Linee Guida operativa per la fruizione dei servizi spid da parte dei minori

Linee guida operative per la fruizione dei servizi SPID da parte dei minori

Le linee guida disciplinano il rilascio dell’identità digitale SPID ai minori e l’utilizzo della stessa per accedere ai servizi online, definendo obblighi e responsabilità per gestori dell’identità digitale (IdP), fornitori di servizi SPID (SP) e soggetti esercenti la responsabilità genitoriale. Il testo si colloca nel quadro del CAD, del RGPD, del Codice privacy e della regolamentazione SPID, con l’obiettivo di assicurare accesso ai servizi, selezione degli utenti in base all’età e protezione rafforzata dei dati dei minori.

Quadro normativo di riferimento

Le linee guida richiamano in particolare:

• il Regolamento (UE) 2016/679 (RGPD), specie i considerando 38 e 86 e l’art. 8;
• l’art. 2-quinquies del d.lgs. 196/2003, come modificato dal d.lgs. 101/2018, sul consenso del minore nei servizi della società dell’informazione;
• l’art. 320 c.c. sulla rappresentanza dei figli da parte dei genitori;
• il D.P.C.M. 24 ottobre 2014 su SPID e le regole tecniche / modalità attuative adottate con determinazione AgID n. 44 del 28 luglio 2015;
• il regolamento SAML come standard di interoperabilità per i metadata e le autenticazioni.

Il documento precisa che per i minori occorre una tutela specifica, in ragione della loro maggiore vulnerabilità e della necessità di valutare età, tipologia del servizio e finalità del trattamento.

Ambito soggettivo e criteri di valutazione per i servizi

Prima di erogare un servizio tramite SPID a un minore, il fornitore di servizi deve effettuare una valutazione autonoma, motivata e dimostrabile sulla necessità di:

• conoscere la minore età dell’utente;
• ottenere la certezza della sua identità per le finalità del servizio.

La decisione se richiedere o meno l’autorizzazione del genitore dipende dalla tipologia e dalla finalità del servizio. Le linee guida richiamano espressamente i servizi di prevenzione o consulenza forniti direttamente al minore, per i quali il consenso del genitore non dovrebbe essere necessario. L’informativa privacy, sia dell’IdP sia dello SP, deve essere formulata con linguaggio chiaro, semplice, conciso, esaustivo e comprensibile dal minore.

Limiti di età e servizi consentiti

Il documento chiarisce che, in base al parere del Garante e alle regole adottate, l’uso di SPID per i minori infraquattordicenni è consentito solo a partire dai cinque anni e solo per i servizi online erogati dagli istituti scolastici di ogni ordine e grado. Per i minori più grandi, il sistema consente accesso ad altri servizi secondo le regole di autorizzazione previste.

Si precisa anche che l’istituto dell’emancipazione sarà disciplinato con successivo atto e, allo stato, è trattato come riferibile al minore ultraquattordicenne.

Rilascio di SPID al minore

Il rilascio avviene su iniziativa del genitore presso l’IdP presso cui il genitore già possiede la propria identità digitale. La procedura richiede:

• accesso del genitore con credenziali SPID di livello 2;
• inserimento dei dati del minore (nome, cognome, codice fiscale, data di nascita);
• dichiarazione della qualità di esercente la responsabilità genitoriale ai sensi del d.P.R. 445/2000;
• accettazione delle notifiche per l’autorizzazione all’uso di SPID da parte del minore.

L’IdP genera un codice del genitore e un codice di verifica per il minore, lo comunica al genitore e, previa ricezione del codice da parte del minore e verifica dell’autorizzazione, procede all’identificazione e al rilascio dell’identità digitale.

Prima del rilascio, l’IdP deve inoltre acquisire e caricare a sistema:

• la dichiarazione del genitore circa l’autorizzazione dell’eventuale altro genitore o la sua qualità di unico esercente la responsabilità genitoriale;
• la documentazione di supporto (ad esempio documento dell’altro genitore, stato di morte, nomina a tutore).

Identificazione del minore e attributi richiesti

Nella fase di identificazione del minore devono essere acquisiti gli attributi obbligatori previsti dalle regole SPID, tra cui:

• cognome e nome;
• sesso;
• data e luogo di nascita;
• codice fiscale;
• estremi di un valido documento di identità;
• e-mail come attributo secondario obbligatorio.

Sono indicati come facoltativi domicilio fisico, domicilio digitale e numero di telefono mobile. Se il minore non ha un telefono mobile, il secondo fattore per SPID 2 può essere fornito tramite canali alternativi, ad esempio e-mail o dispositivo fisico. L’eventuale telefono del genitore può essere associato solo per finalità di sicurezza e gestione dell’identità del minore, non per l’invio del secondo fattore di autenticazione destinato all’accesso ai servizi.

Fruizione dei servizi: procedura A e procedura B

Le linee guida prevedono due procedure operative.

Procedura A si applica quando lo SP, in base alla propria valutazione, non deve richiedere l’autorizzazione del genitore. Riguarda i servizi scolastici e i servizi di prevenzione o consulenza direttamente rivolti al minore. In tal caso:

• il minore richiede l’accesso;
• lo SP invia la richiesta di autenticazione all’IdP;
• l’IdP verifica anche la congruenza tra età richiesta dal servizio ed età effettiva del minore;
• se la verifica è positiva, l’autenticazione viene completata.

Procedura B si applica quando lo SP deve richiedere l’autorizzazione del genitore. È riferita ai soli minori ultraquattordicenni per servizi diversi da quelli di prevenzione/consulenza diretta. La sequenza prevede:

• richiesta di accesso del minore;
• richiesta di autenticazione da parte dello SP;
• verifica dell’età da parte dell’IdP;
• richiesta al minore di confermare la volontà di ottenere l’autorizzazione genitoriale;
• notifica al genitore con dati essenziali sulla richiesta;
• autorizzazione del genitore entro la procedura, altrimenti esito negativo.

Gestione delle sessioni di autenticazione

In deroga alla disciplina generale SPID, quando l’accesso al servizio è consentito ai minori non è ammesso il mantenimento di sessioni condivise di autenticazione, per garantire massima sicurezza e protezione dei dati del minore.

Gestione delle autorizzazioni e dei servizi di amministrazione dell’identità

L’IdP deve mettere a disposizione del genitore un servizio, accessibile con credenziali SPID almeno di livello 2, per:

• gestire le identità digitali dei minori associate al genitore, con possibilità di sospensione e revoca;
• gestire le autorizzazioni di accesso rilasciate dal genitore, con possibilità di sospensione e revoca.

Il genitore deve poter accedere solo alle informazioni strettamente necessarie a tali attività. Per i minori ultraquattordicenni, l’IdP deve inoltre offrire un servizio analogo al minore stesso, sempre con SPID almeno di livello 2, per consentirgli di sospendere la propria identità e consultare autonomamente gli accessi effettuati presso gli SP.

L’IdP deve consentire l’autorizzazione entro 24 ore dalla richiesta. Se il genitore ha già autorizzato in precedenza, non è necessaria una nuova autorizzazione per successivi accessi, salvo scadenza della durata indicata dal genitore stesso o revoca/sospensione. Ogni autorizzazione decade con la cessazione dell’identità digitale del genitore.

Conservazione dei log delle autorizzazioni

Gli IdP devono conservare i log delle autorizzazioni per 24 mesi. I log devono contenere solo le informazioni presenti nella notifica e la risposta del genitore, entrambe con relativa indicazione temporale. La disciplina opera ferma restando la regolazione generale dei log prevista nelle regole tecniche SPID.

Limitazione dell’accesso ai servizi in rete tramite metadata SAML

Le linee guida introducono estensioni ai metadata SAML per consentire il controllo dell’età e dell’autorizzazione genitoriale.

Nel metadata dell’IdP deve essere presente l’elemento SupportedAgeLimit nell’area Extensions.

Nel metadata dello SP che offre servizi ai minori, o anche ai minori, deve essere presente l’elemento AgeLimit con:

• AssertionConsumerServiceIndex;
• MinAge;
• MaxAge;
• AgeParentAuth.

MinAge deve essere compreso tra 5 e 17 anni; MaxAge tra MinAge e 999; AgeParentAuth deve essere superiore a MinAge e inferiore a 18, oppure pari a 0 se l’autorizzazione del genitore non è necessaria. Se un AssertionConsumerService non è richiamato da alcun AgeLimit, l’accesso è considerato riservato ai soli maggiorenni.

Verifiche dell’IdP e messaggi all’utente

Per consentire l’accesso a un servizio destinato ai minori, l’IdP deve:

• rilevare dal metadata dello SP se il servizio è rivolto ai minori e quali limiti di età si applicano;
• verificare che l’età dell’utente rientri nell’intervallo previsto;
• se l’età è inferiore al valore di AgeParentAuth, verificare che l’autorizzazione del genitore sia stata concessa.

Se il minore non è autorizzato, l’IdP deve mostrare un messaggio standard di diniego. Se l’età non corrisponde a quella richiesta dallo SP, deve informare l’utente con un messaggio standard che indica la mancata corrispondenza dell’età.

Maggiore età e chiusura del regime minorile

Al compimento dei 18 anni, l’IdP deve:

• rimuovere le limitazioni derivanti dalla minore età;
• eliminare i legami con l’identità del genitore;
• cancellare le informazioni sull’uso dell’identità digitale del minore rese disponibili al genitore, salvo i log;
• mettere a disposizione del neo maggiorenne un servizio, accessibile con SPID di livello 2, per confermare il mantenimento o la revoca dell’identità digitale.

Fino alla dichiarazione espressa del neo maggiorenne, l’uso di SPID è precluso. Dopo due anni dall’ultimo utilizzo, l’identità digitale è automaticamente revocata secondo la disciplina SPID.

Protezione dei dati personali e principi applicati

Le linee guida dichiarano un orientamento espresso all’attuazione concreta dei principi dell’art. 5 RGPD. Le procedure sono costruite nel rispetto di:

• liceità, correttezza e trasparenza;
• limitazione delle finalità;
• minimizzazione dei dati;
• esattezza e aggiornamento;
• limitazione della conservazione;
• integrità e riservatezza;
• responsabilizzazione di IdP e SP nei rispettivi ruoli.

Il documento evidenzia inoltre che SPID può essere utilizzato per ottenere la sola informazione sull’età del minore, anche senza ulteriori dati identificativi, se lo SP lo ritiene opportuno nel rispetto del principio di accountability. In questa prospettiva, SPID può fungere anche da strumento di tutela, consentendo la selezione dei fruitori dei servizi in base all’età, eventualmente in modalità anonima.