Regolamento (UE) 2026/1731

Regolamento di esecuzione (UE) 2026/1731 della Commissione

Il regolamento aggiorna in modo organico il quadro tecnico del regolamento eIDAS per i portafogli europei di identità digitale, intervenendo sui quattro atti di esecuzione adottati nel 2024. La finalità, chiarita nei considerando, è garantire un livello massimo di armonizzazione tra Stati membri, rafforzando interoperabilità, sicurezza, affidabilità e tutela dei dati personali, anche alla luce dell’evoluzione dell’architettura e del quadro di riferimento fondati sulla raccomandazione (UE) 2021/946.

Ambito e ratio delle modifiche

Le modifiche incidono su profili essenziali dell’ecosistema EUDI Wallet: formati dei dati, regole di rilascio, presentazione e revoca, requisiti crittografici, certificati di registrazione, marchio di fiducia e gestione dei dati biometrici. Il testo è fortemente tecnico e presuppone l’interazione tra fornitori di portafogli, fornitori di dati/attestati, parti facenti affidamento, Commissione e Stati membri.

Protezione dell’immagine del volto e dati biometrici

Uno dei nuclei più rilevanti riguarda l’immagine del volto. Quando una parte facente affidamento ne richiede la divulgazione, il portafoglio deve avvisare l’utente che la richiesta comporta la condivisione di dati biometrici e deve imporre una conferma esplicita e specifica della divulgazione selettiva. Il regolamento precisa che il silenzio o le caselle preselezionate non valgono come consenso tecnico alla divulgazione. Inoltre, l’immagine del volto non deve essere conservata dalle parti facenti affidamento, salvo i casi strettamente necessari per identificazione/autenticazione nel rispetto del GDPR, e non deve essere trasferita a paesi terzi o organizzazioni internazionali salvo base giuridica conforme al diritto UE.

Il considerando 3 e l’allegato I differiscono al 11 agosto 2028 l’uso dell’immagine del volto come dato obbligatorio di identificazione personale per le persone fisiche. Fino a quella data gli Stati membri devono adeguare le proprie procedure nazionali.

Formati dei dati di identificazione personale

L’allegato I sostituisce integralmente le specifiche tecniche per i dati di identificazione personale. Per le persone fisiche sono indicati dati obbligatori come cognome, nome, data e luogo di nascita, cittadinanza e, dal 11 agosto 2028, l’immagine del volto; sono inoltre elencati numerosi dati facoltativi, tra cui indirizzo di residenza, numero amministrativo personale, nome alla nascita, sesso, indirizzo e-mail e numero di cellulare. Per le persone giuridiche sono previsti come obbligatori la ragione sociale attuale e un identificatore univoco costruito dallo Stato membro di invio; sono facoltativi, tra gli altri, indirizzo, partita IVA, codice fiscale, identificativo europeo societario, identificativo della persona giuridica, EORI e numero di accisa.

L’allegato disciplina anche metadati obbligatori e facoltativi, le regole di codifica in formato ISO/IEC mdoc e SD-JWT VC, le modalità di rappresentazione di attributi come cittadinanza, luogo di nascita e immagine del volto, i formati di data e i limiti di lunghezza delle stringhe. Sono fissati anche i nomi degli spazi dei nomi standard e, in caso di estensioni nazionali, l’obbligo di pubblicazione del regime nazionale secondo il regolamento di esecuzione (UE) 2025/1569.

Requisiti crittografici, attestati di unità di portafoglio e chiavi

Il regolamento aggiorna in profondità i requisiti sugli attestati di unità di portafoglio e di chiave nel regolamento (UE) 2024/2979. I fornitori di portafogli devono usare solo i meccanismi crittografici dell’allegato I bis, rinviando agli "Agreed Cryptographic Mechanisms" pubblicati da ENISA. Ogni unità di portafoglio deve disporre di un attestato di unità di portafoglio; l’attestato deve essere un JWT firmato o sigillato con JAdES baseline B compatta e soddisfare le specifiche dell’allegato I ter.

L’allegato I ter regola in dettaglio il rilascio e l’uso degli attestati di istanza di portafoglio e di chiave, i relativi contenuti, le prove di possesso, le interazioni con i server di autorizzazione e le verifiche di firma. Tra le regole centrali vi sono: uso di un attestato di istanza di portafoglio nel rilascio dei dati; controllo della firma tramite certificato nell’elenco dei fornitori di portafogli; inserimento di dichiarazioni obbligatorie come wallet_name, wallet_version, wallet_solution_certification_information, client_status e key_storage_status; utilizzo di chiavi conservate nel WSCD o nel keystore; limiti sulla durata e sul riuso degli attestati; supporto di algoritmi di firma ES256, ES384 ed ES512.

Revoca, stato e privacy

Il sistema di revoca si fonda sugli elenchi degli stati dei token dell’IETF. Per gli attestati di istanza di portafoglio e di chiave il fornitore deve utilizzare tali elenchi come meccanismo di revoca; in alternativa, per alcuni attestati ISO/IEC mdoc, è disciplinato anche un meccanismo di elenco degli identificatori. Sono previste misure di privacy by design, come l’uso di indici non collegabili, l’obbligo di tenere gli elenchi sufficientemente ampi e, ove possibile, di coprire almeno 10.000 attestati.

Per gli attestati di istanza di portafoglio è ammessa l’opzione "per-issuer reuse", ma il relativo impiego deve essere documentato nella politica privacy del fornitore. Per gli attestati di chiave, il fornitore deve scegliere tra un indice condiviso per tipo o un indice per singola attestazione, con regole conseguenti sulla revoca. In caso di revoca, i valori di indice associati all’unità di portafoglio devono essere revocati e il marchio di fiducia non deve più essere mostrato.

Protocolli di rilascio e presentazione

Il regolamento sostituisce l’allegato relativo ai protocolli e interfacce nel regolamento (UE) 2024/2982. Vengono rafforzate le regole per il rilascio di dati di identificazione personale e attestati elettronici di attributi verso le unità di portafoglio, nonché per la presentazione verso le parti facenti affidamento. Le soluzioni di portafoglio devono autenticare e convalidare i certificati di accesso e di registrazione delle parti facenti affidamento, e non devono presentare gli attributi richiesti finché non sono completati i passaggi di verifica e approvazione da parte dell’utente.

È espressamente previsto che il portafoglio avverta l’utente quando la parte facente affidamento richiede dati non coperti dal proprio certificato di registrazione; anche in questo caso è necessaria un’approvazione esplicita. Il regolamento disciplina inoltre la gestione delle richieste tramite meccanismi mediati da API e non mediati da API, con riferimento ai profili ISO/IEC 18013-5, ISO/IEC 18013-7 e OpenID4VC-HAIP.

Marchio di fiducia UE

Il nuovo articolo 14 bis impone ai fornitori di portafogli di esporre il marchio di fiducia UE per i portafogli di identità digitale. Sono specificati il formato grafico, i colori di riferimento, le dimensioni minime, l’uso in negativo, le condizioni per l’uso in bianco e nero e il divieto di visualizzazione dopo revoca dell’attestato di unità di portafoglio. Le unità di portafoglio devono inoltre consentire all’utente di verificare lo stato di certificazione tramite URL forniti dalla Commissione e tramite dati strutturati indicati nell’allegato VIII.

Entrata in vigore e applicazione

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro. Alcune disposizioni, in particolare quelle che incidono sull’inclusione dell’immagine del volto e su taluni requisiti di attestazione/autenticazione, si applicano solo dall’11 agosto 2028.