Regolamento (UE) 2024/2977

Regolamento di esecuzione (UE) 2024/2977 sui dati di identificazione personale e sugli attestati elettronici di attributi per i portafogli europei di identità digitale

Il regolamento attua il quadro europeo di identità digitale introdotto dal regolamento (UE) n. 910/2014, come modificato dal regolamento (UE) 2024/1183, e disciplina in modo armonizzato il rilascio di dati di identificazione personale e attestati elettronici di attributi alle unità di portafoglio. La finalità è assicurare interoperabilità, sicurezza, protezione dei dati fin dalla progettazione e controllo esclusivo dell’utente sul proprio portafoglio, nel contesto di un ecosistema comune europeo.

Contesto normativo e coordinamento con altri atti

Il testo si colloca in un pacchetto di quattro regolamenti di esecuzione adottati per specificare i protocolli, l’integrità e le funzionalità di base dei portafogli, i dati di identificazione personale e gli attestati elettronici di attributi, nonché le notifiche alla Commissione. Le norme tecniche si fondano sul lavoro sviluppato sulla base della raccomandazione (UE) 2021/946 e devono essere aggiornate, se necessario, per mantenere l’allineamento con l’evoluzione tecnologica, l’architettura comune e le migliori pratiche del mercato interno. Il regolamento si applica nel rispetto del regolamento (UE) 2016/679 e, se del caso, della direttiva 2002/58/CE.

Ambito soggettivo e oggettivo

Le disposizioni riguardano gli utenti del portafoglio, i fornitori di dati di identificazione personale, i fornitori di attestati elettronici di attributi, i fornitori di certificati di accesso delle parti facenti affidamento sul portafoglio, le parti facenti affidamento e gli Stati membri. Il focus è sul rilascio, sull’autenticazione, sulla convalida e sulla revoca dei dati e degli attestati che vengono memorizzati o utilizzati nelle unità di portafoglio.

Definizioni operative

L’articolo 2 chiarisce i concetti essenziali per l’applicazione del regolamento. L’unità di portafoglio è la configurazione unica della soluzione di portafoglio assegnata a un singolo utente; la soluzione di portafoglio comprende software, hardware, servizi, impostazioni e configurazioni. Sono inoltre definiti l’attestato di unità di portafoglio, l’applicazione crittografica sicura, il dispositivo crittografico sicuro, le risorse critiche e la parte facente affidamento sul portafoglio, cioè il soggetto che intende utilizzare l’unità di portafoglio per servizi pubblici o privati in interazione digitale.

Rilascio dei dati di identificazione personale

Ai sensi dell’articolo 3, i dati di identificazione personale devono essere rilasciati in coerenza con i regimi di identificazione elettronica in cui le soluzioni di portafoglio sono offerte. Tali dati devono contenere le informazioni necessarie per autenticazione e convalida e rispettare le specifiche tecniche dell’allegato. Gli Stati membri devono inoltre garantire che i dati di identificazione personale rilasciati a un determinato utente siano univoci per lo Stato membro.

Registrazione dell’utente e livello di garanzia elevato

Gli Stati membri devono registrare gli utenti del portafoglio conformemente ai requisiti di registrazione al livello di garanzia elevato previsti dal regolamento di esecuzione (UE) 2015/1502. Nel processo di registrazione, i fornitori di dati di identificazione personale devono verificare l’identità dell’utente secondo i requisiti applicabili al controllo e alla verifica dell’identità prima del rilascio dei dati all’unità di portafoglio corrispondente.

Autenticazione dei fornitori e convalida dell’unità di portafoglio

Quando rilasciano dati di identificazione personale, i fornitori devono identificarsi verso l’unità di portafoglio tramite il certificato di accesso della parte facente affidamento sul portafoglio oppure tramite un altro meccanismo di autenticazione coerente con un regime di identificazione elettronica notificato al livello di garanzia elevato. Prima del rilascio, essi devono autenticare e convalidare l’attestato di unità di portafoglio e verificare che l’unità appartenga a una soluzione di portafoglio accettata dal fornitore.

Rilascio degli attestati elettronici di attributi

L’articolo 4 stabilisce che gli attestati elettronici di attributi rilasciati alle unità di portafoglio devono essere conformi ad almeno una delle norme indicate nell’allegato I del regolamento di esecuzione (UE) 2024/2979. Anche in questo caso il fornitore deve identificarsi verso l’unità di portafoglio mediante il certificato di accesso della parte facente affidamento sul portafoglio. Gli attestati devono includere le informazioni necessarie per autenticazione e convalida.

Revoca, validità e informazione all’utente

L’articolo 5 impone ai fornitori politiche scritte e accessibili al pubblico sulla gestione della validità dei dati e, se del caso, sulle condizioni di revoca senza indugio. Solo il fornitore che ha emesso i dati o gli attestati può revocarli. Se i dati di identificazione personale vengono revocati, l’utente interessato deve essere informato entro 24 ore tramite canali dedicati e sicuri, con indicazione dei motivi della revoca in forma concisa e chiara.

La revoca può intervenire:

• su richiesta esplicita dell’utente del portafoglio;
• se l’attestato di unità di portafoglio è stato revocato;
• nelle altre situazioni previste dalle politiche del fornitore.

Le revoche non possono essere annullate e i dati revocati restano accessibili per il tempo previsto dal diritto dell’Unione o dal diritto nazionale.

Trasparenza e tutela della vita privata

In caso di revoca, i fornitori devono rendere pubblicamente disponibile lo stato di validità dei dati in modo da tutelare la vita privata e indicare nei dati di identificazione personale la collocazione delle informazioni sullo stato di validità. Inoltre, devono essere rese possibili tecniche di tutela della vita privata che impediscano i collegamenti quando gli attestati elettronici di attributi non richiedono l’identificazione dell’utente.

Specifiche tecniche dell’allegato

L’allegato dettaglia la struttura dei dati di identificazione personale.

Per le persone fisiche, sono obbligatori:

• cognome attuale;
• nome/i attuali;
• data di nascita;
• luogo di nascita;
• cittadinanza.

Sono facoltativi, tra gli altri, indirizzo di residenza, Paese di residenza, stato/provincia/città di residenza, codice postale, via e numero civico, numero amministrativo personale, ritratto, cognome e nome alla nascita, sesso, indirizzo e-mail e numero di cellulare.

Per le persone giuridiche, sono obbligatori:

• ragione sociale attuale;
• identificatore univoco costruito dallo Stato membro di invio secondo le specifiche tecniche per l’identificazione transfrontaliera e il più possibile persistente nel tempo.

Sono facoltativi, tra gli altri, indirizzo attuale, partita IVA, numero di riferimento fiscale, identificativo unico europeo di cui alla direttiva (UE) 2017/1132, identificativo della persona giuridica, numero EORI e numero di accisa.

Metadati, formati e infrastruttura fiduciaria

I metadati obbligatori comprendono la data di scadenza, l’autorità di rilascio e il Paese di rilascio; sono facoltativi il numero del documento, la giurisdizione di rilascio e la localizzazione delle informazioni sullo stato di validità. I dati di identificazione personale devono essere rilasciati in due formati: quello della norma ISO/IEC 18013-5:2021 e quello del Verifiable Credentials Data Model 1.1 del W3C.

L’allegato richiama inoltre l’elenco dei fornitori di dati di identificazione personale reso disponibile dalla Commissione ai sensi del regolamento di esecuzione (UE) 2024/2980, quale elemento utile all’autenticazione dei dati di identificazione personale.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla sua pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.