Determinazione AGID n. 172/2022 del 17/06/2022

Adozione delle regole tecniche per la gestione delle sessioni di autenticazione e del single sign-on

La determinazione ha natura normativo-regolatoria: AgID adotta le regole tecniche destinate a disciplinare la gestione delle sessioni di autenticazione e del single sign-on nell’ambito del punto di accesso telematico ai servizi della Pubblica Amministrazione. L’atto dà attuazione a una previsione delle Linee guida ex art. 64-bis del CAD e definisce anche la data dalla quale le regole diventano obbligatorie.

Quadro normativo e presupposti

Il provvedimento si colloca nel perimetro del Codice dell’amministrazione digitale e richiama:

• gli artt. 64-bis e 71 del CAD;
• il regolamento AgID per l’adozione delle linee guida, adottato con determinazione n. 160 del 17 maggio 2018;
• le Linee guida sul punto di accesso telematico ai servizi della Pubblica Amministrazione, adottate con determinazione n. 598 dell’8 novembre 2021.

In particolare, viene richiamato il secondo periodo del Capitolo 1 dell’Allegato 2 alle Linee guida, che prevede la futura disciplina, mediante successive regole tecniche, della possibilità di accesso ai servizi gestiti dai soggetti erogatori tramite meccanismo di federated identity, anche in modalità single sign-on.

Contenuto sostanziale della determinazione

AgID approva e adotta l’allegato testo delle "Regole tecniche per la gestione delle sessioni di autenticazione e del single sign-on". Si tratta quindi di un atto attuativo e integrativo del quadro già fissato dalle Linee guida, finalizzato a rendere operativa la disciplina tecnica dell’accesso autenticato ai servizi pubblici tramite identità federata e single sign-on.

Interlocuzione con l’Autorità garante per la protezione dei dati personali

Il testo delle regole tecniche è stato trasmesso al Garante per la protezione dei dati personali ai sensi dell’art. 36, par. 4, del Regolamento (UE) 2016/679. Sono inoltre richiamate consultazioni e successive trasmissioni del testo aggiornato, a conferma della necessità di coordinare la disciplina tecnica con i profili di tutela dei dati personali connessi alla gestione delle sessioni di autenticazione.

Decorrenza, pubblicità ed efficacia

La determinazione dispone che l’obbligo di applicazione delle regole tecniche decorra dal 31 ottobre 2022.

Sono inoltre previsti gli adempimenti di pubblicità istituzionale:

• pubblicazione della determinazione e dell’allegato sul sito istituzionale di AgID, nella sezione "Amministrazione Trasparente";
• autorizzazione alla pubblicazione di un comunicato di adozione in Gazzetta Ufficiale della Repubblica Italiana.

Implicazioni operative

Per amministrazioni e soggetti erogatori interessati, l’atto introduce un presidio tecnico vincolante sulla gestione delle sessioni di autenticazione e sul single sign-on. I destinatari devono quindi adeguare i propri sistemi e processi alla disciplina tecnica adottata entro la data di efficacia indicata, tenendo conto sia dei requisiti di interoperabilità sia dei profili di protezione dei dati personali connessi ai flussi di autenticazione.