certificados legalmente emitidos em papel. Estes mecanismos podem permitir a prova eletrónica de atributos como qualificações, licenças, poderes de representação ou outros elementos provenientes de fontes autênticas.
Os dados e documentos preservados através de um serviço qualificado de arquivo eletrónico beneficiam da presunção de integridade e origem durante o período de conservação. Os registos constantes de um livro-razão eletrónico qualificado beneficiam da presunção da sua ordenação cronológica sequencial, única e exata, e da sua integridade.
O regulamento não tem uma única data futura de aplicação geral. Muitas obrigações dependem da adoção e entrada em vigor de atos de execução específicos. A Comissão adotou os primeiros cinco atos em 2024 e aprovou posteriormente regras complementares sobre registo de entidades utilizadoras, certificados de atributos, arquivo, livros-razão, serviços qualificados e outros elementos técnicos do regime.
O Decreto-Lei n.º 12/2021, de 9 de fevereiro, assegura a execução interna do Regulamento eIDAS original e regula, entre outras matérias, a validade, eficácia e valor probatório dos documentos eletrónicos. Designa o Gabinete Nacional de Segurança como entidade supervisora dos serviços de confiança, a Agência para a Modernização Administrativa como entidade competente para a notificação de sistemas de identificação eletrónica e o Instituto Português de Acreditação como organismo nacional de acreditação.
O diploma nacional deve ser interpretado em conjunto com o Regulamento eIDAS, na redação resultante do Regulamento (UE) 2024/1183, e com as adaptações nacionais que venham a ser aprovadas para o novo regime.
A simples utilização de meios de identificação, assinaturas ou documentos eletrónicos não transforma uma organização em prestador de serviços de confiança nem em fornecedor de uma Carteira Europeia de Identidade Digital. A aplicação das diferentes obrigações depende do papel concretamente desempenhado.
O regime torna-se especialmente relevante para as organizações que:
Integram a carteira nos seus mecanismos de autenticação ou identificação de utilizadores;
Solicitam dados ou atributos através da carteira, passando a atuar como entidades utilizadoras registadas;
Prestam serviços de confiança abrangidos pelo regulamento;
Emitem ou verificam certificados eletrónicos de atributos;
Desenvolvem ou fornecem soluções técnicas integradas no ecossistema da identidade digital europeia;
Utilizam assinaturas, selos, arquivo ou envio registado eletrónico em processos com exigências formais ou probatórias.
Embora determinados setores sejam expressamente referidos, a obrigação de aceitação aplicável aos prestadores privados exige ainda que exista uma obrigação legal ou contratual de autenticação forte para identificação em linha e exclui as microempresas e pequenas empresas. A pertença a um setor, por si só, não basta para concluir que a obrigação se aplica.
As organizações devem:
Regulamento (UE) n.º 910/2014 — texto publicado no Jornal Oficial da União Europeia
Regulamento (UE) 2024/1183 — Regime Europeu para a Identidade Digital
Regulamento (UE) n.º 910/2014 — versão consolidada no EUR-Lex
Regime Europeu para a Identidade Digital — Comissão Europeia
Primeiros regulamentos de execução da Carteira Europeia de Identidade Digital — Comissão Europeia
Regulamentos de execução do eIDAS e estado de implementação — Comissão Europeia
Decreto-Lei n.º 12/2021, de 9 de fevereiro — Diário da República
