Nei giorni scorsi è stato pubblicato dalla Commissione Europea un documento, approvato dal gruppo esperti eIDAS il 26 gennaio scorso, contenente le linee guida (framework) per un approccio coordinato verso l’identità digitale europea – European digital identity. Va detto che non si tratta di vere e proprie regole tecniche: è dichiaratamente un documento non vincolante e che nulla pregiudica quanto alle future scelte del Legislatore UE, chiamato ad approvare il nuovo Regolamento eIDAS, che fisserà in maniera definitiva – e stavolta vincolante – le regole per l’Identità Digitale Europea, se e quando verrà approvato.
Nondimeno, è interessante spendere alcune considerazioni sul (corposo) documento di linee guida in questione, poiché il suo scopo è quello di prefigurare alla Commissione UE come dovrebbe essere strutturata e funzionare la Identità Digitale Europea, secondo gli esperti del Gruppo di lavoro eIDAS.
EU Digital wallet, come funzionerà in pratica: tutti i dettagli operativi
Si tratta dunque di un documento importante per mostrare alla Commissione con quali tipi di (future) regole tecniche dovrebbe coordinarsi il Regolamento eIDAS 2 e, in questo senso, si può considerare anticipatorio di possibili futuri scenari regolamentari e normativi. Senza dunque ripercorrerlo nella sua interezza vorrei indicarne alcuni passaggi salienti, che ci fanno comprendere cosa vuol essere l’identità digitale europea e, soprattutto, come si coordina con i servizi e sistemi di identità elettronica già esistenti, SPID e CIE e con i servizi fiduciari quali la firma elettronica e la gestione degli attributi.
Come funzionerà l’identità digitale europea
La prima cosa che salta all’occhio è la chiara affermazione della valenza non obbligatoria e sostitutiva dell’identità elettronica europea e del relativo sistema di portafoglio dell’identità digitale elettronica europea (EUDI Wallet): il cittadino non è obbligato ad utilizzare l’EUDI Wallet, ma lo Stato membro è obbligato a mettere a disposizione almeno una soluzione conforme a EUDI Wallet. Inoltre, l’EUDI Wallet dovrebbe essere un metodo di autenticazione dell’identità e di trasmissione degli attributi accettato obbligatoriamente dai servizi che prevedano un livello di garanzia elevato o l’uso di autenticazione forte, quindi – per quanto è dato capire – anche dai servizi bancari e di pagamento.
Le linee guida chiariscono però che l’EUDI Wallet non prevede (necessariamente) un nuovo sistema di identità elettronica ma è, in sostanza, una collezione di servizi di vari provider forniti attraverso un’unica applicazione (l’applicazione wallet) da un Wallet Provider: esso può raggruppare i servizi di fornitori di informazioni di identità (PID), fornitori di attributi qualificati (QEAAP), fornitori di attributi non qualificati (EAAP), fornitori di servizi fiduciari qualificati (QTSP), fornitori di servizi fiduciari (TSP) e fornitori di servizi di software o hardware per la firma elettronica qualificata (QSCD).
L’impatto sul contesto italiano
Un limite importante, già evidenziato da molti osservatori, è quello secondo il quale i servizi di identità elettronica compatibili con il wallet, siano quelli che prevedono il livello di garanzia elevato, utilizzati al livello di garanzia elevato. Questo sembrerebbe voler dire che la identità elettronica “europea” non solo non sarebbe sostitutiva di SPID e CIE, ma sarebbe – in sostanza – una modalità di utilizzo delle stesse al livello più elevato, già disponibile per CIE (che non ha invece ancora i livelli basso e significativo, che sono in corso di realizzazione) e comunque previsto, ancorché non ancora disponibile, per SPID. Il portafoglio europeo sarebbe in grado di incorporare le informazioni SPID/CIE al livello elevato e integrarle con una serie di servizi relativi agli attributi, qualificati e non e alla firma, in una sola applicazione, che dovrebbe essere obbligatoriamente accettata a livello nazionale e transfrontaliero nell’Unione Europea.
Va detto che, nel contesto italiano – più maturo sui servizi di identità elettronica di quello di altri Stati membri – molti servizi che sarebbero “introdotti” dal portafoglio europeo, sono già previsti o in avanzato corso di realizzazione: ad esempio la possibilità per i privati di utilizzare l’identità elettronica per l’autenticazione e la registrazione, il sistema di attributi e la possibilità di usare l’identità elettronica per firmare; si tratta di servizi che, a livello nazionale, sono utilizzabili però già con lo SPID di livello 2 (significativo) e dunque con maggiore semplicità, poiché il livello elevato richiede – per qualsiasi sistema di identità – che il certificato sia memorizzato su un dispositivo sicuro presso l’utente, rendendo dunque necessario l’uso di un token o una smartcard, in attesa che si comprenda se gli attuali dispositivi di comune utilizzo (es. smartphone) abbiano le necessarie caratteristiche di sicurezza.
La necessità di smartcard o token
Dunque anche il wallet europeo, richiederebbe – come esplicitato dalle Linee Guida – l’uso di smartcard o token, presentando le difficoltà sin troppo note all’utenza italiana che ha avuto a che fare con la CNS e, più di recente, con la CIE, utilizzabile solo al livello 3, verificando ogni volta la carta fisica con lo smartphone. Si nota anche una importante differenza con il regime dell’attuale regolamento eIDAS: a fronte di Linee Guida che, espressamente, richiamano, per l’uso transfrontaliero dell’identità europea, le caratteristiche tecniche e gli attributi identificativi minimi dell’attuale Regolamento eIDAS e dei regolamenti di attuazione attualmente vigenti, si prevede la necessità dell’uso del livello di garanzia elevato anche per l’uso transfrontaliero; ebbene, non si può non notare che l’attuale Regolamento eIDAS prevede invece che l’uso transfrontaliero delle identità elettroniche notificate alla Commissione (come sono SPID e CIE) sia già possibile al livello 2, il livello significativo, rendendo così possibile autenticarsi su siti di pubbliche amministrazioni europee, con qualsiasi SPID che supporti il livello 2 e rendendo, parimenti, possibile ai cittadini di altri Stati UE, autenticarsi su servizi online italiani con le proprie identità di livello 2, attraverso il c.d. nodo “FICEP” operato da Agid.
Lo scenario per SPID
Non si comprende se l’introduzione dell’identità europea eliminerebbe questa possibilità di uso del livello 2 delle identità nazionali e sarebbe importante comprenderlo. Se venisse mantenuto l’uso di SPID al livello 2 per servizi transfrontalieri, si avrebbe un’alternativa decisamente più semplice, laddove non vi fosse necessità di rappresentare ai servizi online esteri attributi contenuti nel wallet europeo. Peraltro, è veramente un peccato che sia tuttora fermo – a distanza di anni – il progetto di estendere il nodo italiano per l’autenticazione cross-border SPID (FICEP) anche ai servizi privati, che era stato previsto e lanciato da Agid con alcuni partner, ipotizzando peraltro in un ulteriore progetto già vari servizi (il c.d progetto FICES[1]) che erano anticipatori delle applicazioni che ora vengono proposte con il wallet.
Considerando che il nodo FICEP non è stato ulteriormente sviluppato e che i fornitori di attributi in Italia non sono ancora definitivamente partiti, a distanza di anni, le premesse per la realizzazione dell’ambizioso sistema di portafoglio europeo dell’identità non sembrano le migliori. In ogni caso, quel che sembra importante è che il nuovo sistema innovi e integri, ma non soppianti e sostituisca quel che di buono si è fatto in questi anni: SPID conta circa 30 milioni di utenti che potrebbero non essere disposti a cambiare le modalità operative e di utilizzo dell’identità e sta sviluppando un ecosistema di servizi privati molto interessante. Chi ha creduto nell’ecosistema SPID (a partire dagli utenti) ha diritto di sapere che il sistema non verrà soppiantato e che non bisognerà ricominciare da capo. Per questo i servizi del portafoglio UE dovranno essere complementari e non sostitutivi di quanto realizzato nel mondo SPID/CIE.
Allo stesso modo ci sono imprese che stanno facendo importanti investimenti nel riconoscimento e autenticazione documentale (ad esempio nel riconoscimento delle patenti di guida) e logica vorrebbe che il servizio di autenticazione con comunicazione di attributi e informazioni (tra cui, appunto, la patente) fornito tramite il portafoglio europeo costituisca una possibilità ma non sia l’unico modo possibile e consentito di comunicare elettronicamente la patente o altri documenti, rendendo vani gli investimenti e le procedure già sviluppati, collaudati ed utilizzati e, al contempo, costringendo ampie basi utenti a dotarsi del wallet, anche solo per noleggiare un auto in sharing.
