Regolamento (UE) 2024/1183

Quadro europeo per l’identità digitale e modifica di eIDAS

Il regolamento 2024/1183 modifica in modo esteso il regolamento (UE) n. 910/2014 (eIDAS) per istituire un quadro europeo relativo a un’identità digitale. La finalità dichiarata è rafforzare il mercato interno digitale, garantire un elevato livello di sicurezza e consentire a persone fisiche e giuridiche di accedere in modo sicuro a servizi pubblici e privati online e, in parte, offline in tutta l’Unione.

Il testo si inserisce nel contesto della strategia digitale dell’Unione e mira a superare la frammentazione dei sistemi nazionali, promuovendo interoperabilità, fiducia, protezione dei dati e un uso più ampio di identità e attestati digitali riconosciuti in tutta l’UE.

Ambito soggettivo e oggettivo

Il regolamento si applica ai regimi di identificazione elettronica notificati dagli Stati membri, ai portafogli europei di identità digitale forniti dagli Stati membri e ai prestatori di servizi fiduciari stabiliti nell’Unione. La disciplina copre sia l’identificazione elettronica sia numerosi servizi fiduciari: firme elettroniche, sigilli elettronici, validazioni temporali, documenti elettronici, recapito certificato, certificati di autenticazione di siti web, archiviazione elettronica, attestati elettronici di attributi e registri elettronici.

Restano salve le norme UE e nazionali sulla conclusione e validità dei contratti, sugli altri vincoli giuridici o procedurali relativi alla forma e sui requisiti settoriali di forma. Il regolamento non pregiudica inoltre il GDPR e le altre norme UE rilevanti in materia di protezione dei dati e comunicazioni elettroniche.

Portafoglio europeo di identità digitale

Il nuovo articolo 5 bis impone a ogni Stato membro di fornire almeno un portafoglio europeo di identità digitale entro 24 mesi dalla data di entrata in vigore degli atti di esecuzione richiamati dalla norma. Il portafoglio può essere fornito direttamente dallo Stato membro, su suo incarico o da un soggetto indipendente riconosciuto dallo Stato membro.

Il portafoglio è concepito come strumento sotto il controllo esclusivo dell’utente, che consente di conservare, gestire, combinare, condividere e presentare dati di identità e attestati di attributi. Deve inoltre consentire la generazione di pseudonimi, l’accesso al registro delle transazioni, il download dei dati ove tecnicamente possibile, la portabilità dei dati, la firma elettronica qualificata e il sigillo elettronico qualificato.

La partecipazione è volontaria: gli Stati membri non possono limitare l’accesso ai servizi pubblici o privati a chi non utilizza il portafoglio e devono mantenere soluzioni alternative adeguate.

Requisiti di privacy, sicurezza e trasparenza

Il regolamento attribuisce grande rilievo alla protezione dei dati e alla privacy by design/by default. I dati del portafoglio devono essere logicamente separati dagli altri dati del fornitore; il fornitore non deve osservare le transazioni dell’utente né combinare i dati del portafoglio con altri dati, salvo richiesta espressa dell’utente o specifici casi eccezionali con previo consenso.

È previsto un pannello di gestione comune che rende trasparente la cronologia delle transazioni, incluse data, ora, controparte, dati richiesti e dati condivisi. L’utente deve poter chiedere la cancellazione dei dati personali ai sensi dell’articolo 17 GDPR e segnalare richieste sospette o illecite all’autorità nazionale di protezione dei dati.

Il quadro tecnico deve favorire tecniche di tutela della riservatezza, come la prova a conoscenza zero, e garantire sicurezza fin dalla progettazione, cifratura end-to-end, conferma attiva dell’utente e protezione contro furto di identità, denial of service e altre minacce informatiche.

Registrazione delle parti facenti affidamento sulla certificazione

Chi utilizza i portafogli europei di identità digitale per fornire servizi pubblici o privati mediante interazione digitale deve registrarsi nello Stato membro in cui è stabilito. La registrazione deve essere efficace sotto il profilo dei costi e proporzionata al rischio e richiede almeno: dati identificativi, contatti e indicazione dell’uso previsto del portafoglio, compresi i dati che saranno richiesti agli utenti.

Le parti registrate non possono richiedere dati diversi da quelli dichiarati in sede di registrazione. Gli Stati membri devono pubblicare online le informazioni di registrazione in formato elettronico firmato o sigillato e adatto al trattamento automatizzato.

Certificazione, controllo di conformità e vulnerabilità

La conformità dei portafogli europei di identità digitale e dei regimi di identificazione elettronica ai requisiti tecnici, di separazione dei dati e di garanzia elevata deve essere certificata da organismi di valutazione della conformità designati dagli Stati membri. Per gli aspetti di cibersicurezza la certificazione deve, ove possibile, avvenire nell’ambito dei sistemi europei di certificazione previsti dal regolamento (UE) 2019/881.

La certificazione ha validità massima di cinque anni e richiede una valutazione delle vulnerabilità almeno ogni due anni; se una vulnerabilità non è rimediata tempestivamente, la certificazione è annullata. La Commissione deve adottare atti di esecuzione con norme di riferimento, specifiche e procedure, in particolare entro il 21 novembre 2024 per il quadro del portafoglio.

Uso transfrontaliero e accettazione obbligatoria in alcuni casi

Gli Stati membri devono accettare i portafogli europei di identità digitale per l’accesso ai servizi online delle amministrazioni pubbliche quando è richiesta identificazione o autenticazione elettronica. Per taluni servizi privati, soprattutto quelli soggetti per legge o contratto ad autenticazione forte dell’utente, l’obbligo di accettazione scatta entro 36 mesi dall’entrata in vigore degli atti di esecuzione ed opera solo su richiesta volontaria dell’utente.

Le piattaforme online di dimensioni molto grandi, quando richiedono autenticazione, devono accettare e agevolare l’uso dei portafogli, sempre su base volontaria dell’utente e nel rispetto della minimizzazione dei dati.

Interoperabilità, onboarding e corrispondenza dell’identità

Il regolamento rafforza l’interoperabilità tra sistemi nazionali e portafogli europei e introduce misure per la corrispondenza univoca dell’identità a livello transfrontaliero. Gli Stati membri devono garantire che l’identità delle persone fisiche che usano mezzi notificati o portafogli sia correttamente abbinata quando fungono da parti facenti affidamento sulla certificazione nei servizi transfrontalieri.

La Commissione deve adottare atti di esecuzione su norme di riferimento e procedure in più punti del sistema, tra cui l’onboarding degli utenti, il quadro di interoperabilità e la corrispondenza dell’identità, con scadenze che nel testo arrivano al 18 marzo 2025 e al 18 settembre 2025.

Servizi fiduciari: ampliamento dell’elenco e riconoscimento UE

L’articolo 3, come modificato, amplia il novero dei servizi fiduciari includendo il rilascio e la validazione di attestati elettronici di attributi, l’archiviazione elettronica e la registrazione di dati in un registro elettronico. È inoltre introdotto l’articolo 24 bis, che stabilisce il riconoscimento in tutti gli altri Stati membri dei servizi fiduciari qualificati rilasciati in uno Stato membro.

Questo rafforza in modo significativo la circolazione transfrontaliera di firme, sigilli, validazioni temporali, certificati di autenticazione dei siti web, attestati di attributi, archivi e registri qualificati.

Firme e sigilli elettronici, dispositivi e servizi remoti

Il regolamento interviene in dettaglio su verifica dell’identità, rilascio dei certificati, convalida, conservazione e gestione dei dispositivi di firma e sigillo a distanza. Per il rilascio di certificati qualificati e attestati qualificati, il prestatore deve verificare identità e attributi con metodi armonizzati: portafoglio europeo, eID notificato a livello elevato, certificati qualificati, altri metodi ad alta sicurezza o presenza fisica.

Sono disciplinati i servizi qualificati per la gestione di dispositivi qualificati per la creazione di firme e sigilli a distanza, con regole sulla duplicazione dei dati solo per back-up, sulla sicurezza dei dati duplicati e sulla durata massima della certificazione, con controlli sulle vulnerabilità ogni due anni.

Attestati elettronici di attributi e fonti autentiche

Il regolamento crea una disciplina autonoma per gli attestati elettronici di attributi. Gli attestati elettronici qualificati di attributi devono rispettare l’allegato V; quelli rilasciati da un organismo del settore pubblico responsabile di una fonte autentica, o per suo conto, devono rispettare l’allegato VII.

Gli attestati elettronici qualificati e quelli pubblici da fonte autentica producono gli stessi effetti giuridici degli attestati cartacei rilasciati legalmente. Gli attestati rilasciati da un organismo pubblico responsabile di una fonte autentica in uno Stato membro sono riconosciuti in tutti gli altri Stati membri.

Gli Stati membri devono inoltre adottare misure per consentire ai prestatori qualificati di verificare elettronicamente, su richiesta dell’utente, l’autenticità di una serie minima di attributi rispetto alla fonte autentica, tra cui indirizzo, età, genere, stato civile, composizione del nucleo familiare, cittadinanza, titoli e licenze di studio, qualifiche professionali, poteri e mandati di rappresentanza, permessi e licenze pubblici e, per le persone giuridiche, dati societari e finanziari.

Archiviazione elettronica e registri elettronici

Per l’archiviazione elettronica, il regolamento stabilisce che i dati e i documenti elettronici non perdono effetti giuridici per il solo fatto di essere conservati elettronicamente o non tramite un servizio qualificato. I servizi qualificati devono garantire durabilità, leggibilità, integrità, prova dell’origine e protezione da perdita o alterazione per tutta la durata del periodo di conservazione.

Per i registri elettronici, viene introdotta una presunzione di ordine cronologico univoco e integrità per quelli qualificati. I registri qualificati devono essere creati e gestiti da uno o più prestatori qualificati, garantire l’origine delle registrazioni, l’ordine cronologico e la rilevabilità immediata di eventuali modifiche.

Browser web e certificati qualificati di autenticazione dei siti web

I certificati qualificati di autenticazione dei siti web devono essere riconosciuti dai fornitori di browser web, che devono visualizzare in modo facilmente consultabile i dati di identità e gli attributi attestati. Il regolamento consente solo eccezioni limitate per micro e piccole imprese nei primi cinque anni di attività come prestatori di servizi di navigazione in rete.

In caso di fondate preoccupazioni circa una violazione di sicurezza o la perdita di integrità di un certificato, il browser può adottare misure precauzionali, ma deve notificarle senza ritardo alla Commissione, all’organismo di vigilanza, al soggetto interessato e al prestatore qualificato che ha rilasciato il certificato.

Cibersicurezza, incidenti e cooperazione con NIS 2

Il testo rafforza in modo marcato il raccordo con la direttiva (UE) 2022/2555. I prestatori di servizi fiduciari qualificati e non qualificati devono adottare politiche e misure per gestire i rischi e notificare incidenti e violazioni significative, in particolare entro 24 ore in molte ipotesi previste dal nuovo testo.

Gli organismi di vigilanza devono cooperare con le autorità competenti NIS, con le autorità di protezione dei dati e con l’ENISA. Sono previste valutazioni delle vulnerabilità periodiche, possibilità di revoca della qualifica e obblighi di notifica delle violazioni anche verso gli utenti e, in casi rilevanti, verso il pubblico.

Governance, vigilanza e cooperazione tra Stati membri

Sono istituiti organismi di vigilanza per il quadro del portafoglio europeo e per i servizi fiduciari, punti di contatto unici nazionali e un gruppo di cooperazione per l’identità digitale europea. Il gruppo ha compiti di coordinamento, scambio di migliori pratiche, assistenza reciproca, valutazioni tra pari dei regimi notificati e supporto alla Commissione nella preparazione degli atti delegati ed esecutivi.

Gli organismi di vigilanza hanno poteri di ispezione, richiesta di informazioni, sospensione o cancellazione di registrazioni e revoca della qualifica, nonché obblighi annuali di relazione alla Commissione. È inoltre prevista una cooperazione specifica con le autorità incaricate della protezione dei dati personali.

Responsabilità, sanzioni e misure transitorie

L’articolo 13 disciplina la responsabilità civile dei prestatori di servizi fiduciari per danni causati con dolo o negligenza, con un regime probatorio più severo per i prestatori qualificati. L’articolo 16 impone agli Stati membri di prevedere sanzioni effettive, proporzionate e dissuasive; per le sanzioni amministrative è fissato un livello massimo minimo di EUR 5.000.000 o, per le persone giuridiche, dell’1% del fatturato mondiale annuo se superiore.

Sono previste misure transitorie importanti: i dispositivi sicuri già conformi alla direttiva 1999/93/CE restano validi fino al 21 maggio 2027; i certificati qualificati rilasciati a persone fisiche ai sensi di tale direttiva restano validi fino al 21 maggio 2026. I prestatori qualificati già attivi prima del 20 maggio 2024 devono adeguarsi, con specifica relazione di conformità, entro il 21 maggio 2026.

Entrata in vigore e effetti pratici

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri. Per avvocati e commercialisti, il dato centrale è che il nuovo quadro non si limita a disciplinare strumenti di identità digitale, ma impone una revisione dei processi di onboarding, autenticazione, gestione del rischio, contrattualistica, compliance privacy e presidi di sicurezza per tutti gli operatori che intendano usare o offrire soluzioni eIDAS nel mercato dell’Unione.