Regolamento (UE) 2024/2982

Protocolli e interfacce dei portafogli europei di identità digitale

Il regolamento di esecuzione (UE) 2024/2982 completa il quadro eIDAS 2.0 definendo i requisiti tecnici che le soluzioni di portafoglio devono rispettare per interagire con parti facenti affidamento, fornitori di attributi e autorità di controllo. La logica sottostante è quella dell’interoperabilità armonizzata nell’Unione, unita a forti garanzie di autenticazione reciproca, minimizzazione dei dati e protezione della vita privata. Il testo si coordina con la raccomandazione (UE) 2021/946 e con gli altri regolamenti di esecuzione del pacchetto sui portafogli europei di identità digitale.

Contesto normativo e coordinamento con altri atti

Il regolamento richiama il regolamento (UE) n. 910/2014, come modificato dal regolamento (UE) 2024/1183, che istituisce il quadro europeo relativo a un’identità digitale. I considerando chiariscono che il presente atto si inserisce in un pacchetto di quattro regolamenti di esecuzione: il presente sui protocolli e interfacce, il regolamento (UE) 2024/2979 sull’integrità e le funzionalità di base, il regolamento (UE) 2024/2977 sui dati di identificazione personale e sugli attestati elettronici di attributi, e il regolamento (UE) 2024/2980 sulle notifiche alla Commissione. Per i trattamenti di dati personali restano applicabili il regolamento (UE) 2016/679 e, se del caso, la direttiva 2002/58/CE; inoltre è richiamata la consultazione del Garante europeo della protezione dei dati.

Ambito materiale

L’articolo 1 delimita l’ambito alle regole sui protocolli e sulle interfacce per quattro funzioni essenziali: rilascio di dati di identificazione personale e attestati elettronici di attributi; presentazione di attributi; richieste di cancellazione dei dati personali; segnalazioni alle autorità di controllo. Le specifiche devono essere aggiornate periodicamente per riflettere gli sviluppi tecnologici, la normazione e il lavoro svolto sulla base della raccomandazione (UE) 2021/946.

Definizioni rilevanti

L’articolo 2 introduce definizioni operative fondamentali per l’interpretazione del testo. In particolare, vengono precisati i concetti di soluzione di portafoglio e di unità di portafoglio, nonché le figure del fornitore del portafoglio, dell’utente del portafoglio e della parte facente affidamento sul portafoglio. Vengono inoltre definiti i certificati di accesso della parte facente affidamento, gli attestati di unità di portafoglio, i certificati di registrazione della parte facente affidamento, le politiche di divulgazione incorporate e i meccanismi di associazione crittografica, che sono centrali per la sicurezza e la verificabilità delle interazioni.

Requisiti generali di sicurezza e tutela della vita privata

L’articolo 3 impone che le unità di portafoglio autentichino e convalidino i certificati e gli attestati pertinenti quando interagiscono con parti facenti affidamento o con altre unità di portafoglio. Prima di presentare attributi, l’unità deve verificare l’identità dell’utente, l’applicazione delle politiche di divulgazione incorporate e l’approvazione, almeno parziale, dell’utente. Il regolamento richiede inoltre che gli utenti possano visualizzare le informazioni rilevanti contenute nei certificati e negli attestati, nonché gli attributi che vengono loro richiesti di presentare. In chiave privacy by design, devono essere previste tecniche che impediscano la collegabilità tra transazioni quando non sia necessaria l’identificazione dell’utente.

Rilascio di dati di identificazione personale e attestati elettronici di attributi

L’articolo 4 stabilisce che le soluzioni di portafoglio debbano supportare protocolli e interfacce per ricevere dati di identificazione personale e attestati elettronici di attributi. Il rilascio è ammesso solo verso soggetti dotati di un certificato autentico e valido di accesso della parte facente affidamento, e solo se tali soggetti rientrano in una delle categorie espressamente previste: fornitore di dati di identificazione personale, fornitore di attestati qualificati, fornitore di attestati emessi da un organismo del settore pubblico responsabile di una fonte autentica o suo conto, oppure fornitore di attestati non qualificati. Se il rilascio è disponibile in più formati, l’unità di portafoglio deve richiederlo in tutti i formati previsti dall’articolo 8 del regolamento di esecuzione (UE) 2024/2979. Le soluzioni devono inoltre consentire la verifica, da parte del fornitore, del rilascio, della consegna e dell’attivazione secondo il livello di garanzia elevato del regolamento (UE) 2015/1502, e devono verificare l’autenticità e validità dei dati ricevuti.

Presentazione degli attributi

L’articolo 5 disciplina la presentazione degli attributi alle parti facenti affidamento, a distanza e, se opportuno, in prossimità. Le soluzioni di portafoglio devono supportare i protocolli e le interfacce conformi alle norme dell’allegato, che richiamano gli standard ISO/IEC 18013-5:2021 e ISO/IEC TS 18013-7:2024. Le unità di portafoglio devono rispondere solo a richieste autenticate e convalidate, devono supportare la prova del possesso delle chiavi private corrispondenti alle chiavi pubbliche impiegate nelle associazioni crittografiche e devono consentire la divulgazione selettiva degli attributi. Le stesse regole si applicano, mutatis mutandis, alle interazioni tra due unità di portafoglio in prossimità.

Cancellazione dei dati e segnalazioni alle autorità di controllo

L’articolo 6 rafforza il diritto dell’utente a chiedere la cancellazione dei dati personali alle parti facenti affidamento con cui ha interagito tramite il portafoglio, in coerenza con l’articolo 17 del regolamento (UE) 2016/679. L’unità di portafoglio deve consentire all’utente di selezionare i destinatari della richiesta e di consultare le richieste già inviate. L’articolo 7, invece, impone il supporto di meccanismi di segnalazione alle autorità di controllo GDPR di cui all’articolo 51 del regolamento (UE) 2016/679. Le segnalazioni devono essere facilmente effettuabili, motivate dall’utente e corredate, se necessario, da informazioni utili all’identificazione della parte facente affidamento e da dichiarazioni in formato leggibile meccanicamente. L’attuazione concreta deve rispettare le norme procedurali nazionali.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri. In pratica, per gli operatori rilevanti si tratta di un atto tecnico immediatamente vincolante, destinato a incidere sulla progettazione e certificazione dei portafogli europei di identità digitale.