Registro elettronico qualificato, come funziona e quando conviene davvero

Dal 16 dicembre 2025 esiste una via europea, direttamente applicabile, per qualificare un registro elettronico — distribuito o centralizzato — e ottenere una presunzione legale di integrità e conformità. La convenienza della scelta varia però sensibilmente a seconda del contesto applicativo: questo articolo prova a scomporla in cinque domande operative, invece di limitarsi a descrivere il regolamento.

Un dato che nessuno può più modificare vale, in teoria, più di un dato qualunque: è la promessa su cui si fonda ogni registro immutabile, dai registri notarili alle architetture a blockchain. Ma quel valore ha un prezzo — tecnico, organizzativo e, come si vedrà, anche in termini di tutela dei dati personali. Da dicembre 2025, l’Unione europea offre uno strumento per tradurre quella promessa in un effetto giuridico riconosciuto: vale la pena capire a chi conviene, prima di quantificarne il prezzo.

Registro elettronico qualificato: dalla norma italiana alla via europea

Nel 2019 l’Italia ha provato ad aprire per legge uno spazio giuridico alle tecnologie a registro distribuito, con l’art. 8-ter della l. 12/2019. Sette anni dopo, le linee guida attuative — quelle che avrebbero dovuto dire, in concreto, come usare quello spazio — non sono mai arrivate.

Nel frattempo, l’Unione europea ha utilizzato per lo stesso problema una lente diversa: non una norma di rinvio, ma un regolamento di esecuzione già in vigore, il Reg. (UE) 2025/2531 del 16 dicembre 2025, che introduce il registro elettronico qualificato come nuovo servizio fiduciario eIDAS2.

La convenienza della scelta, tuttavia, non si valuta in astratto, ma caso per caso: le cinque domande che seguono provano a orientare quella valutazione, prima di avviare la procedura.

Quanto vale la presunzione di integrità del registro

Chiariamo, intanto, che il registro elettronico qualificato non è un obbligo. È un’opzione che, se esercitata, genera una presunzione relativa, iuris tantum, di integrità e di accuratezza dell’ordine cronologico sequenziale delle registrazioni (art. 45-terdecies, par. 2, del Reg. 910/2014 come modificato dal Reg. 2024/1183).

Chi non si qualifica resta libero di operare – un registro elettronico non qualificato non perde per questo i propri effetti giuridici, ai sensi del par. 1 della medesima disposizione – ma senza quella presunzione: in un contenzioso, l’onere di dimostrare l’integrità dei dati resta interamente a proprio carico, con i relativi costi probatori.

La domanda vera, quindi, è: quanto vale, nel caso concreto, spostare quell’onere della prova? Per chi gestisce registri immobiliari, catene di custodia di prodotti regolamentati, o tracciabilità di transazioni finanziarie, il valore è alto, mentre per un registro interno a bassa esposizione contenziosa, molto meno.

Chi assume la responsabilità del prestatore qualificato

È il punto che la letteratura sul tema tende a dare per scontato, e che invece è tutt’altro che ovvio. Il regolamento è pensato in modo tecnologicamente neutro, applicandosi sia ai registri centralizzati sia a quelli distribuiti, senza favorire l’uno o l’altro modello, ma la qualificazione richiede pur sempre l’individuazione di un prestatore di servizi fiduciari (trust service provider) identificabile, che assuma la relativa responsabilità nei confronti dell’organismo di vigilanza.

Questo è semplice per un registro centralizzato gestito da un’unica impresa. Lo è molto meno per un’infrastruttura a governance diffusa, dove la validazione dei dati dipende da una pluralità di nodi indipendenti – il caso classico delle reti pubbliche “permissionless” a partecipazione volontaria.

Prima di avviare la procedura, va chiarito chi, nel proprio modello di governance, può assumere il ruolo di prestatore qualificato e sottoscrivere, sotto la propria responsabilità, la richiesta di valutazione di conformità: se la risposta non è immediata, è un problema di inquadramento soggettivo da risolvere prima ancora di affrontare la conformità tecnica.

Dati personali nel registro: la qualifica passa dal progetto

Questo è probabilmente il punto meno discusso finora, e quello con le conseguenze pratiche più immediate. Il regolamento stesso richiama gli Orientamenti EDPB sul trattamento dei dati personali tramite tecnologie blockchain, aggiornati alla versione 2.0 il 7 luglio 2026 che pongono un problema strutturale: l’immutabilità richiesta per la qualifica confligge con i diritti di rettifica e cancellazione del GDPR (artt. 16 e 17), e la natura decentralizzata di molte architetture rende più difficile rispettare i principi di minimizzazione e di limitazione della conservazione ex art. 5.

A ciò si aggiunge la questione, tutt’altro che scontata, dell’attribuzione dei ruoli di titolare e responsabile del trattamento (artt. 4, n. 7 e n. 8, GDPR), che dipende dall’architettura concreta adottata e va definita già in fase di progettazione, non a posteriori.

L’EDPB non vieta l’uso della blockchain per trattare dati personali, ma pone un onere preciso a monte: la scelta della tecnologia deve conseguire a una valutazione consapevole di necessità, proporzionalità e idoneità, in applicazione dell’art. 25 GDPR (protezione dei dati fin dalla progettazione, privacy by design) – e, come regola generale, i dati personali andrebbero tenuti fuori dal registro (off-chain, eventualmente con un mero riferimento hash on-chain) ove non sia strettamente necessario il contrario.

Per chi si qualifica trattando dati personali, questo significa che la conformità allo standard tecnico ETSI non basta: serve documentare, separatamente, anche questa valutazione – idealmente in una valutazione d’impatto (DPIA, art. 35 GDPR) – pena un doppio fronte di non conformità, in caso di controllo.

Standard ETSI e costi di manutenzione della qualifica

Il regolamento richiama, come base per i requisiti organizzativi di sicurezza, la norma ETSI EN 319 401 nella versione V3.1.1 (2024-06), con adattamenti puntuali riferiti all’autenticazione dell’origine dei dati, alla garanzia dell’ordinamento cronologico e alla gestione del ciclo di vita delle chiavi crittografiche.

Una nuova edizione, la V3.2.1, è già stata approvata definitivamente l’8 gennaio 2026, con un aggancio più stretto ai requisiti di gestione del rischio informatico di NIS2 — ma il regolamento non si aggiorna da solo: il rinvio a una versione specifica e determinata dello standard richiede un intervento formale della Commissione per l’aggiornamento, che per ora non è arrivato.

Per un prestatore, questo significa pianificare la certificazione sapendo che lo standard di riferimento cambierà, probabilmente prima che il regolamento venga aggiornato per recepirlo. Non è un dettaglio da ultimo minuto: è un costo di manutenzione ricorrente da mettere in conto fin dal business plan.

La procedura AgID e la scelta dei tempi per qualificarsi

La procedura in sé non è particolarmente lunga sulla carta: richiesta ad AgID (organismo di vigilanza competente per tutti i servizi fiduciari qualificati in Italia, in base all’art. 17 del Reg. eIDAS), corredata da una valutazione di conformità rilasciata da un organismo di valutazione della conformità accreditato, seguita in caso di esito positivo, dall’iscrizione nell’elenco di fiducia (trusted list) pubblico.

In cambio, si ottiene il diritto a usare il marchio di fiducia UE e il riconoscimento reciproco in tutti gli Stati membri, senza necessità di ulteriori verifiche di conformità in ciascuna giurisdizione.

Ma qui vale la pena di una considerazione più generale: una previsione giuridica, per quanto ben scritta, produce effetti solo nella misura in cui viene concretamente utilizzata. Il Reg. 2025/2531 è già operativo, ma resta comunque giovane: gli organismi di certificazione sono in fase di accreditamento, lo standard tecnico di riferimento è già superato dalla propria evoluzione, e il coordinamento con il GDPR è affidato a orientamenti di fatto privi di forza di legge propria.

Per chi non ha un’urgenza specifica, attendere che il sistema si consolidi può essere una scelta ragionevole quanto procedere subito: dipende dal peso specifico che, per il proprio caso, ha la presunzione di conformità di cui si è parlato.

Quello che emerge da queste cinque domande è che la qualifica non è un traguardo automatico, ma una scelta da calibrare caso per caso: dipende da quanto vale, per chi la richiede, spostare l’onere della prova; da quanto è chiara la propria governance; da quanti dati personali transitano nel registro; da quanto si è disposti a rincorrere l’evoluzione dello standard tecnico.

Lo strumento, oggi, esiste ed è operativo — la domanda che resta aperta non è più se sarà disponibile, ma quando convenga usarlo. Il Digeat Festival, che si terrà a Lecce dal 5 all’8 novembre 2026, sarà l’occasione giusta per approfondire questo e tanti altri temi, tuttora vivi ed in continua evoluzione, grazie alla preziosissima collaborazione di relatori di rilievo nazionale ed internazionale.