Ci si avvicina sempre di più alla data del 24 dicembre 2026 quando “ciascuno Stato membro fornisce almeno un portafoglio europeo di identità digitale” (art. 5 bis, par. 1 del regolamento europeo 910/2014 – eIDAS). La Commissione Europea, ENISA, gli Stati e gli enti di standardizzazione (CEN, ETSI, ecc.) stanno lavorando alacremente sul tema delle specifiche tecniche di riferimento, sulle regole di certificazione e sugli standard armonizzati da utilizzare.
L’enorme volume di informazioni che giunge, anche dai social, porta alla necessità di una sintesi di ciò che è stato fatto a livello comunitario e nazionale, delle peculiarità del nuovo ecosistema che si viene a creare con il EUDIW ma anche delle importanti criticità che si stanno affrontando.
Nel seguito peculiarità e criticità vengono descritte a livello generale comunitario, per poi analizzare la specifica situazione italiana che presenta qualche elemento aggiuntivo di complessità.
Indice degli argomenti
Il quadro normativo
Il Regolamento (UE) 2024/1183 del Parlamento europeo e del Consiglio, dell’11 aprile 2024, pubblicato nella Gazzetta ufficiale dell’Unione europea il 30 aprile 2024 ed entrato in vigore il 20 maggio 2024, ha modificato il Regolamento (UE) n. 910/2014 (ampiamente citato come “regolamento eIDAS”), inserendo nel Capo II una nuova Sezione 1 dedicata al European Digital Identity Wallet (EUDI Wallet, di seguito anche “portafoglio” o “wallet”), composta dagli articoli da 5 bis a 5 septies (artt. 5a-5f nella numerazione inglese).
La struttura della Sezione 1 è la seguente: l’articolo 5 bis (5a) disciplina l’emissione, i requisiti tecnici e funzionali e i diritti dell’utente rispetto al portafoglio europeo; l’articolo 5 ter (5b) regola la registrazione e gli obblighi delle relying party (i soggetti, pubblici o privati, che si affidano al wallet per identificare l’utente); l’articolo 5 quater (5c) disciplina la certificazione di conformità dei wallet; l’articolo 5 quinquies (5d) impone la pubblicazione dell’elenco dei wallet certificati; l’articolo 5 sexies (5e) regola la gestione delle violazioni di sicurezza; l’articolo 5 septies (5f) disciplina l’affidamento transfrontaliero sui EUDIW.
Entro il 24 dicembre 2026 ciascuno Stato membro è tenuto a rendere disponibile almeno un portafoglio conforme (art. 5 bis, § 1); da non trascurare anche il fatto che dal dicembre 2027 alcuni soggetti privati vigilati — enti creditizi, istituti di moneta elettronica, prestatori di servizi di pagamento tra gli altri, in base agli obblighi di identificazione già previsti dalla normativa settoriale — dovranno accettarlo, a richiesta, ai fini dell’identificazione dell’utente.
Elementi qualificanti dell’architettura giuridico-tecnica
Le regole sul modello sono focalizzate, in modo moderno, sulla unicità e interoperabilità dell’identità digitale a livello comunitario e su “cybersecurity” e protezione dei dati personali allo stato dell’arte.
Per raggiungere questi obiettivi, l’articolo 5 bis, par. 11, impone che il portafoglio sia fornito nell’ambito di uno schema di identificazione elettronica con livello di garanzia elevato (high) ai sensi dell’articolo 8 del Regolamento, il livello più stringente previsto dal sistema eIDAS.
Il par. 12 richiede inoltre che il EUDIW garantisca security-by-design, principio che si somma — senza sovrapporsi — al principio di privacy-by-design stabilito nel Regolamento (UE) 2016/679 (GDPR).
L’articolo 5 bis, par. 14, riconosce all’utente il pieno controllo sull’uso e sui dati contenuti nel proprio portafoglio. A presidio di tale controllo, la medesima disposizione vieta al fornitore del EUDIW di raccogliere informazioni sull’utilizzo del portafoglio non necessarie all’erogazione del servizio, e di combinare i dati identificativi della persona con altri dati personali provenienti da servizi propri o di terzi, salvo richiesta espressa dell’utente. I dati relativi alla fornitura del EUDIW devono inoltre essere mantenuti logicamente separati da ogni altro dato detenuto dal fornitore — un requisito di segregazione dei dati che, quando il EUDIW è fornito da soggetti privati ai sensi dell’art. 5 bis, par. 2, lett. b) e c), richiama, mutatis mutandis, l’articolo 45 octies (45h), par. 3, dedicato alla separazione funzionale dei prestatori di servizi di attestazione elettronica di attributi.
Le parti facenti affidamento sulla certificazione
L’articolo 5 ter introduce, per la prima volta nel sistema eIDAS, un regime organico per le parti facenti affidamento sulla certificazione (relying party): chiunque intenda affidarsi al EUDIW per erogare servizi pubblici o privati mediante interazione digitale deve registrarsi presso lo Stato membro in cui è stabilita (par. 1), fornendo, tra l’altro, l’indicazione dei dati che intende richiedere agli utenti (par. 2, lett. c). L’articolo 5 ter, par. 3, vieta espressamente alla “relying party” di richiedere dati ulteriori rispetto a quelli dichiarati in fase di registrazione, mentre l’utente conserva, ai sensi dell’art. 5 bis, par. 5, lett. b), la possibilità di verificare l’autenticità e la validità dell’identità della relying party stessa prima di condividere alcun dato.
Certificazione e vigilanza sul EUDIW
La conformità dei EUDIW ai requisiti tecnici e funzionali dell’art. 5 bis (in particolare parr. 4, 5 e 8), al requisito di separazione logica di cui al par. 14 e agli standard tecnici di cui al par. 24, deve essere certificata da organismi di valutazione della conformità designati dagli Stati membri (art. 5 quater, par. 1). Per i profili di “cybersecurity”, la certificazione segue gli schemi europei adottati ai sensi del Regolamento (UE) 2019/881 (“Cybersecurity Act”, art. 5 quater, par. 2). L’elenco dei EUDIW certificati, con i relativi rapporti di valutazione, deve essere notificato alla Commissione e reso pubblico (art. 5 quinquies).
Gratuità, revocabilità e accessibilità
L’emissione, l’uso e la revoca del portafoglio devono essere gratuiti per tutte le persone fisiche (art. 5 bis, par. 13). L’articolo 5 bis, par. 9, individua le circostanze che legittimano la revoca della validità del EUDIW, mentre il par. 21 impone che il portafoglio sia reso accessibile alle persone con disabilità in condizioni di parità con gli altri utenti, in conformità alla direttiva (UE) 2019/882 (“European Accessibility Act”).
EUDI wallet, fronti critici
La Commissione europea con un lavoro intenso e di grande sforzo, condotto fianco a fianco con gli Stati membri ha emesso alla data 31 regolamenti di esecuzione che si associano ad oltre 200 standard o specifiche tecniche.
In base alle regole comunitarie sulla neutralità tecnologica le regole tecniche per formati, protocolli, procedure di certificazione, standard di riferimento non è definito direttamente dal Regolamento ma è demandato a regolamenti di esecuzione (Implementing Acts) della Commissione, adottati secondo la procedura d’esame di cui all’art. 48, par. 2.
Alla data alcuni di questi regolamenti, tutti relativi all’ecosistema del EUDIW risultano, alla data, oggetto di modifica, con inevitabili ricadute sulla stabilità del quadro tecnico su cui gli Stati membri devono costruire le proprie infrastrutture nazionali.
L’ARF (Architecture Reference Framework) non è ancora alla versione finale, anche se non presenta criticità bloccanti per la messa in opera del EUDIW.
La certificazione di sicurezza del EUDIW
Il modello distribuisce le responsabilità su più soggetti, Stato membro, fornitore del EUDIW (pubblico o privato), organismo di certificazione, “relying party”. Si ritiene che il Regolamento non offra un regime unitario di responsabilità civile per l’intera catena. L’art. 5 bis, par. 19, richiama semplicemente, mutatis mutandis, l’articolo 11 (regime di responsabilità già previsto per gli schemi di identificazione elettronica notificati), la cui applicazione a un’infrastruttura strutturalmente più complessa — che coinvolge fornitori privati ai sensi dell’art. 5 bis, par. 2, lett. b) e c) può condurre a questioni interpretative che sarebbe meglio prevenire. Lo schema di certificazione è in questa fase in capo agli Stati membri sulla base di un modello generale di ENISA che, quando consolidato, sarà riferimento per tutti. Sulla tematica della certificazione la criticità è la carenza comunitaria di CAB (Conformity Assessment Bodies) che potrebbe rallentare gli indispensabili processi di certificazione. Un EUDIW non certificato, di fatto, non esiste.
Tempi di adozione tra Stati membri
Il Regolamento non impone un modello tecnico unico di implementazione, ma un quadro di interoperabilità entro cui gli Stati membri sviluppano le proprie soluzioni, anche avvalendosi di infrastrutture nazionali preesistenti (art. 5 bis, par. 2). Tale flessibilità, funzionale al principio di sussidiarietà, comporta però il rischio di un’adozione asimmetrica: Paesi con sistemi di identità digitale già maturi (ad es. i modelli estone o italiano) partono da una base infrastrutturale diversa rispetto a Stati membri privi di un equivalente pregresso, con possibili ricadute sull’effettiva interoperabilità transfrontaliera nella fase di prima applicazione.
Il principio di volontarietà: l’articolo 5 bis, paragrafo 15
Il paragrafo 15 dell’articolo 5 bis è collocato, non casualmente, subito dopo le disposizioni sulla separazione logica dei dati (par. 14) e prima del regime di notifica alla Commissione (par. 16 e seguenti). Il testo dispone quanto segue:
“L’uso dei portafogli europei di identità digitale è facoltativo (nota: la parola inglese è “voluntary”, la traduzione “facoltativo” appare fuorviante). L’accesso ai servizi pubblici e privati e al mercato del lavoro nonché la libertà d’impresa non sono in alcun modo limitati o resi svantaggiosi per le persone fisiche o giuridiche che non utilizzano i portafogli europei di identità digitale. Resta possibile accedere ai servizi pubblici e privati con altri mezzi di identificazione e autenticazione esistenti”.
La disposizione si articola in tre proposizioni normative distinte, ciascuna con una funzione precisa nell’economia complessiva della norma:
Prima proposizione — principio di volontarietà: l’adozione del EUDIW da parte del singolo è rimessa a una scelta libera, non imposta né dallo Stato membro né da alcuna “relying party”.
Seconda proposizione — clausola generale anti-discriminatoria: la mancata adozione non può tradursi in una limitazione o in uno svantaggio con riferimento a tre ambiti specificamente individuati dal legislatore — l’accesso ai servizi pubblici e privati, l’accesso al mercato del lavoro, la libertà di iniziativa economica.
Terza proposizione — obbligo di canale alternativo: gli Stati membri e i soggetti privati devono mantenere pienamente operativi i mezzi di identificazione e autenticazione già esistenti, che non possono essere dismessi, ridotti nella loro funzionalità o resi meno accessibili in ragione della disponibilità del EUDIW.
Quest’ultima proposizione ha un impatto cruciale sul sistema nazionale italiano che sta utilizzando SPID e CieID. Questi due mezzi non possono essere dismessi, poi bisognerà valutare se giuridicamente se SPID potrà esserlo a favore del mantenimento del CieID portato all’interno dell’IT-Wallet, ne parliamo dopo.
Sul piano sistematico, tre profili meritano di essere segnalati.
Rapporto con il regime delle “relying party”
Rapporto con il regime delle “relying party”. Il par. 15 tutela la posizione dell’utente, ma non incide sugli obblighi di accettazione che il Regolamento o la normativa settoriale applicabile pone in capo a determinati soggetti privati nei confronti di chi il EUDIW lo utilizza. Ne discende un assetto asimmetrico: il cittadino resta libero di non adottare il portafoglio, ma il soggetto privato tenuto per legge a un’identificazione certa non può rifiutare il EUDIW quando l’utente sceglie di presentarlo, né può discriminare chi non lo utilizza. La disposizione, in altri termini, non crea un obbligo di accettazione — che deriva da altre norme, generali o settoriali — ma ne delimita l’ambito, imponendo che l’accettazione del EUDIW sia sempre bilaterale a un mezzo alternativo.
Rapporto con l’art. 5 bis, par. 13
Rapporto con l’art. 5 bis, par. 13 (gratuità). Volontarietà e gratuità sono previsioni complementari: la prima priva di effetto giuridico ogni forma di pressione all’adozione, la seconda rimuove l’ostacolo economico che, altrimenti, potrebbe indurre indirettamente all’adozione chi non potrebbe permettersi mezzi di identificazione alternativi onerosi. Lette insieme, le due disposizioni compongono un nucleo di garanzie a tutela della libertà di scelta del cittadino, difficilmente scindibile ai fini interpretativi.
Profilo applicativo aperto
Profilo applicativo aperto. Il Regolamento non individua un’autorità di enforcement dedicata né un apparato sanzionatorio specifico per la violazione del par. 15: la sua effettività dipenderà, in concreto, dagli strumenti di vigilanza settoriale nazionali e dalla capacità delle autorità competenti compresa la protezione dei dati, stante il collegamento funzionale con i princìpi del GDPR, di intercettare prassi che, pur senza vietare formalmente i mezzi alternativi, ne rendano l’utilizzo concretamente più oneroso o discriminante rispetto al EUDIW.
La situazione italiana
In Italia si è scelta la strada dell’IT-Wallet stabilito con l’articolo 64-quater del CAD nel marzo del 2024. Il percorso dell’IT-Wallet deve essere considerato rigorosamente parallelo a quello dell’EUDIW anche per quanto descritto in precedenza. In realtà IT-Wallet non è ancora presente nel nostro ordinamento in attesa della pubblicazione in Gazzetta Ufficiale dei decreti attuativi stabiliti nel citato 64-quater. I decreti che si attendono sono per l’attuazione di commi 3 e 5 di questo articolo. Il decreto comma 3 riguarda le Linee Guida del sistema IT-Wallet con le regole per la sperimentazione dello stesso. Una serie di particolari su questo decreto sono stati anticipati da vari organi di stampa.
La disciplina del sistema IT-Wallet e dei relativi servizi è stabilita nel decreto di cui al comma 5 del solito articolo 64-quater.
Cosa può accadere
L’IT-Wallet è contenuta nell’APP IO e ha un suo ciclo di vita specifico che al momento si affianca a SPID che fisiologicamente ha un futuro non certo. L’EUDIW è un’altra cosa, visto e considerato l’art. 5 bis, par. 15 di eIDAS.
L’entrata in vigore dei citati decreti segnerà l’inizio del ciclo di vita dell’IT-Wallet comprese le modalità di accreditamento presso AgID dei soggetti privati fornitori delle soluzioni IT-Wallet privato.
L’EUDIW sta seguendo il suo percorso e almeno formalmente non è EUDIW per quanto più volte detto in precedenza. In questo ambito sono ancora in fase di definizione le modalità di erogazione delle firme qualificate gratuite come stabilito nell’articolo 5-bis, par. 5, lettera g).
Lo scenario
Il portafoglio europeo di identità digitale costituisce un’infrastruttura giuridica e tecnica di notevole complessità, costruita su un impianto normativo che combina requisiti di sicurezza elevati (assurance level high, certificazione secondo il Cybersecurity Act), garanzie di controllo dell’utente sui propri dati (separazione logica, divieto di combinazione dei dati, divulgazione selettiva) e un regime organico per i soggetti che vi si affidano (relying party). Le criticità individuate, rinvio sistematico ad atti di esecuzione ancora in evoluzione, distribuzione delle responsabilità su più soggetti, asimmetria nei tempi di adozione tra Stati membri — non sono difetti di progettazione, quanto piuttosto tensioni fisiologiche di un impianto che intende essere, al tempo stesso, uniforme a livello europeo e sufficientemente flessibile da adattarsi a ventisette contesti nazionali diversi più lo Spazio Economico Europeo.
In questo quadro, l’articolo 5 bis, paragrafo 15, assume un ruolo cruciale e critico: non disciplina aspetti tecnici, ma fissa il limite politico-giuridico entro cui l’intera architettura deve operare, impedendo che uno strumento concepito come opzionale si trasformi, nella prassi applicativa dei prossimi anni, in un requisito di fatto per l’esercizio di diritti e libertà fondamentali riconosciuti dall’ordinamento dell’Unione.
Partecipa alla community