Negli ultimi mesi si è molto parlato, e spesso anche a sproposito, di SPID, il Sistema pubblico di identità digitale sul quale l’Italia è da sempre stata uno dei paesi europei maggiormente all’avanguardia. L’argomento resta di stretta attualità e ora possiamo ritenere si capisca meglio anche il riferimento a un ormai prossimo abbandono di questo sistema di riconoscimento digitale cui aveva esplicitamente fatto riferimento il governo, non mancando di destare una serie di perplessità. Il punto è che si avvicina il momento in cui avverrà il passaggio a un vero e proprio “portafoglio digitale”, in cui troveranno stabile alloggio i nostri principali documenti personali (patente di guida, tessera sanitaria, certificato elettorale), nonché molti altri atti riguardanti il nostro rapporto quotidiano con la PA.
SPID, CIE, e-wallet
In ambito europeo è infatti in discussione la modifica del Regolamento n. 910/2014 del Parlamento e del Consiglio europeo in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno. Stiamo parlando di modifiche consistenti, fra le quali la novità più importante è rappresentata dal cosiddetto E-Wallet, quello che sarebbe appunto destinato a diventare il nostro “portafoglio digitale” per i documenti personali. E l’Italia si trova oggi in prima fila in questo nuovo percorso, che è anche il motivo per il quale si parla tanto di superare lo SPID. Non dobbiamo peraltro dimenticare che, da un punto di vista tecnologico, vi sono differenti sistemi in grado di concretizzarsi in procedure di identificazione. Tuttavia, strumenti associati a un supporto fisico o materiale, come la Carta di Identità Elettronica, si contraddistinguono per un livello di sicurezza superiore allo SPID, che è tutto digitale. Nel caso dello SPID, infatti, è sempre possibile farsi emettere una firma una volta che ci si è autenticati. E ciò rende questo sistema maggiormente vulnerabile, ovvero soggetto a potenziali contraffazioni o hackeraggi, proprio in rapporto alla rapida evoluzione delle tecnologie digitali e delle crescenti competenze acquisite nel loro uso, che possono facilmente consentire di bypassare il momento dell’autenticazione. Il supporto materiale o fisico, al contrario di quello meramente digitale, non è parimenti alterabile.
Governo e tecnici del Dipartimento per la trasformazione digitale della Presidenza del consiglio assicurano che il nuovo sistema improntato all’E-Wallet comporterà ancora la possibilità di utilizzo dello SPID, anche se in prospettiva si andrà verso la diffusione di strumenti in grado di assicurare una maggiore protezione dei nostri dati sensibili. Ma al di là di questo aspetto tecnico, anche se sappiamo che in questo momento lo SPID è il sistema di riconoscimento utilizzato da 35 milioni di italiani, ciò che più è conta è l’insieme dei cambiamenti che, a seguito della riforma dell’eIDAS, interverranno nel campo della identificazione digitale e dei servizi fiduciari ad essa connessi, a partire dalle caratteristiche di funzionamento proprio dell’E-Wallet.
Come funzionerà il portafoglio digitale
La riforma individua nel “portafoglio digitale” un sistema di identità dotato di “portabilità” che consenta a tutti i cittadini europei che se ne doteranno di firmare documenti digitali attraverso firme elettroniche qualificate, cioè dotate di attributi certificati e protetti, oltre che di richiedere, ottenere, memorizzare, selezionare, condividere, in modo sicuro, trasparente e tracciabile per l’utente, i propri dati personali di identificazione, nonché l’attestazione elettronica degli attributi per l’autenticazione richiesti da servizi pubblici e privati online. Tutto ciò dovrebbe essere reso possibile dal collegamento fra l’E-Wallet e un nucleo centrale dell’identità personale (PID), cioè l’insieme di dati correlati all’identità di una persona fisica o giuridica, mentre l’attestazione elettronica degli attributi personali (EEA), cioè gli specifici elementi che una persona fisica o giuridica esibisce in un procedimento, dovrebbe essere realizzata da Prestatori di servizi fiduciari (Trust Service Provider), di natura pubblica o privata. A tale proposito, sono inoltre previsti due tipi di attestazione elettronica degli attributi: una che potremmo dire semplice e una che è definita qualificata. Anche se non sono ancora ben chiare condizioni e modalità cui dovranno corrispondere i soggetti prestatori di servizi autorizzati a conferire entrambi i tipi di attestazione.
Un altro aspetto importante concerne i tipi di documenti che potranno essere attestati ricorrendo all’E-Wallet: si va infatti dai più semplici dati anagrafici (data di nascita, sesso, nazionalità, stato civile, stato di famiglia, residenza) ai principali documenti personali (carta d’identità, patente di guida, tessera sanitaria), fino a includere titoli di studio e licenze professionali, oltre che documenti giuridici comprovanti l’attivazione di regimi di tutela, rappresentanza o delega.
Transizione digitale: un vero e proprio salto di qualità
Siamo pertanto di fronte a un vero e proprio salto di qualità. In una transizione digitale a cui negli ultimi due anni, grazie alla pandemia e al PNRR, è stata impressa un’improvvisa quanto provvidenziale accelerazione, l’introduzione del “portafoglio digitale” rappresenta la naturale evoluzione di quel “domicilio digitale” già esistente e ulteriormente rafforzato con i decreti semplificazioni 2020 e 2021, come modalità privilegiata delle comunicazioni fra cittadino e Pubblica amministrazione e come supporto a una maggiore diffusione dei principali strumenti utilizzati per l’attestazione dell’identità personale quali SPID e CIE, e come AppIO. Senza dimenticare che, sempre con il decreto semplificazioni 2021, al fine di incentivare il ricorso generalizzato alle modalità di certificazione e attestazione di identità e attributi in forma digitale, è stato anche istituito presso la Presidenza del Consiglio il Sistema di gestione deleghe (SGD). Ed è proprio grazie a questo sistema che ha fatto il suo definitivo ingresso nel quadro della normativa vigente lo strumento della “delega telematica”.
Dapprima definita nei termini di una delega semplice (già nota di per sé agli uffici pubblici nella sua forma cartacea), come facoltà di delegare un soggetto terzo, titolare di identità digitale, cioè di SPID, nella gestione del proprio accesso ai servizi telematici della PA. E poi riconosciuta, grazie a un nostro intervento sul decisore pubblico, anche nella forma di delega che può essere assegnata a un libero professionista (Legge n. 118/2022, art. 26, cc. 2.d, 2.f).
Possiamo pertanto dire che il nuovo strumento europeo del “portafoglio digitale” ben si inquadra nell’ambito delle misure recentemente adottate dal governo italiano, allo scopo di favorire da un lato la transizione digitale e, dall’altro, la semplificazione dei procedimenti amministrativi. Temi che a noi professionisti delle pratiche amministrative sono sempre stati a cuore, convinti come siamo che la digitalizzazione rappresenti un fondamentale traguardo per migliorare i rapporti fra cittadino e PA e per rendere il funzionamento degli uffici pubblici più efficiente e snello. Ora un nuovo impulso viene dall’Europa che, dopo aver favorito l’avvio della transizione digitale con i fondi del PNRR, individua nel canale telematico la modalità privilegiata (rapida e sicura) attraverso la quale far viaggiare attestazioni e certificazioni collegate alla nostra identità personale. L’utilizzo dell’E-Wallet resterà comunque facoltativo, al fine di non creare controproducenti effetti di digital divide. Ciò tuttavia non toglie che già a partire dai prossimi anni si dovrà compiere tutti gli sforzi possibili per riorientare i rapporti fra cittadini, imprese e amministrazioni pubbliche verso lo scambio per via telematica di documenti digitali.
Il percorso è dunque quello giusto. Si tratta soltanto di compiere i diversi passi con l’attenzione dovuta a processi che per loro natura sono complessi, implicando profondi cambiamenti culturali, tecnologici e organizzativi. A questo proposito, avanziamo alcune rapide considerazioni che a nostro avviso potranno risultare utili a meglio indirizzare il percorso.
Alcune considerazioni sul percorso futuro
Sappiamo dalla proposta di riforma del Regolamento eIDAS in discussione al Parlamento europeo che gli E-Wallet dovranno svolgere molteplici funzioni e dovranno farlo soddisfacendo una serie di requisiti. Si va dalla necessità di interagire in modo sicuro con i diversi mezzi di identificazione elettronica che saranno loro associati alla possibilità di stabilire connessioni peer-to-peer uniche, private e sicure, sia fra diversi E-Wallet (magari appartenenti anche a persone fisiche o giuridiche di paesi diversi) sia fra questi e i soggetti destinatari delle attestazioni che essi saranno in grado di produrre. Dovranno consentire l’emissione di diversi tipi di attestazioni di attribuzioni, sia semplici sia qualificate. Si dovranno poter utilizzare per richiedere, ricevere, selezionare, inviare, autenticare e convalidare attestazioni elettroniche di attributi, dati di identificazione personale, firme e sigilli elettronici.
Essi dovranno permettere di fare tutto ciò in maniera user-friendly, consentendo agli utenti di esercitare un pieno “diritto di portabilità”, che permetta tra l’altro di passare da un “portafoglio digitale” a un altro dello stesso soggetto proprietario. Ma allo stesso tempo, al fine di assicurare la necessaria sicurezza e privacy ai loro possessori, dovranno essere gestiti da provider professionali. E qui si evidenzia un’importante questione inerente i requisiti che dovranno poter vantare i soggetti prestatori di servizi fiduciari delegati alla gestione degli attributi digitali personali dislocati negli E-Wallet. Sarà pertanto necessario stabilire quanto prima, in sede europea e in modo tale da assicurare la necessaria conformità rispetto alle legislazioni nazionali, quali saranno le condizioni di accreditamento di tali soggetti. Un problema simile, nell’ambito della normativa italiana, già si sta ponendo rispetto alle indicazioni fornite nel decreto semplificazioni 2021, convertito in Legge n. 108/2021, laddove a proposito dell’istituzione del Sistema di Gestione Deleghe si prevede il conferimento di un attributo qualificato ai soggetti destinatari della delega digitale, demandando agli organi competenti, tra i quali AGID, la definizione sia delle categorie di interessati sia delle modalità e procedure per rilascio dello stesso attributo, nel rispetto del Regolamento UE Privacy GDPR. Anche nel caso del Regolamento eIDAS, infatti, non è ancora chiarito chi si potrà vedere attribuita la delega alla gestione degli E-Wallet e a quali condizioni.
L’accreditamento dei soggetti prestatori di servizi fiduciari
Sempre rispetto all’accreditamento dei soggetti prestatori di servizi fiduciari, la proposta di riforma disciplina la responsabilità di chi emette il sistema di identificazione introducendo la responsabilità della parte che gestisce la procedura di autenticazione. E prevede sanzioni per irregolarità commesse dai soggetti prestatori di servizi fiduciari qualificati, così come per gli emittenti delle attestazioni elettroniche degli attributi che sono commisurate al 2 % del fatturato mondiale totale annuo delle imprese di appartenenza del prestatore di servizi, lasciando intendere che si tratterà di imprese multinazionali. A tale proposito, occorre però osservare che un’estensione dei provider oltre la cerchia ristretta delle grandi imprese multinazionali potrebbe comunque assicurare una più ampia e capillare implementazione della policy, favorendo al tempo stesso l’applicazione di prezzi più accessibili alla massa. Vi è poi il rischio che le multinazionali, come spesso avviene in altri ambiti economici, facciano cartello fra di loro, limitando l’offerta di servizi per massimizzare i profitti congiunti, a scapito di una maggiore diffusione degli E-Wallet.
I soggetti che potranno essere delegati
Per quel che infine concerne i soggetti che potranno essere delegati, al pari della normativa italiana, il Regolamento eIDAS afferma che gli E-Wallet dovranno contemplare un meccanismo di delega digitale che consenta all’utente di un’altra persona fisica o giuridica. Ciò che di fatto corrisponde a riconoscere la possibilità di una delega in forma semplice, come quella che si può dare a un parente o a una persona di fiducia. Al tempo stesso, sempre gli E-Wallet, devono presentare dei meccanismi tecnologici che permettano di impedire ai soggetti prestatori di servizi fiduciari di ricevere informazioni rispetto all’uso degli attributi da parte dell’utente. Queste due condizioni delineano, così come si sta verificando nel caso del nostro Sistema Gestione Deleghe, due differenti tipi di deleghe digitali. Occorrerà perciò chiarire bene la distinzione esistente fra delega semplice e delega gestita da un soggetto prestatore di servizi fiduciari e in che misura l’esercizio della seconda prescriva l’esistenza di requisiti più stringenti, così come possono essere assicurati da un ruolo professionale. Per fare un esempio concreto: che tipo di delega dovrà essere concessa per la gestione conto terzi di attestazione elettronica di attributi qualificati?
Da ultimo, un aspetto giustamente molto dibattuto della riforma, in quanto decisivo per l’efficace funzionamento del meccanismo, riguarda il livello di sicurezza che dovrà essere richiesto agli E-Wallet. Al momento nella bozza in discussione è previsto un Level of Assurance “high”. Ciò, come ben sappiamo, comporterà nel corso del tempo un definitivo accantonamento dello SPID. Ma non solo: sarà infatti necessario garantire, soprattutto nel caso di identificazione e autenticazione cross-border, fra stati membri diversi, una equalizzazione dei meccanismi di costruzione degli attributi. E questo potrebbe non essere così facile, considerato che i livelli di digitalizzazione – dalle competenze alla sicurezza – dei 27 stati membri dell’Unione europea sono assai diversi fra loro.
Conclusioni
La riforma del Regolamento eIDAS rappresenta senza dubbio un passo importante sulla strada di una transizione digitale che si sta spingendo sempre più avanti. Un percorso che, come non ci stancheremo mai di sottolineare, implica anche un profondo cambiamento culturale, di mentalità e di impostazione, sia nel mondo privato che nelle pubbliche amministrazioni. E affinché tale cambiamento sia efficace è necessario che la costruzione del nuovo regolamento, così come la sua implementazione, sia condivisa, soprattutto con le associazioni di categoria e del mondo professionale che possono vantare una maggiore esperienza sul campo rispetto a questi meccanismi. Poiché non dobbiamo nemmeno dimenticare che la logica del “portafoglio digitale” porterà inevitabilmente con sé anche importanti cambiamenti nel mondo dell’impresa, nel campo delle professioni e, non da ultimo, nelle abitudini quotidiane dei cittadini. Il dado è tratto. Ora non resta che andare avanti con grande determinazione.
