Regolamento (UE) 2025/848

Regolamento di esecuzione (UE) 2025/848 sulla registrazione delle parti facenti affidamento sul portafoglio

Il regolamento attua il quadro eIDAS, come modificato dal regolamento (UE) 2024/1183, per disciplinare in modo uniforme la registrazione delle parti che intendono fare affidamento sui portafogli europei di identità digitale per offrire servizi digitali pubblici o privati. La finalità è aumentare trasparenza, fiducia, interoperabilità e controllo degli accessi, anche mediante regole comuni su registri nazionali, politiche di registrazione e certificazione.

Quadro generale e basi normative

La Commissione richiama il regolamento (UE) n. 910/2014, in particolare l’articolo 5 ter, paragrafo 11, quale base giuridica dell’intervento. Nei considerando emerge l’esigenza di massima armonizzazione tra Stati membri, di interfacce accessibili sia a utenti umani sia a sistemi automatici, di pubblicità delle informazioni rilevanti e di procedure online, proporzionate e sicure. Il regolamento si coordina inoltre con il GDPR (regolamento (UE) 2016/679) e, se del caso, con la direttiva 2002/58/CE.

Ambito di applicazione e definizioni

Il regolamento riguarda le "parti facenti affidamento sul portafoglio", cioè i soggetti che intendono usare le unità di portafoglio per servizi digitali mediante interazione digitale. Le definizioni dell’articolo 2 chiariscono l’architettura tecnica e soggettiva dell’ecosistema: unità di portafoglio, soluzione di portafoglio, istanza di portafoglio, applicazione crittografica sicura, dispositivo crittografico sicuro, risorse critiche, fornitore del portafoglio, utente del portafoglio, registro nazionale, conservatore dei registri e i due tipi di certificati disciplinati dal regolamento.

Registri nazionali e pubblicazione delle informazioni

L’articolo 3 impone agli Stati membri di istituire e mantenere almeno un registro nazionale contenente le informazioni sulle parti registrate stabilite nel loro territorio e di designare almeno un conservatore dei registri. Le informazioni di cui all’allegato I devono essere rese pubbliche online in un formato leggibile da esseri umani e in uno adatto al trattamento automatizzato, tramite una singola API comune e un sito web nazionale. Le informazioni devono essere firmate o sigillate elettronicamente e la relativa API deve rispettare i requisiti comuni dell’allegato II.

Politiche di registrazione e contenuto minimo

L’articolo 4 richiede agli Stati membri di pubblicare una o più politiche nazionali di registrazione, anche riutilizzando politiche settoriali o nazionali esistenti. Tali politiche devono disciplinare almeno:

• le modalità di identificazione e autenticazione durante la registrazione;
• la documentazione giustificativa richiesta;
• le fonti autentiche o registri ufficiali utilizzabili;
• gli ulteriori elementi di prova;
• l’eventuale automazione della registrazione o dell’aggiornamento;
• i rimedi disponibili;
• le regole per verificare identità e altre informazioni fornite. Le procedure devono consentire alle parti di indicare le qualifiche in base alle quali operano.

Informazioni da registrare e obblighi della parte

L’articolo 5 stabilisce che la parte facente affidamento sul portafoglio deve trasmettere almeno le informazioni dell’allegato I, garantirne l’esattezza al momento della registrazione e aggiornare senza indebito ritardo ogni variazione successiva. L’allegato I contiene, tra l’altro, dati identificativi, indirizzo, contatti, descrizione dei servizi, descrizione degli usi previsti, indicazione dell’eventuale natura pubblica del soggetto e qualifiche specifiche quali, ad esempio, prestatore di servizi fiduciari qualificato, fornitore di attestati elettronici o fornitore di dati di identificazione personale.

Procedura di registrazione, verifica e rifiuto

L’articolo 6 impone procedure elettroniche e, ove possibile, automatizzate, di facile utilizzo. Il conservatore deve trattare le domande senza indebito ritardo e rispondere nei termini previsti dalla politica nazionale. Se possibile, la verifica avviene in modo automatizzato e riguarda, in particolare, l’esattezza, validità, autenticità e integrità delle informazioni; la procura dei rappresentanti; il tipo di qualifica; l’assenza di una registrazione già presente in un altro registro nazionale. La verifica si basa su documentazione probatoria, fonti autentiche o registrazioni ufficiali. Se la verifica non riesce, la registrazione deve essere rifiutata. La parte registrata deve inoltre comunicare senza ritardo quando non intenda più utilizzare le unità di portafoglio per il servizio indicato e chiedere la cancellazione della registrazione corrispondente.

Certificati di accesso: funzione e requisiti

L’articolo 7 obbliga gli Stati membri ad autorizzare almeno un’autorità di certificazione per il rilascio dei certificati di accesso della parte facente affidamento sul portafoglio. Tali certificati possono essere rilasciati solo a soggetti registrati. Le politiche di certificazione e le dichiarazioni sulle pratiche di certificazione devono essere armonizzate sintatticamente e semanticamente in tutta l’Unione e conformi ai requisiti dell’allegato IV. L’allegato IV richiede, tra l’altro, la descrizione della gerarchia di fiducia, delle procedure di rilascio, revoca, monitoraggio e convalida, l’obbligo di verificare la presenza nel registro e la coerenza dei dati, la pubblicazione tempestiva dello stato di revoca e l’utilizzo di formati e pratiche interoperabili.

Certificati di registrazione e informativa all’utente

L’articolo 8 consente agli Stati membri di autorizzare il rilascio di certificati di registrazione. Se tale opzione è scelta, il certificato deve essere rilasciato solo a parti registrate, indicare ciascun uso previsto e includere una politica generale di accesso armonizzata a livello UE, che informi l’utente che la parte facente affidamento sul portafoglio può richiedere solo i dati specificati nel certificato per l’uso previsto registrato. I fornitori di soluzioni di portafoglio devono avvisare l’utente quando la parte richiede dati non specificati nel certificato. È inoltre imposto l’URL dell’informativa sulla privacy relativa all’uso previsto. L’allegato V stabilisce i requisiti tecnici e di contenuto, compresi il formato di scambio basato su JSON Web Token e CBOR Web Token firmati, e le modalità di pubblicazione e verifica dello stato dei certificati.

Sospensione, cancellazione e tutela dell’ecosistema

L’articolo 9 attribuisce ai conservatori dei registri il potere/dovere di sospendere o cancellare la registrazione su richiesta dell’organismo di vigilanza competente e, in certi casi, anche d’ufficio. I motivi includono informazioni inesatte, obsolete o fuorvianti, mancato rispetto della politica di registrazione, richiesta di attributi eccedenti quelli registrati o violazioni del diritto UE o nazionale. La decisione deve essere proporzionata, tenendo conto dell’impatto sui diritti fondamentali, sulla sicurezza e sulla riservatezza degli utenti, nonché dei costi e della perturbazione del servizio. La comunicazione della sospensione o cancellazione deve essere effettuata senza indebito ritardo e comunque entro 24 ore, con indicazione dei motivi e dei mezzi di ricorso. I certificati correlati devono essere revocati senza indebito ritardo.

Conservazione dei dati

L’articolo 10 prevede una conservazione decennale delle registrazioni delle informazioni fornite e registrate, anche per finalità di controllo ex post, indagini e gestione delle controversie. La conservazione riguarda pure le informazioni necessarie al rilascio e alle successive modifiche dei certificati di accesso e di registrazione.

Decorrenza e applicazione

Il regolamento entra in vigore il ventesimo giorno successivo alla sua pubblicazione nella Gazzetta ufficiale dell’Unione europea e si applica dal 24 dicembre 2026. È direttamente applicabile in tutti gli Stati membri, con obbligo di conformità integrale alle sue disposizioni e agli allegati tecnici.