Cómo esta petición garantiza tu anonimato siendo verificable
Un sistema en el que el organizador no ve ningún nombre, en el que nadie puede saber quién ha firmado, pero en el que el Govern puede contar el número de firmas legítimas.
El problema en dos frases
En change.org, cualquiera puede firmar varias veces o con un nombre falso. El Govern tiene razón cuando dice que esas firmas no son verificables. Esta plataforma resuelve el problema.
Una metáfora
Imagina una urna transparente en la que cada ciudadano deposita un sobre sellado con un sello personal único, derivado de su NIA pero imposible de invertir. El organizador ve el número de sobres. Nadie puede abrir un sobre. Pero el Govern, que tiene la lista de todos los sellos posibles (porque conoce todos los NIA asignados), puede contar cuántos sobres llevan un sello válido.
¿Por qué el NIA y no el número de pasaporte?
El NIA (Número d'Identificació Administrativa) es el identificador persistente de los ciudadanos andorranos. A diferencia del número de pasaporte —que cambia cada vez que se renueva el documento— el NIA te acompaña toda la vida. Esta persistencia es esencial para que la deduplicación funcione: si una persona firma el día 1 y renueva el pasaporte el día 20, debe producir el mismo sello. El NIA, presente en tu pasaporte y en tu DNI, garantiza esta estabilidad.
Qué ve el organizador
Un contador, iniciales opcionales, comentarios públicos. Nada más. Ningún nombre. Ningún NIA. Ninguna dirección IP en claro.
Qué ve el Govern
Exactamente lo mismo que todo el mundo en la página de transparencia. Además, si decide proceder con la verificación: un número, y solo un número, que indica cuántas firmas corresponden a NIA de ciudadanos andorranos reales.
Qué no ve el Govern
Quién ha firmado. El cálculo de verificación produce un número, no una lista de nombres.
Por qué siete depositarios : el Armari de les Set Claus
Andorra tiene una tradición secular de gobernanza consensuada. En la Casa de la Vall, los archivos nacionales se conservaban en el Armari de les Set Claus (Armario de las Siete Llaves) : un cofre con siete cerraduras distintas, donde cada Consejero representante de una parroquia poseía una llave diferente. Hacía falta la presencia simultánea de las siete llaves para abrir el armario. Nadie podía acceder solo a los archivos del país.
Esta petición aplica el mismo principio al mundo digital. La clave secreta del sistema criptográfico se divide en siete fragmentos, confiados a siete personas públicas e independientes — una por parroquia, en homenaje a la tradición. Hace falta reunir cinco de siete para reconstituir la clave (lo que tolera hasta dos ausencias, para que la ceremonia siga siendo realizable aunque uno o dos depositarios no puedan asistir).
Este diseño protege contra las presiones políticas : ningún actor solo —gobierno, partido, periodista, adversario— puede identificar a los firmantes. Hacen falta cinco depositarios cooperativos a la vez, y estos se han comprometido públicamente a no hacerlo hasta el final de la recogida.
Honestidad técnica
El código es público. Cualquier investigador puede auditarlo. La promesa de anonimato reposa sobre tres pilares:
- Criptográfico: la función de derivación (Argon2id) es deliberadamente lenta, lo que hace costosa cualquier tentativa de desanonimización.
- Criptográfico reforzado (Nivel 2): la clave secreta repartida entre siete depositarios hace que la desanonimización sea imposible durante la recogida, incluso para alguien que disponga de la lista de los NIA andorranos.
- Político y jurídico: el Govern, que posee la lista de los NIA válidos, es el único actor capaz de invertir la función. Está obligado por la ley andorrana y por la APDA a no hacerlo fuera del procedimiento de verificación consentida.