Linee guida recanti le regole tecniche dei gestori di attributi qualificati

Linee guida recanti le regole tecniche dei gestori di attributi qualificati

La linea guida disciplina l’architettura, l’accreditamento e le modalità operative dei gestori di attributi qualificati (AA) nell’ambito della federazione SPID, con effetti anche per l’uso da parte dei soggetti della federazione CIE. Essa definisce i requisiti giuridico-tecnici per l’attestazione degli attributi qualificati richiesti dai service provider ai fini dell’erogazione di specifici servizi online, nonché le regole di trattamento dei dati personali e di sicurezza applicabili a AA, SP e IdP.

Quadro normativo di riferimento

La base normativa è costituita dall’art. 71 CAD, dal DPCM SPID e dalla disciplina europea in materia di protezione dei dati personali e servizi fiduciari. Sono richiamati in particolare:

• il d.lgs. 82/2005 (CAD), con specifico riferimento all’art. 64, comma 2-duodecies, e agli artt. 6-bis e 6-ter;
• il DPCM 24 ottobre 2014 su SPID, in particolare le disposizioni sull’accreditamento dei gestori di attributi qualificati;
• il Regolamento (UE) 910/2014 (eIDAS) per il contesto dei servizi fiduciari e della fiducia infrastrutturale;
• il Regolamento (UE) 2016/679 (GDPR), per principi, basi del trattamento, misure di sicurezza, accountability e gestione delle violazioni.

Destinatari e ambito soggettivo

I destinatari sono tutti i soggetti coinvolti nella federazione SPID, con particolare attenzione ai gestori di attributi qualificati. La linea guida è rilevante anche per:

• i fornitori di servizi (SP) che chiedono l’attestazione di attributi qualificati;
• gli identity provider (IdP), coinvolti nelle procedure di autenticazione e raccolta dell’assenso;
• i soggetti aggregatori (AGGR), che possono trasmettere le richieste per conto dei SP;
• gli utenti finali, cui devono essere garantiti informazione, controllo e, nei casi previsti, consultazione e revoca.

Accreditamento dei gestori di attributi qualificati

Ai sensi del DPCM SPID, possono accreditarsi come AA i soggetti che rientrano nella definizione normativa di gestore di attributi qualificati. L’accreditamento avviene secondo l’art. 16 del DPCM SPID e richiede la stipula di una convenzione con AgID, oltre all’indicazione dei dati che si intendono rendere disponibili nello SPID.

AgID:

• inserisce nel Registro SPID le tipologie di dati rese disponibili da ciascuna AA;
• rende disponibile il registro delle AA e la relativa documentazione OpenAPI;
• gestisce il Registro SPID, accessibile al pubblico.

Sono accreditati di diritto, su richiesta, alcuni soggetti individuati dal DPCM SPID, tra cui:

• il Ministero dello sviluppo economico per i dati dell’indice nazionale degli indirizzi PEC di imprese e professionisti;
• consigli, ordini e collegi professionali per l’attestazione dell’iscrizione agli albi;
• camere di commercio per cariche e incarichi societari iscritti nel registro delle imprese;
• AgID per i dati contenuti nell’IPA.

Attributi qualificati: contenuto e limiti

Gli attributi qualificati comprendono qualifiche, abilitazioni professionali, poteri di rappresentanza e ogni altro attributo attestato da una AA. La loro richiesta è ammessa solo ai fini della fruizione di uno specifico servizio online.

La linea guida impone che la AA definisca, nelle proprie specifiche, quali attributi rendere disponibili e con quali modalità, nel rispetto:

• della protezione dei dati sin dalla progettazione e per impostazione predefinita (art. 25 GDPR);
• della responsabilizzazione del titolare del trattamento (art. 5, par. 2 GDPR);
• del principio di minimizzazione dei dati (art. 5, par. 1, lett. c GDPR).

In pratica, la AA deve trattare e comunicare solo i dati strettamente necessari alla finalità perseguita, privilegiando, ove possibile, attributi di tipo booleano o comunque informazioni minime idonee ad attestare il possesso dell’attributo.

Per gli attributi appartenenti a categorie particolari o relativi a condanne penali e reati, la linea guida richiede un livello di cautela ancora maggiore:

• tali attributi possono essere richiesti solo quando il servizio non può essere erogato senza la loro conoscenza;
• possono essere attestati solo dai soggetti espressamente abilitati dall’ordinamento;
• il SP che li riceve deve adottare misure tecniche e organizzative adeguate al rischio, in linea con l’art. 32 GDPR.

Richieste di attributi qualificati

Quando un servizio richiede uno o più attributi qualificati, il SP deve informare preventivamente l’utente e indicare anche quale AA sarà interpellata. La richiesta può essere inviata direttamente dal SP oppure tramite un soggetto aggregatore.

Se più attributi sono attestabili dalla stessa AA, è prevista, in via generale, un’unica richiesta, salvo dipendenze tra attributi verificabili solo dopo l’attestazione di altri attributi.

Ogni richiesta deve indicare:

• l’identificazione del soggetto cui si riferiscono gli attributi;
• se la richiesta è puntuale o continuativa.

Richieste puntuali

La richiesta puntuale mira a ottenere un’unica attestazione immediata da parte dell’AA. È la forma ordinaria di interrogazione quando non serve un rapporto continuativo nel tempo.

Richieste continuative

La richiesta continuativa serve a ottenere più attestazioni asincrone dello stesso attributo o degli stessi attributi entro una finestra temporale concordata, non superiore a 12 mesi consecutivi.

La linea guida impone che:

• il SP valuti autonomamente, motivi e possa dimostrare la necessità della richiesta continuativa per quella specifica finalità;
• la richiesta continuativa sia possibile solo se l’AA la offre;
• l’AA valuti se accettare la richiesta e, se necessario, riduca la durata proposta dal SP;
• prima dell’attivazione, l’AA raccolga un assenso esplicito dell’utente, previa informativa sul trattamento.

L’utente può:

• negare l’assenso;
• convertire la richiesta continuativa in puntuale;
• ridurre ulteriormente la durata proposta.

Durante il periodo concordato, il SP può inoltrare richieste asincrone senza ulteriori autenticazioni o assensi dell’utente. Alla scadenza, il SP può chiedere il rinnovo o l’estensione per ulteriori 12 mesi al massimo.

Classificazione degli accessi: public, protected, private

La linea guida distingue tre modelli di accesso e attestazione:

• public: il dato è pubblico, open o liberamente accessibile; non è richiesto l’assenso dell’utente da parte dell’AA;
• protected: l’accesso è riservato ai SP che abbiano una specifica convenzione con l’AA; anche qui non è richiesto l’assenso dell’utente da parte dell’AA;
• private: l’accesso richiede sempre l’assenso dell’utente da parte dell’AA; questa modalità si applica comunque alle richieste continuative.

Flussi operativi di autenticazione e attestazione

Nel flusso public, l’utente sceglie l’IdP, viene autenticato e il SP invia la richiesta all’AA, che risponde direttamente con l’attestazione degli attributi.

Nel flusso protected, il SP indica all’utente le AA potenzialmente interrogabili; l’IdP mostra tali AA durante l’autenticazione, l’utente seleziona quelle autorizzate, l’IdP genera un grant_token per ciascuna AA e il SP lo trasmette all’AA, che rilascia l’autorizzazione a recuperare gli attributi.

Nel flusso private, dopo l’autenticazione presso l’IdP, il SP inoltra l’utente all’AA; quest’ultima lo informa sul trattamento dei dati, lo reindirizza all’IdP per una nuova autenticazione e, una volta ricevuta la risposta, attesta gli attributi al SP.

Infrastruttura di fiducia e PKI

Presso AgID è istituita una PKI gerarchica con CA radice. Tale infrastruttura consente ad AA e SP di verificare la firma dei messaggi scambiati nella federazione, assicurando il trust model del sistema.

Servizio di consultazione per l’utente

Quando previsto dalla legge, o nei casi in cui siano consentite richieste continuative mediante autorizzazioni di lunga durata, l’AA deve mettere a disposizione dell’utente un servizio di consultazione accessibile tramite gli strumenti di cui all’art. 64 CAD.

Il servizio consente di:

• verificare a quali SP sono stati trasmessi gli attributi o è stato autorizzato il trasferimento periodico;
• controllare data, ora e contenuto delle attestazioni inviate nel periodo concordato;
• accorciare la durata dell’autorizzazione;
• revocare l’autorizzazione di lunga durata.

Il servizio di consultazione deve essere realizzato come API OAS3 ed esposto all’utente tramite applicazione web mobile. Se non è previsto dalla norma e l’AA non ammette richieste continuative, la sua implementazione è facoltativa.

Protezione dei dati personali e ruoli privacy

La linea guida chiarisce che l’assenso dell’interessato non costituisce base giuridica ai sensi dell’art. 6, par. 1, lett. a GDPR: esso vale come conferma della conoscenza effettiva degli attributi e dei soggetti che li tratteranno, analogamente a quanto avviene nei flussi SPID per i dati trasmessi dall’IdP al SP.

AA, SP e IdP devono operare nel rispetto del GDPR e valutare sin dalla progettazione e per impostazione predefinita il rispetto dei principi dell’art. 5 GDPR. In particolare, il SP deve:

• verificare la necessità effettiva degli attributi richiesti per il servizio;
• rispettare liceità, correttezza e trasparenza;
• limitare le finalità e i tempi di conservazione;
• essere in grado di dimostrare la conformità ai sensi dell’art. 5, par. 2 GDPR;
• fornire un’informativa chiara ed esaustiva, indicando anche gli attributi richiesti all’AA.

Le richieste e le attestazioni di attributi sono conservate per 24 mesi, esclusivamente a fini probatori, nel rispetto del DPCM SPID e delle regole attuative SPID richiamate.

IdP, SP e AA agiscono sempre quali titolari autonomi del trattamento per quanto riguarda i dati personali costituiti dagli attributi qualificati. Devono inoltre:

• adottare misure tecniche e organizzative adeguate al rischio;
• sorvegliare e tracciare accessi e attività per il tempo strettamente necessario;
• informarsi reciprocamente e tempestivamente in caso di violazioni di sicurezza o minacce rilevanti;
• cooperare per gli adempimenti connessi agli artt. 33 e 34 GDPR.

Requisiti tecnici richiamati

La linea guida richiama come standard di riferimento OAS v3, RFC 7515 (JWS) e SAML 2.0. La documentazione tecnica implementativa è demandata all’allegato OAS3, che integra la linea guida senza modificarne le regole sostanziali.

Sono inoltre richiamate le altre linee guida AgID in materia di interoperabilità tecnica, API sicure, OpenID Connect in SPID e sottoscrizione elettronica di documenti, quali riferimenti funzionali e di coerenza tecnica per l’attuazione del modello.