Este artigo é resultado de um trabalho conjunto de Pierluigi Pilla e Luigi Castaldo, Wallet Ecosystem Director da Namirial.
Um aniversário e um alerta
“Estou completando 41 anos, mas não estou com vontade de comemorar. Nossa geração está ficando sem tempo para salvar a Internet livre que nossos pais construíram para nós.”
— Pavel Durov, fundador do Telegram, em uma publicação no X no dia de seu aniversário, 10 de outubro de 2025 [1]
No dia em que completou 41 anos, Pavel Durov recusou-se a comemorar. Entre as “medidas distópicas” que enumerou em sua mensagem de aniversário, ao lado das verificações obrigatórias de idade na Austrália e das propostas de escanear mensagens privadas na UE, um item aparecia em primeiro lugar: as identidades digitais governamentais. Seu alerta cristalizou uma inquietação crescente dentro da comunidade tecnológica.
A Internet livre, argumentava ele, não está desaparecendo da noite para o dia. Ela está sendo remodelada por escolhas de projeto e políticas que tornam a identificação persistente a opção padrão. Os sistemas de identidade digital respaldados pelos governos são cada vez mais apresentados como uma infraestrutura neutra, ferramentas para segurança, conformidade e eficiência.
No entanto, a identidade nunca é apenas uma infraestrutura técnica. Uma vez incorporada, ela redistribui o poder, redefine o acesso e reduz o espaço para o anonimato. A questão não é se a identidade digital funciona, mas por que sua expansão tantas vezes parece o fim de algo que temos dificuldade de nomear.
Antes de prosseguir, guarde uma pergunta. Ela retornará, sob diferentes disfarces, em cada episódio desta história: quando dizemos não à identidade digital, para onde vai a identidade?
Porque ela não desaparece. Ela se desloca.
A marca da besta
A inquietação é mais antiga e mais estranha do que os debates políticos atuais. Quando a Geórgia implementou documentos eletrônicos de identidade no início da década de 2010, a resistência não veio de advogados especializados em privacidade. Veio de comunidades religiosas ortodoxas, nas quais os novos documentos com chip eram descritos como a “marca da besta” do Livro do Apocalipse, um sinal de submissão moral irreversível e controle total.
Muitos cidadãos simplesmente recusaram os documentos. A pressão foi suficientemente real para que, em 2013, um ministro do governo prometesse publicamente eliminar o número 666 dos números de identificação [2]. É fácil sorrir diante da teologia. É mais difícil descartar a intuição que existe por trás dela: um sistema de identidade, depois de aceito, não pode ser facilmente devolvido.
O mesmo medo, em linguagem constitucional
Nos Estados Unidos, a mesma intuição se expressa em uma linguagem constitucional. A Electronic Frontier Foundation tem contestado sistematicamente os wallets de identidade digital respaldados pelo governo e as carteiras de habilitação em dispositivos móveis por motivos relacionados às liberdades civis, alertando contra a expansão progressiva das funções, a confiança centralizada e a erosão gradual do anonimato por meio da infraestrutura, em vez de por censura explícita [3].
Uma objeção teológica e uma objeção constitucional, nascidas em continentes diferentes, convergem para um único medo: os sistemas de identidade digital raramente permanecem opcionais. Depois de adotados, tornam-se requisitos prévios.
E, quando o acesso aos serviços digitais depende de uma identidade autorizada pelo Estado, a arquitetura se transforma silenciosamente em governança.
A outra metade da história
A oposição, no entanto, conta apenas metade da história. Paralelamente, uma ampla coalizão de governos, instituições e atores do setor está promovendo a identidade digital como uma atualização necessária da camada de confiança da Internet.
Na União Europeia, o eIDAS 2.0 e o Wallet Europeu de Identidade Digital têm como objetivo fornecer credenciais interoperáveis e respaldadas pelo Estado para autenticação, pagamentos, assinaturas e acesso a serviços públicos e privados, substituindo o atual ecossistema fragmentado de logins e reduzindo a dependência de identidades controladas por plataformas [4].
Em escala global, a iniciativa Identification for Development (ID4D) do Banco Mundial apresenta a identidade digital como um requisito prévio para a inclusão econômica: uma identidade portável e verificável como bilhete de entrada para serviços bancários, assistência médica, educação e proteção social [5].
As agências das Nações Unidas a descrevem cada vez mais como uma infraestrutura pública digital, tão fundamental quanto estradas ou sistemas de pagamento.
Uma ambição, duas arquiteturas
Esses sistemas já não são apenas projetos. Sistemas nacionais de identidade digital já operam em grande escala, e dois deles, colocados lado a lado, delimitam todo o debate.
A eID da Estônia sustenta quase todos os serviços públicos. No entanto, o país não mantém nenhum banco de dados central de seus cidadãos: os dados permanecem federados entre registros separados de diferentes órgãos e são trocados por meio de uma infraestrutura de backbone auditada, a X-Road, enquanto as chaves privadas são mantidas no cartão ou dispositivo do próprio usuário [6].
O Aadhaar da Índia cadastrou mais de um bilhão de residentes em um banco de dados biométrico centralizado [7], um feito extraordinário de inclusão que também gerou controvérsias documentadas sobre erros de exclusão e concentração de dados. A mesma ambição, respostas opostas para a mesma questão arquitetônica, ou seja, onde os dados e as chaves deveriam residir, e, de maneira reveladora, inquietações opostas.
Isso sugere algo que o debate polarizado continua ignorando: talvez os riscos da identidade digital não sejam intrínsecos a ela, mas dependam de como ela é construída.
Quem mais teme a wallet? Seus próprios arquitetos
E é aqui que a história dá sua guinada mais instrutiva.
Pergunte quem escreveu a crítica tecnicamente mais devastadora ao Wallet Europeu de Identidade Digital, e a resposta não é Durov, nem a EFF, nem um púlpito em Tbilisi.
É um grupo de pesquisadores que dedicaram suas carreiras à construção de sistemas de identidade digital. Em um white paper recente, “Identidade digital europeia: uma oportunidade perdida?” [8], pesquisadores do SolidLab, da Universidade de Ghent e do imec argumentam que o EUDI Wallet, conforme especificado atualmente, corre o risco de recentralizar a confiança, em vez de redistribuí-la.
A crítica tem como alvo escolhas arquitetônicas e regulatórias específicas: a dependência de fluxos baseados em OpenID que confundem os papéis técnicos, modelos estáticos de credenciais que limitam a interoperabilidade futura e listas institucionais de confiança que determinam quais wallets, emissores e verificadores podem sequer participar. Muitos dos benefícios prometidos pelo wallet, como privacidade, controle do usuário e portabilidade, são, segundo essa interpretação, superestimados. Alguns riscos são simplesmente transferidos dos provedores de identidade para os provedores de wallet. As listas de confiança, em particular, remetem a problemas antigos dos programas raiz de PKI e dos repositórios de confiança dos navegadores: novos gatekeepers e novos incentivos para vigilância ou lock-in.
Observe o que os especialistas do setor não estão dizendo. Eles não estão pedindo que a identidade digital seja abandonada, pois consideram a identidade inevitável. O alerta deles diz respeito ao momento: decisões prematuras de projeto estão sendo cristalizadas em regulamentações antes de poderem ser auditadas, ampliadas ou corrigidas.
Em outras palavras, os críticos mais confiáveis da identidade digital concordam com seus promotores quanto ao destino e discordam radicalmente quanto ao projeto.
O que a arquitetura pode prometer e o que não pode
Isso reformula toda a controvérsia. Nenhum protocolo exige vigilância e nenhum padrão impõe opressão. A vigilância continua sendo uma escolha política.
Mas a arquitetura determina o custo dessa escolha, ou seja, o quanto a observação em massa pode se tornar barata, fácil e invisível quando alguém no poder decide colocá-la em prática. É por isso que debates de projeto que parecem detalhes mínimos de engenharia são, na verdade, questões constitucionais disfarçadas.
Isso deixa uma pergunta mais incisiva e mais honesta do que aquela que normalmente é feita. Não “é possível confiar em um Estado?”, pois nenhuma arquitetura pode responder a essa pergunta. Mas sim: o que a própria arquitetura pode garantir e o que deve continuar sendo uma questão política?
Considere um sistema que enfrentou o teste de estresse mais severo possível. A Ucrânia lançou seu aplicativo Diia em 2019. Em oito horas, dois milhões de pessoas haviam se cadastrado. Então, em 2022, veio a invasão, e um sistema de identidade desenvolvido para proporcionar conveniência tornou-se uma tábua de salvação. Milhões de pessoas fugiram sem documentos, por isso o governo emitiu um eDocument digital que permitia aos cidadãos deslocados provar quem eram nos postos de controle e solicitar pagamentos emergenciais com poucos toques. Somente na primeira semana, mais de 2,7 milhões de solicitações de auxílio foram apresentadas por meio do aplicativo [9].
Atualmente, o Diia atende a mais de 21 milhões de usuários por meio de cerca de 70 serviços governamentais, do registro de empresas à indenização por danos de guerra, e, desde então, a Ucrânia começou a disponibilizar seu código como open source, para que outras pessoas possam examiná-lo e reutilizá-lo [10].
O que torna o Diia instrutivo não é o fato de ser perfeito, mas aquilo que revela sobre a fronteira entre engenharia e governança. Seus projetistas mantiveram deliberadamente os dados federados, em vez de reuni-los em um único banco de dados mestre, e os trocaram por meio de um backbone seguro. É o mesmo instinto arquitetônico da Estônia. Eis o que esse projeto pode garantir: que os dados permaneçam compartimentalizados, que as trocas deixem rastros verificáveis e que nenhuma violação isolada exponha tudo.
E eis o que nenhuma arquitetura, seja ucraniana, estoniana ou europeia, pode garantir: a responsabilização política de quem governa a infraestrutura. Essa parte não é um resultado que a engenharia possa entregar, e fingir o contrário é o que faz os debates sobre identidade seguirem pelo caminho errado em ambas as direções.
O que torna qualquer um desses sistemas defensável não é seu grau de centralização, mas quanto deve ser aceito apenas com base na confiança e quanto pode ser verificado.
A Europa faz sua aposta
Essa é exatamente a aposta que a Europa está fazendo agora com o Wallet Europeu de Identidade Digital. Sem o jargão, o wallet se baseia em três promessas feitas às pessoas comuns.
A primeira é o controle do usuário: suas credenciais ficam em seu próprio celular, não em um banco de dados governamental ou corporativo, e nada é compartilhado sem sua autorização.
A segunda é a divulgação seletiva, ou seja, a capacidade de revelar um único dado, em vez de um documento inteiro. Se pedirem que você prove ter mais de 18 anos, o wallet poderá confirmar apenas isso, sem fornecer seu nome, endereço ou data de nascimento.
A terceira é a não vinculabilidade: por projeto, as partes às quais você apresenta suas credenciais não deveriam conseguir comparar informações e combinar suas interações separadas, uma consulta médica, um login bancário e uma verificação de idade em um bar, em um único perfil contínuo de sua vida.
Juntos, esses princípios representam o que a privacidade desde a concepção realmente significa: não uma promessa de se comportar corretamente, mas um sistema construído para tornar o uso indevido estruturalmente difícil [11].
Nada disso elimina a necessidade de uma autoridade confiável, e esse é o ponto que os críticos de qualquer papel central frequentemente ignoram. O wallet ainda depende de âncoras de confiança: listas oficiais que confirmam quais emissores e serviços são legítimos. Mas sua função é proteger o usuário, não vigiá-lo. Sem uma âncora de confiança, nada impede que uma credencial falsificada se passe por um banco real ou que um site falso finja ser um hospital para coletar seus dados. A âncora equivale ao selo presente em um passaporte: ela permite verificar se a outra parte é realmente quem afirma ser. O desafio do projeto, como alertam os próprios pesquisadores europeus, consiste em manter essas âncoras restritas: gatekeepers que certifiquem a autenticidade sem se transformarem silenciosamente em gargalos para vigilância ou exclusão [12].
Essa é a verdadeira linha de fratura do debate: não se a identidade digital apresenta riscos, mas se esses riscos são intrínsecos ou contingentes. A expansão progressiva das funções, a exclusão e os pontos únicos de falha resultam de um projeto inadequado e de uma governança fraca, não da simples existência de uma infraestrutura de identidade.
A arquitetura é a condição necessária; a governança é todo o restante.
Enquanto isso, os benefícios já são tangíveis: redução das fraudes, divulgação seletiva, custos menores de onboarding, interoperabilidade transfronteiriça e um freio ao poder sem controle dos silos de identidade administrados pelas plataformas.
Então, para onde vai a identidade?
Isso nos leva de volta à pergunta apresentada no início: quando dizemos não, para onde vai a identidade?
Na prática, para a maioria das pessoas e para a maioria dos usos, ela não desaparece. Ela é terceirizada. Para plataformas, corretores de dados e ecossistemas publicitários que nos identificam continuamente, de maneira invisível e sem possibilidade de recurso.
Rejeitar a identidade digital pública não preserva o anonimato. Em grande medida, apenas privatiza a identificação. A verdadeira escolha não é adotar ou não a identidade digital, mas como projetá-la para que a confiança seja distribuída, auditável e sujeita à responsabilização, em vez de concentrada e opaca.
É nesse ponto que a arquitetura se torna decisiva: gerenciamento de chaves com suporte de hardware, credenciais mantidas pelo usuário e modelos baseados em wallet que mantêm os dados no dispositivo da própria pessoa e minimizam aquilo que chega a ser exposto.
Soluções como o Namirial Wallet seguem exatamente essa trajetória, baseando-se em fundamentos criptográficos sólidos e, ao mesmo tempo, transferindo a gestão das credenciais para as mãos do usuário.
Durov tem razão em um aspecto: o tempo está se esgotando. Mas a contagem regressiva não se dirige ao momento em que a identidade digital ainda poderá ser interrompida. Esse momento, caso tenha existido, já passou. Ela se dirige ao momento em que sua arquitetura se cristalizará.
A Internet livre não será salva pela recusa em sermos identificados. Ela será salva, ou perdida, nas decisões de projeto que estão sendo tomadas neste exato momento.
Vista por essa perspectiva, a identidade digital não é o fim da Internet livre. É uma das últimas oportunidades de reprojetar conscientemente sua camada de confiança, antes que ela se solidifique em torno de infraestruturas que não controlamos nem compreendemos.
Referências
[1] P. Durov, publicação no X, 10 de outubro de 2025.
[2] G. Lomsadze, “Geórgia remove o ‘666’ dos documentos de identidade”, Eurasianet, 2013.
[3] Electronic Frontier Foundation, “A identidade digital não é para todos, e está tudo bem”, 2024; “O plano falho do DHS para carteiras de habilitação em dispositivos móveis”, 2021.
[4] Regulamento (UE) 2024/1183 (“eIDAS 2.0”); Comissão Europeia, “Identidade Digital Europeia”.
[5] Banco Mundial, iniciativa Identification for Development (ID4D).
[6] e-Estonia, “e-Identity” e “X-Road / Serviços de Interoperabilidade”.
[7] Unique Identification Authority of India (UIDAI), Aadhaar.
