Regolamento (UE) 2014/910

Identificazione elettronica e servizi fiduciari nel mercato interno

Il regolamento istituisce una base giuridica uniforme per rafforzare la fiducia nelle transazioni elettroniche transfrontaliere e superare la frammentazione dei sistemi nazionali. Esso sviluppa e sostituisce il quadro della direttiva 1999/93/CE sulle firme elettroniche, estendendolo all’identificazione elettronica e a ulteriori servizi fiduciari, con un approccio tecnologicamente neutrale e orientato all’interoperabilità.

Ambito di applicazione e principi generali

Il regolamento si applica ai regimi di identificazione elettronica notificati dagli Stati membri e ai prestatori di servizi fiduciari stabiliti nell’Unione. Comprende firme e sigilli elettronici, validazioni temporali, servizi elettronici di recapito certificato, certificati di autenticazione dei siti web, servizi di convalida e conservazione e documenti elettronici.

Sono esclusi i servizi fiduciari utilizzati esclusivamente in sistemi chiusi, disciplinati dal diritto nazionale o da accordi tra un insieme definito di partecipanti. Restano inoltre impregiudicate le norme nazionali e dell’Unione sulla conclusione e validità dei contratti, sugli altri vincoli giuridici e sui requisiti di forma, inclusi quelli applicabili ai registri pubblici.

I prodotti e servizi fiduciari conformi al regolamento godono della libera circolazione nel mercato interno. Il trattamento dei dati personali deve rispettare la direttiva 95/46/CE; gli Stati membri non possono vietare l’uso di pseudonimi nelle transazioni elettroniche, fatti salvi gli effetti giuridici previsti dal diritto nazionale.

Identificazione elettronica e riconoscimento transfrontaliero

Gli Stati membri possono notificare alla Commissione i propri regimi di identificazione elettronica. Un regime è notificabile se i mezzi sono rilasciati dallo Stato, su suo incarico o da soggetti indipendenti riconosciuti; se consentono l’accesso almeno a un servizio pubblico online; se rispettano almeno uno dei livelli di garanzia previsti; e se assicurano l’autenticazione online transfrontaliera.

Sono previsti tre livelli di garanzia:

• basso, con sicurezza limitata e misure volte a ridurre il rischio di uso abusivo o alterazione dell’identità;
• significativo, con sicurezza significativa e riduzione significativa dei rischi;
• elevato, con sicurezza superiore al livello significativo e misure dirette a impedire l’uso abusivo o l’alterazione dell’identità.

Quando un servizio online di un organismo del settore pubblico richiede l’identificazione elettronica, devono essere riconosciuti i mezzi rilasciati nell’ambito di un regime notificato di un altro Stato membro se:

• il regime figura nell’elenco pubblicato dalla Commissione;
• il livello di garanzia del mezzo è almeno pari a quello richiesto dal servizio;
• il servizio utilizza il livello di garanzia significativo o elevato.

Il riconoscimento deve avvenire entro 12 mesi dalla pubblicazione del regime nell’elenco. I mezzi con livello di garanzia basso possono essere riconosciuti facoltativamente dagli organismi pubblici.

L’autenticazione transfrontaliera relativa a servizi pubblici è fornita gratuitamente. Gli Stati membri non possono imporre requisiti tecnici sproporzionati che ostacolino l’interoperabilità. Il quadro di interoperabilità deve essere tecnologicamente neutrale, basato ove possibile su norme europee e internazionali, rispettare la privacy by design e garantire il trattamento dei dati personali conforme alla direttiva 95/46/CE.

Notifica, sicurezza e responsabilità dei regimi di identificazione

Lo Stato membro notificante deve comunicare alla Commissione, tra l’altro, la descrizione del regime, i livelli di garanzia, i soggetti che rilasciano i mezzi, le autorità responsabili, il regime di vigilanza e responsabilità, le modalità di autenticazione e le procedure di sospensione o revoca.

In caso di violazione o compromissione del regime o dell’autenticazione transfrontaliera, lo Stato membro deve sospendere o revocare senza indugio la parte compromessa e informare gli altri Stati membri e la Commissione. Se la violazione non è risolta entro tre mesi dalla sospensione o revoca, deve essere notificato il ritiro del regime.

La responsabilità è ripartita tra:

• lo Stato membro notificante, per il mancato rispetto degli obblighi relativi all’attribuzione dei dati identificativi e alla disponibilità dell’autenticazione;
• il soggetto che rilascia i mezzi, per il mancato corretto collegamento del mezzo alla persona identificata;
• il soggetto che gestisce l’autenticazione, per la gestione non corretta del processo.

La responsabilità opera secondo le norme nazionali applicabili.

Servizi fiduciari e responsabilità dei prestatori

I prestatori di servizi fiduciari sono responsabili dei danni causati con dolo o negligenza per violazione degli obblighi del regolamento. Per i prestatori non qualificati, il danneggiato deve provare dolo o negligenza; per i prestatori qualificati, tali elementi si presumono, salvo prova contraria.

Il prestatore può limitare l’uso del servizio e la propria responsabilità per utilizzi oltre i limiti indicati solo se informa preventivamente e adeguatamente i clienti e se tali limiti sono riconoscibili dai terzi. Le regole di dettaglio sulla responsabilità, sui danni e sull’onere della prova restano disciplinate dal diritto nazionale.

I servizi prestati da soggetti stabiliti in Paesi terzi sono riconosciuti equivalenti ai servizi qualificati dell’Unione soltanto se tale riconoscimento è previsto da un accordo internazionale concluso dall’Unione ai sensi dell’articolo 218 TFUE.

Vigilanza e qualificazione

Ogni Stato membro designa un organismo di vigilanza, dotato dei poteri e delle risorse necessari. L’organismo esercita vigilanza ex ante ed ex post sui prestatori qualificati e vigilanza ex post sui prestatori non qualificati quando riceve informazioni su possibili violazioni.

Tra i compiti dell’organismo rientrano l’analisi delle relazioni di conformità, le verifiche, la cooperazione con le autorità di protezione dei dati, l’assegnazione o il ritiro della qualifica, il controllo dei piani di cessazione e l’imposizione di misure correttive.

I prestatori qualificati devono sottoporsi, a proprie spese, almeno ogni 24 mesi, a una verifica effettuata da un organismo di valutazione della conformità. La relazione deve essere trasmessa all’organismo di vigilanza entro tre giorni lavorativi dalla ricezione. L’organismo può inoltre disporre verifiche ad hoc.

Un prestatore non qualificato che intenda avviare servizi qualificati deve notificare tale intenzione e presentare una relazione di valutazione della conformità. L’organismo di vigilanza decide, di regola, entro tre mesi dalla notifica. Il servizio può iniziare soltanto dopo la registrazione della qualifica nell’elenco di fiducia.

Elenchi di fiducia e marchio UE

Ogni Stato membro istituisce, mantiene e pubblica un elenco di fiducia contenente i prestatori qualificati di propria competenza e i servizi qualificati da essi prestati. Gli elenchi devono essere pubblicati in forma sicura e firmati o sigillati elettronicamente in formato adatto al trattamento automatizzato.

Dopo la registrazione nell’elenco, il prestatore qualificato può utilizzare volontariamente il marchio di fiducia UE. In tal caso deve rendere disponibile sul proprio sito web un collegamento all’elenco di fiducia pertinente.

Requisiti organizzativi e operativi dei prestatori qualificati

Il prestatore qualificato deve verificare l’identità del soggetto cui rilascia un certificato, mediante presenza fisica, identificazione elettronica con livello significativo o elevato, certificato qualificato o altro metodo nazionale equivalente verificato da un organismo di conformità.

Deve inoltre:

• impiegare personale e subcontraenti competenti, affidabili e adeguatamente formati;
• disporre di risorse finanziarie adeguate o di un’assicurazione di responsabilità civile appropriata;
• informare preventivamente e chiaramente gli utenti delle condizioni e dei limiti del servizio;
• utilizzare sistemi affidabili e prodotti protetti da alterazioni;
• proteggere, registrare e conservare le informazioni pertinenti;
• adottare misure contro falsificazione e furto di dati;
• predisporre e mantenere un piano di cessazione delle attività;
• trattare le informazioni personali lecitamente;
• mantenere aggiornata la banca dati dei certificati, quando rilascia certificati qualificati.

La revoca di un certificato deve essere registrata e pubblicata tempestivamente e comunque entro 24 ore dal ricevimento della richiesta. La revoca produce effetti immediati dalla pubblicazione e non può essere successivamente ripristinata.

Sicurezza e notifica delle violazioni

Tutti i prestatori, qualificati e non qualificati, devono adottare misure tecniche e organizzative proporzionate ai rischi e agli sviluppi tecnologici. Devono prevenire gli incidenti, minimizzarne l’impatto e informare le parti interessate.

Le violazioni della sicurezza o le perdite di integrità con impatto significativo sui servizi o sui dati personali devono essere notificate all’organismo di vigilanza e, se applicabile, ad altre autorità competenti entro 24 ore dalla conoscenza dell’evento. Se è probabile un effetto negativo su una persona fisica o giuridica, anche quest’ultima deve essere informata senza indugio.

Firme elettroniche

Una firma elettronica non può essere privata di effetti giuridici o di efficacia probatoria per il solo fatto di essere elettronica o di non essere qualificata. La firma elettronica qualificata ha effetti equivalenti alla firma autografa ed è riconosciuta in tutti gli Stati membri se basata su un certificato qualificato rilasciato in uno Stato membro.

La firma elettronica avanzata deve:

• essere connessa unicamente al firmatario;
• consentire l’identificazione del firmatario;
• essere creata con dati sotto il controllo esclusivo del firmatario e con elevato livello di sicurezza;
• essere collegata ai dati firmati in modo da rendere rilevabile ogni modifica successiva.

I certificati qualificati devono contenere, tra l’altro, l’identificazione del prestatore, il nome o pseudonimo del firmatario, i dati di convalida, il periodo di validità, un codice univoco, la firma o il sigillo del prestatore e le informazioni sulla verifica della validità.

I dispositivi qualificati devono assicurare la riservatezza e l’unicità pratica dei dati di creazione, impedirne la derivazione, proteggere la firma da contraffazioni e garantire il controllo del firmatario. La generazione o gestione dei dati per conto del firmatario può essere svolta soltanto da un prestatore qualificato; la duplicazione è consentita esclusivamente per il back-up e nei limiti necessari alla continuità del servizio.

Sigilli elettronici

I sigilli elettronici sono creati da persone giuridiche e garantiscono l’origine e l’integrità dei dati. Anche a un sigillo non qualificato non possono essere negati effetti giuridici o valore probatorio per il solo fatto della forma elettronica.

Il sigillo elettronico qualificato beneficia della presunzione di integrità dei dati e correttezza della loro origine ed è riconosciuto in tutti gli Stati membri se basato su un certificato qualificato rilasciato in uno Stato membro. I requisiti per sigilli avanzati, certificati e dispositivi qualificati sono sostanzialmente paralleli a quelli previsti per le firme elettroniche.

Validazione temporale elettronica

Una validazione temporale elettronica non può essere privata di effetti giuridici o valore probatorio per il solo fatto della forma elettronica. La validazione qualificata gode della presunzione di accuratezza della data e dell’ora e di integrità dei dati associati.

La validazione qualificata deve collegare data e ora ai dati in modo da rendere rilevabili le modifiche, basarsi su una fonte accurata collegata al tempo universale coordinato ed essere apposta mediante firma elettronica avanzata, sigillo elettronico avanzato o metodo equivalente del prestatore qualificato.

Servizi elettronici di recapito certificato

I dati inviati e ricevuti tramite un servizio elettronico di recapito certificato non possono essere privati di effetti giuridici o valore probatorio per la sola forma elettronica. Per i servizi qualificati opera la presunzione di integrità, identificazione del mittente e del destinatario e accuratezza delle date e ore di invio e ricezione.

Il servizio qualificato deve essere fornito da uno o più prestatori qualificati e deve garantire:

• l’identificazione sicura del mittente;
• l’identificazione del destinatario prima della trasmissione;
• la protezione dell’invio e della ricezione mediante firma o sigillo avanzato;
• l’indicazione chiara delle modifiche ai dati;
• la validazione temporale qualificata delle operazioni e delle modifiche.

Autenticazione dei siti web

I certificati qualificati di autenticazione dei siti web devono identificare il prestatore, il titolare del certificato e il dominio o i domini gestiti. Devono inoltre indicare il periodo di validità, il codice identificativo, la firma o il sigillo del prestatore e i servizi di verifica dello stato di validità.

Documenti elettronici

L’articolo 46 stabilisce che a un documento elettronico non possono essere negati effetti giuridici o ammissibilità come prova in giudizio per il solo motivo della sua forma elettronica. Gli effetti sostanziali e probatori ulteriori restano regolati, salvo diversa previsione del regolamento, dal diritto nazionale applicabile.

Sanzioni, abrogazione e disposizioni transitorie

Gli Stati membri devono stabilire sanzioni effettive, proporzionate e dissuasive per le violazioni del regolamento.

Il regolamento è entrato in vigore il ventesimo giorno successivo alla pubblicazione. La disciplina generale si applica dal 1° luglio 2016, mentre numerose disposizioni tecniche e istituzionali si applicano dal 17 settembre 2014. Gli articoli relativi alla notifica e all’interoperabilità dei regimi di identificazione elettronica si applicano dalla data di applicazione dei relativi atti di esecuzione; l’articolo 6 si applica, in via ordinaria, tre anni dopo tale data.

La direttiva 1999/93/CE è abrogata dal 1° luglio 2016. I dispositivi per la creazione di una firma sicura e i certificati qualificati già disciplinati dalla direttiva conservano il riconoscimento previsto dalle disposizioni transitorie. I prestatori di certificazione già operativi devono presentare la relazione di valutazione della conformità entro il 1° luglio 2017; in mancanza, cessano di essere considerati prestatori qualificati dal 2 luglio 2017.