Regolamento (UE) 2022/1463

Sistema tecnico una tantum per lo scambio transfrontaliero automatizzato di prove

Il regolamento definisce l’architettura operativa del sistema tecnico una tantum (OOTS) previsto dal regolamento (UE) 2018/1724 per consentire alle amministrazioni pubbliche di scambiarsi prove in modo elettronico, sicuro e transfrontaliero. L’obiettivo è ridurre gli oneri per cittadini e imprese nelle procedure online, facendo leva su componenti riutilizzabili, interoperabili e compatibili con le infrastrutture nazionali esistenti.

Ambito e finalità del sistema

Il sistema riguarda le prove richieste per le procedure online di cui all’articolo 14, paragrafo 1, del regolamento (UE) 2018/1724, incluse quelle previste dalle direttive 2005/36/CE, 2006/123/CE, 2014/24/UE e 2014/25/UE richiamate da tale disposizione. Il testo precisa che l’uso del sistema deve essere volontario per l’utente e che il progetto si inserisce nel quadro più ampio dell’identità digitale europea, dell’eDelivery e dell’interoperabilità tra sistemi pubblici.

Componenti del sistema tecnico

Il sistema è composto da portali per le procedure, servizi dati dei fornitori di prove, piattaforme di intermediazione, spazi di anteprima, registri e servizi nazionali, nodi eIDAS, punti di accesso eDelivery, servizi comuni e interfacce di integrazione. La struttura è pensata per permettere sia soluzioni centralizzate sia modelli nazionali decentrati, con possibilità per gli Stati membri di utilizzare uno o più punti di accesso eDelivery e di collegarsi a infrastrutture già esistenti.

Servizi comuni: repertorio dei servizi dati, intermediario di prove e repertorio semantico

La Commissione, in cooperazione con gli Stati membri, istituisce tre servizi comuni: il repertorio dei servizi dati, l’intermediario di prove e il repertorio semantico. Il repertorio dei servizi dati registra i fornitori di prove e i tipi di prove disponibili, includendo il livello di garanzia dei mezzi di identificazione elettronica e, se necessario, attributi aggiuntivi utili all’identificazione del fornitore.

L’intermediario di prove serve a stabilire quali tipi di prove rilasciati in altri Stati membri corrispondono ai requisiti di una procedura nazionale, fungendo da strumento di mappatura tra sistemi e ordinamenti. Il repertorio semantico contiene il modello di metadati generico e, per le prove strutturate, i modelli di dati, i formati di serializzazione, gli elenchi di codici e i meccanismi di conversione in formato leggibile dall’uomo. Sono previsti versioning, tracciamento delle modifiche, metodologie per nuovi modelli e uno strumento informatico della Commissione per verificare la conformità delle prove.

Registri e servizi nazionali equivalenti

Gli Stati membri che dispongono di registri o servizi nazionali equivalenti al repertorio dei servizi dati o all’intermediario di prove possono evitare la duplicazione del lavoro di registrazione, ma devono consentire agli altri Stati membri di consultare tali registri oppure trasferire le informazioni nei servizi comuni. In ogni caso, il collegamento funzionale con il sistema comune deve essere garantito e realizzato secondo i documenti tecnici di progettazione.

Ruolo del richiedente prove e informazione all’utente

Il richiedente prove, cioè l’autorità competente responsabile della procedura, deve spiegare all’utente il funzionamento del sistema, chiarendo che l’uso è volontario, che è possibile esaminare le prove in uno spazio di anteprima e che, quando possibile, l’utente può operare anche tramite rappresentante. Il regolamento precisa però che tali informazioni non sono richieste nelle procedure di cui all’articolo 14, paragrafo 5, del regolamento (UE) 2018/1724.

Il richiedente deve consentire la selezione dei tipi di prove richieste e autenticare l’utente tramite mezzi di identificazione elettronica notificati ai sensi del regolamento (UE) 910/2014. Dopo la selezione, deve informare l’utente sugli eventuali attributi aggiuntivi richiesti e sul reindirizzamento verso il fornitore di prove o la piattaforma di intermediazione per l’anteprima.

Richiesta di prove e metadati obbligatori

La richiesta di prove deve contenere una serie dettagliata di informazioni: identificativo unico, tipo di prova richiesto, data e ora della richiesta esplicita, procedura interessata, dati del richiedente e della piattaforma di intermediazione, attributi dell’utente e del rappresentante, livello di garanzia e identificazione del fornitore di prove registrato nel repertorio. Devono inoltre essere indicati l’eventuale necessità di richiesta esplicita dell’utente e l’eventuale obbligo di anteprima.

Il regolamento insiste sulla distinzione tra gli attributi scambiati tramite eID e gli eventuali attributi aggiuntivi richiesti per identificare correttamente il fornitore di prove.

Ruolo del fornitore di prove e anteprima delle prove

Il fornitore di prove, o la piattaforma di intermediazione se presente, deve ricevere la richiesta via eDelivery, interpretarla e, previa identificazione corretta dell’utente, recuperare le prove corrispondenti. Prima del trasferimento definitivo, salvo le eccezioni previste, l’utente deve poter vedere le prove in uno spazio di anteprima e scegliere quali di esse autorizza a trasmettere al richiedente.

La risposta relativa alle prove, oltre alle prove stesse, deve essere accompagnata da metadati identificativi, tra cui l’identificativo della richiesta, la data e l’ora di generazione, l’identificazione univoca delle prove e del fornitore, nonché, se necessario, una versione leggibile dall’uomo delle prove strutturate non conformi al modello di dati pertinente. In caso di errore o di prove ancora in conversione, il sistema restituisce una segnalazione specifica con i relativi metadati e, se possibile, un’indicazione della data prevista di disponibilità.

Corrispondenza identità/prove e mancato scambio

Il fornitore di prove può richiedere una nuova identificazione e autenticazione per verificare la corrispondenza tra utente e prove. Lo scambio avviene solo se gli attributi dell’utente e, se del caso, del rappresentante coincidono con quelli detenuti dal fornitore o dalla piattaforma. In caso di mancata corrispondenza o di corrispondenza multipla, l’utente non può accedere all’anteprima e le prove non vengono scambiate; il richiedente riceve un errore e l’utente un messaggio automatizzato che spiega l’impossibilità di ottenere le prove.

Registrazione degli scambi e conservazione

Per ogni richiesta di prove devono essere registrati la richiesta, la risposta o l’errore e i dati eDelivery relativi allo scambio. Deve inoltre essere registrata la decisione dell’utente dopo l’anteprima, oppure il fatto che l’utente abbia abbandonato il processo senza decisione. Commissione e Stati membri registrano anche tutte le interazioni con i servizi comuni. Le registrazioni vanno conservate per 12 mesi, salvo termini più lunghi imposti dal diritto nazionale.

Governance del sistema e sottogruppi tecnici

La governance è affidata al gruppo di coordinamento dello sportello, che in cooperazione con la Commissione supervisiona l’istituzione e l’avvio del sistema, fissa le priorità, programma gli aggiornamenti dei documenti tecnici di progettazione e organizza revisioni tra pari. I sottogruppi tecnici elaborano proposte su standardizzazione dei modelli di dati, mappatura delle prove, interpretazione dei documenti tecnici, accordi operativi, sicurezza e collaudo dell’interoperabilità. Le decisioni sono adottate per consenso, oppure, se necessario, con maggioranza semplice dei presenti secondo le regole procedurali del sottogruppo.

Sostegno tecnico, monitoraggio e gestione degli incidenti

La Commissione designa un punto di contatto unico per il sostegno tecnico dei servizi comuni e ciascuno Stato membro un punto di contatto unico per i componenti nazionali di propria responsabilità. Tali strutture forniscono supporto tecnico, risolvono incidenti, gestiscono le violazioni di sicurezza e coordinano la richiesta e la trasmissione delle registrazioni quando vi siano dubbi sulla liceità di una richiesta di prove o sospetti di incidente.

La Commissione istituisce inoltre un pannello di gestione del sostegno tecnico per facilitare la comunicazione tra tutti i punti di contatto, l’invio di segnalazioni sugli incidenti sostanziali e le richieste di assistenza o di registrazioni. I coordinatori nazionali e la presidenza del gruppo di coordinamento hanno accesso al pannello.

Responsabilità, sicurezza e disponibilità del sistema

La Commissione è proprietaria e responsabile dei servizi comuni e del pannello di gestione; gli Stati membri sono responsabili dei componenti nazionali, inclusi i nodi eIDAS, i punti di accesso eDelivery e i registri nazionali. Entrambe le parti devono informarsi reciprocamente su modifiche e aggiornamenti e garantire la sicurezza dei rispettivi componenti.

Il sistema deve essere operativo 24 ore su 24, 7 giorni su 7, con un livello di disponibilità almeno pari al 98% per punti di accesso eDelivery, spazi di anteprima e servizi comuni, al netto della manutenzione programmata. Sono previsti termini di preavviso per gli interventi di manutenzione di 5, 10 o 30 giorni lavorativi a seconda della durata o della natura dell’intervento. In caso di guasto imprevisto, gli Stati membri o la Commissione devono informare tempestivamente gli altri soggetti interessati e indicare, se nota, la prevista ripresa del servizio.

Protezione dei dati personali

Il regolamento attribuisce alle autorità competenti degli Stati membri, quando agiscono come richiedenti o fornitori di prove, la qualifica di titolari del trattamento ai sensi del regolamento (UE) 2016/679. Il richiedente prove è responsabile della completezza e liceità della richiesta e deve assicurare che le prove siano necessarie per la procedura concreta; una volta ricevute, deve garantire un livello di protezione dei dati non inferiore a quello che si avrebbe con una presentazione diretta delle prove da parte dell’utente.

Il fornitore di prove deve verificare che esista corrispondenza tra utente e prove e che l’utente abbia il diritto di utilizzare la prova richiesta. Quando la piattaforma di intermediazione mette a disposizione lo spazio di anteprima, opera come responsabile del trattamento per conto del fornitore di prove.

Avvio, collaudo ed entrata in applicazione

Prima della messa a disposizione agli utenti, tutti i componenti devono superare i test previsti secondo un calendario e indicatori adottati nel quadro del gruppo di coordinamento dello sportello. La Commissione fornisce strumenti di collaudo e assistenza tecnica agli Stati membri. Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea e si applica dal 12 dicembre 2023.