IT Wallet, a che punto siamo e cosa ci aspetta

Procede e si affina l’impianto giuridico dietro al sistema IT Wallet, con alcuni decreti in via di registrazione alla Corte dei Conti. 

II Wallet nasce dalla iniziativa istituzionale di dotare i cittadini italiani di uno strumento di identità digitale sicuro, uniforme e progressivamente interoperabile con il quadro europeo emergente in evoluzione funzionale e di cybersecurity del sistema pubblico di identità digitale (SPID).

IT-Wallet: evoluzione delle norme e stato attuale

Il percorso del progetto si è articolato in fasi progressive con obiettivi specifici per ciascuna di esse. La ricostruzione dei vari passaggi ufficiali utilizzando le fonti istituzionali e di stampa è la seguente:

IT-Wallet e ampliamento dei documenti digitali

L’IPZS ha annunciato sugli organi di informazione la fase evolutiva più ambiziosa del progetto: la digitalizzazione di oltre 200 tipologie di documenti. Tra quelli in programma figurano badge e tessere per i dipendenti pubblici, certificati di stato civile, altri attestati professionali e qualificazioni. La logica sottostante è quella della definizione di un “ecosistema documentale”, dove lo smartphone diventa lo strumento di identificazione primario, sia nel mondo fisico che in quello digitale.

Sistema IT-Wallet: cos’è, architettura e soggetti

La genesi del progetto IT Wallet è fisiologicamente collegata all’evoluzione normativa europea. Il Regolamento (UE) 910/2014 (eIDAS), nella sua versione originale, aveva creato un quadro frammentato: gli schemi nazionali di identità digitale erano riconosciuti tra Stati membri ma con scarsa adozione nel settore privato. La revisione eIDAS 2.0 stabilita con il Regolamento (UE) 2024/1183, entrato in vigore il 20 maggio 2024, ha rappresentato una svolta strutturale con la richiesta agli Stati membri di mettere a disposizione dei propri cittadini almeno un portafoglio digitale europeo certificato (EUDIW) entro il 24 dicembre del 2026.

IT-Wallet e quadro normativo italiano

In anticipo rispetto alle scadenze europee, il legislatore italiano è intervenuto con il Decreto-Legge n. 19 del 2 marzo 2024 (c.d. Decreto PNRR quater), convertito con modificazioni dalla Legge n. 56 del 29 aprile 2024. Tale provvedimento ha introdotto l’articolo 64-quater nel Codice dell’Amministrazione Digitale (CAD), istituendo formalmente il “Sistema di portafoglio digitale italiano (Sistema IT-Wallet)”.

I compiti istituzionali assegnati nel progetto prevedono:

• Il Dipartimento per la Trasformazione Digitale (DTD) della Presidenza del Consiglio dei ministri come titolare e coordinatore strategico.
• PagoPA S.p.A. come gestore dell’App IO e fornitore del wallet pubblico.
• L’Istituto Poligrafico e Zecca dello Stato (IPZS) come unico fornitore di attestati elettronici di dati di identificazione personale e interesse pubblico.
• L’Agenzia per l’Italia Digitale (AgID) come ente preposto alle Linee Guida tecniche (comprese le regole di registrazione degli IT-Wallet privati) e alla vigilanza.
• L’Agenzia per la Cybersicurezza Nazionale (ACN) per i requisiti di sicurezza.

Il finanziamento stabilito nel comma 6 dell’articolo 64-quater ammonta 102 milioni di euro complessivi per il triennio 2024-2026.

Il legislatore ha disegnato un’architettura a doppio binario, in conformità all’art. 64-quater CAD:

• integrato in App IO (PagoPA), è gratuito per il cittadino e gestito da soggetti pubblici. È già operativo nella forma di ‘Documenti su IO’ ed è un Wallet Pubblico;
• Provider privati accreditati (es. banche, assicurazioni) potranno offrire soluzioni alternative di wallet, sottoposte a un processo di accreditamento obbligatorio da parte di AgID, con regole definite dalle Linee Guida ex art. 64-quater, comma 3 CAD. Sono i cosiddetti Wallet Privati.

Questa struttura duale è pensata per favorire l’innovazione del settore privato mantenendo la sovranità dello Stato sulla catena di fiducia. Tuttavia, il quadro normativo è ancora in fase di completamento, in attesa della pubblicazione dei decreti attuativi previsti nell’articolo 64 quater sopra citato.

Per maggiori dettagli si possono consultare le informazioni istituzionali sull’IT-Wallet al collegamento seguente:

IT-Wallet e attestati elettronici di attributi

In anticipazione del EUDIW comunitario e a differenza di strumenti come lo SPID (che verificano l’identità al momento dell’accesso), l’IT-Wallet introduce gli “attestati elettronici verificati alla fonte“: i documenti vengono verificati e autenticati dall’autorità competente (IPZS) al momento del caricamento, e possono poi essere presentati autonomamente dal titolare senza necessità di nuove verifiche in tempo reale. Questo consente l’uso anche offline — una caratteristica che distingue il wallet dagli strumenti di autenticazione tradizionali.

Normative IT-Wallet: decreti attuativi in attesa

Al momento (ma l’attesa dovrebbe essere breve) non sono ancora in Gazzetta Ufficiale i decreti attuativi previsti dall’art. 64-quater CAD. I due DPCM — in capo ai Ministeri dell’Economia e della Pubblica Amministrazione — erano attesi nel primo trimestre 2025 ma hanno subito ritardi burocratici. Il Garante della Privacy ha espresso il proprio parere sugli schemi di decreto il 4 agosto 2025, chiedendo al DTD una relazione di rendiconto entro il 31 marzo 2026.

Questi decreti sono essenziali per:

• Definire la data di avvio formale del wallet pubblico come ‘Sistema IT-Wallet’ (in sostituzione della fase transitoria ‘Documenti su IO’).
• Stabilire la data e le modalità di accreditamento per i wallet privati.
• Specificare le tipologie di servizi che potranno essere remunerati dai provider privati.
• Definire in dettaglio i ruoli e le competenze di PagoPA e IPZS nelle future fasi operative.

IT-Wallet e contenuto dei decreti attuativi

L’assenza dei decreti attuativi in Gazzetta non impedisce di analizzare gli scenari futuri, in attesa della loro ufficiale, indispensabile pubblicazione in Gazzetta Ufficiale ed entrata in vigore. Questa analisi è facilitata dall’analisi del testo del parere del Garante per la protezione dei dati personali e da informazioni disponibili in rete.

Il corpo normativo è, in conformità all’articolo 64-quater del CAD, composto di due DPCM attuativi del comma 3 e del comma 5 del citato articolo.

Il DPCM che attua il comma 3 è “Approvazione delle Linee Guida del Sistema IT-Wallet e regole per la sperimentazione ai sensi dell’articolo 64-quater, comma 3, del decreto legislativo 7 marzo 2005, n.82”. Per quanto concerne il comma 5, “Disciplina del sistema IT-Wallet e dei relativi servizi ai sensi dell’articolo 64-quater, comma 5, del decreto legislativo 7 marzo 2005, n. 82”.

Le LLGG in questa fase sono esplicitamente relative alla fase di sperimentazione come esplicitamente indicato nel titolo del documento.

Il decreto relativo al comma 3 è un decreto del Sottosegretario di Stato alla Presidenza del Consiglio dei ministri con delega all’innovazione tecnologica, adottato di concerto con il Ministro dell’Economia e delle Finanze e il Ministro per la Pubblica Amministrazione.

Il decreto approva le Linee Guida del Sistema IT-Wallet, il portafoglio digitale nazionale italiano, e definisce le regole per la sua sperimentazione, ai sensi dell’articolo 64-quater del Codice dell’Amministrazione Digitale (CAD).

Il sistema, come già detto, prevede diversi attori istituzionali e privati, tra cui AgID (Agenzia per l’Italia Digitale) come organismo di vigilanza, la società dell’Istituto Poligrafico e Zecca dello Stato (D.Lgs. 116/1999) come unico fornitore del Registro IT-Wallet, unico fornitore degli Attestati di Identificazione Personale e unico fornitore degli attestati elettronici per attributi di Interesse Pubblico, la società di cui al D.L. 135/2018 (PagoPA per l’APP IO) come unico fornitore della Soluzione IT-Wallet Pubblica, più fornitori privati di soluzioni wallet, verificatori e titolari di fonti autentiche.

Gli attestati elettronici, prioritari durante la sperimentazione resi disponibili inizialmente sono: ISEE (dati INPS), titolo di studio e iscrizione scolastica (Ministero Istruzione – banca dati ANIST), titolo accademico (Ministero Università – banca dati ANIS), residenza e dati anagrafici (Ministero Interno/ANPR), Tessera Sanitaria e TEAM (MEF), patente di guida mobile (Ministero Infrastrutture), Carta europea della disabilità (INPS), delega (Istituto Poligrafico).

Viene istituito un registro pubblico che elenca tutti i soggetti registrati al sistema, interoperabile con il catalogo dei servizi della Piattaforma Digitale Nazionale Dati (PDND).

Durante la sperimentazione le specifiche tecniche sono adottate con decreto del Capo del Dipartimento per la trasformazione digitale, in modalità aperta e collaborativa. Dopo la sperimentazione, verranno allineate progressivamente al regolamento europeo eIDAS (UE 910/2014, aggiornato nel 2024) nell’ottica di convergenza al EUDIW (il portafoglio europeo di identità digitale).

AgID con proprio regolamento, (articolo 6, comma 3 del DPCM “comma 3”) ha il compito di definire le procedure amministrative necessarie alla registrazione del Sistema IT-Wallet per i soggetti privati. I soggetti richiedenti la registrazione devono fornire documentazione per dimostrare la sicurezza delle loro soluzioni tecniche. Questi soggetti dovranno dimostrare i requisiti di onorabilità, affidabilità, tecnologici e organizzativi compatibili con la disciplina europea per i soggetti privati e le garanzie assicurative adeguate rispetto all’attività svolta.

AgID può effettuare controlli tecnici, richiedere la documentazione del caso e, in caso di inadempienza, sospendere o revocare la registrazione.

Un elemento importante da sottolineare è che i soggetti coinvolti possono avviare spazi di sperimentazione usando gli standard tecnologici più diffusi a livello UE. Al termine, i risultati vengono valutati da AgID. L’ammissione alla sperimentazione non dà diritto a finanziamenti pubblici né garantisce il riconoscimento giuridico futuro delle scelte tecnologiche adottate.

Le Linee guida descrivono l’architettura e le regole operative del Sistema IT-Wallet italiano, il portafoglio digitale nazionale previsto dal decreto legislativo che ha introdotto nel CAD l’articolo 64-quater.

IT-Wallet: attestati, soggetti e verificatori

Viene ribadito che l’IT-Wallet è un sistema che permette ai cittadini (persone fisiche e giuridiche) di conservare e presentare Attestati Elettronici — documenti digitali verificabili come patenti, tessere sanitarie, qualifiche professionali, titoli di studio — in modo sicuro, senza che i soggetti verificatori vengano a conoscenza dell’identità dell’utente. Le persone giuridiche non saranno più applicabili quanto sarà in vigore il Portafoglio per le imprese (EUDI Business Wallet).

Il sistema coinvolge diversi soggetti: l’Utente, i Fornitori di Attestati Elettronici (di dati personali e di attributi), i Titolari di Fonte Autentica (es. ANPR, registri pubblici), i Fornitori di Soluzioni IT-Wallet e i Verificatori.

Le funzioni essenziali comprendono attivazione dell’istanza IT-Wallet, ottenimento e presentazione degli attestati, revoca/sospensione, archiviazione, e divulgazione selettiva degli attributi (l’utente sceglie quali dati condividere e con chi).

Il sistema deve garantire controllo (l’utente mantiene sempre il controllo sui propri dati), sicurezza (integrità e confidenzialità), e interoperabilità tra le diverse soluzioni tecniche. Si integra con il sistema di autenticazione basato su CieID.

In perfetto allineamento con l’EUDIW, un principio cardine è la non tracciabilità: i fornitori di attestati non devono poter tracciare l’utilizzo dei documenti da parte degli utenti. Il sistema adotta meccanismi crittografici avanzati per garantire l’autenticità degli attestati pur proteggendo la privacy. Il concetto si amplia nelle funzionalità generali richiedendo trattamenti dei dati minimizzati e proporzionali con un totale controllo da parte dell’utente che avrà a disposizione anche un cruscotto informativo sulla circolazione e l’utilizzo dei dati personali.

Il DPCM stabilito ai sensi del comma 5 attua il Sistema IT-Wallet definendo i compiti di PagoPA e IPZS, la data di avvio (le fonti giornalistiche indicano febbraio 2027) e i principi di sostenibilità economica del wallet.

IT-Wallet: ruoli di IPZS e PagoPA

IPZS è responsabile dell’infrastruttura tecnologica del sistema e svolge tre ruoli esclusivi:

• Unico gestore del Registro IT-Wallet (in collaborazione con AgID).
• Unico fornitore degli Attestati Elettronici di Identificazione Personale (nome, cognome, data/luogo di nascita, cittadinanza, codice fiscale), rilasciati solo previa autenticazione con CieID a livello di garanzia elevato.
• Unico fornitore degli Attestati Elettronici di Interesse Pubblico (documenti d’identità con foto, come la CIE), erogabili solo tramite il wallet pubblico.

Questi ruoli saranno mantenuti anche per la fase EUDIW.

PagoPA è responsabile della Soluzione IT-Wallet Pubblica (l’app/portafoglio digitale del cittadino). Gestisce l’infrastruttura tecnologica, garantisce l’interoperabilità con i wallet privati e con la PDND, e subentra progressivamente nelle funzioni del punto di accesso telematico della PA (ex art. 64-bis CAD) nota anche come APP IO.

Sulla base delle fonti non ufficiali disponibili:

• Il wallet pubblico è disponibile dalla pubblicazione del decreto, con rilascio graduale delle funzionalità.
• I soggetti già aderenti a PDND sono registrati al sistema su semplice richiesta.
• I soggetti pubblici (art. 2 CAD) hanno 12 mesi per aderire obbligatoriamente come Fonte Autentica.
• I soggetti privati possono registrarsi volontariamente dalla stessa data.

Gli attestati elettronici validi sostituiscono i controlli documentali tradizionali (DPR 445/2000). Le dichiarazioni presentate tramite IT-Wallet sono equivalenti a quelle tradizionali. Questa regola si applica anche ai soggetti privati.

IT-Wallet: sostenibilità economica dei servizi

La sostenibilità economica è l’elemento cruciale di tutti l’ecosistema e i dubbi su questo tema sono ancora presenti anche nello scenario dell’EUDIW.

In specifica relazione all’IT-Wallet:

• Le funzionalità essenziali sono gratuite per i cittadini (Servizi Base).
• I servizi aggiuntivi (Servizi Remunerabili) potranno essere tariffati, in particolare verso i verificatori privati di attestati e verso i fornitori di wallet privati.
• Le PA sono esenti da tariffe.
• Un successivo DPCM definirà le tariffe specifiche, i servizi base/remunerabili e la copertura dei costi iniziali a carico della finanza pubblica.

La domanda alla quale bisogna rispondere è se l’ecosistema wallet regge senza finanziamenti pubblici terminato il periodo nel quale i fondi sono stati messi a disposizione dallo Stato.

IT-Wallet: privacy, titolarità e misure tecniche

Come richiesto nel Parere del Garante per la protezione dei dati personali e recepito in questo decreto:

• IPZS è titolare del trattamento per gli attestati di identificazione e di interesse pubblico.
• PagoPA è titolare per la gestione del wallet pubblico.
• AgID è titolare per il Registro IT-Wallet.
• Il sistema è progettato per la privacy by design: nessun tracciamento delle transazioni può avvenire senza consenso, separazione logica dei dati e divieto di profilazione incrociata.
• Un decreto del Capo del Dipartimento per la Trasformazione Digitale definirà le misure tecniche e organizzative specifiche comunque già disponibili nelle specifiche tecniche pubblicate su GitHub.

Norme IT-Wallet: bilancio e limiti

Il sistema dell’IT-Wallet il cui cammino è iniziato nel marzo del 2024 attende l’imminente pubblicazione delle norme attuative e delle Linee Guida allegate al decreto emesso ai sensi del comma 3 dell’articolo 64-quater del CAD, formalmente l’IT-Wallet senza l’entrata in vigore dei decreti non esiste.

La fase sperimentale ufficiale passa dalla disponibilità di documenti “ad immagine” a quella fruibile sul telefono e agli attestati elettronici di attributi che rappresentano il primo salto di qualità verso il EUDIW comunitario. All’inizio del 2027 si avrà la disponibilità di un IT-Wallet con il passaggio dalla attuale fase di sperimentazione a quella pienamente operativa con l’adeguamento al EUDIW che comunque dovrebbe essere a partire dal 24 dicembre 2026 (data che rappresenta, in termini giuridici, un termine ordinatorio e non perentorio) .

Nel corso del 2027 l’ecosistema comunitario dei portafogli di identità si dovrà sviluppare nel senso degli obiettivi nativi del nuovo regolamento eIDAS.

L’obiettivo finale riportato da varie fonti è il febbraio 2027, quando la pubblica amministrazione dovrà adeguarsi per accettare i documenti digitali, completando l’integrazione di tutti i principali certificati sul telefono.

Le principali criticità sono l’impatto della cybersecurity all’interno dell’intero sistema che deve garantire un’identità unica, interoperabile e allo stato dell’arte sulla protezione dei dati personali.

La sicurezza dell’intero sistema deve essere sostenuta adeguatamente compresa la vigilanza che in Italia è congiunta con AgID e ACN. Tutto questo ha dei costi elevati e continui, la cybersecurity non ha momenti di pausa. Per questi motivi scelte di sostenibilità economica adeguate sono cruciali e vitali per il futuro dell’ecosistema dell’identità digitale. Queste scelte faranno parte del sistema normativo di riferimento e saranno la base di orientamento operativo per i soggetti privati, ma anche per gli eventuali investimenti pubblici.