Regolamento (UE) 2025/1571

Formati e procedure per le relazioni annuali degli organismi di vigilanza eIDAS

Il regolamento di esecuzione (UE) 2025/1571 della Commissione definisce le modalità applicative del regolamento (UE) n. 910/2014 per quanto riguarda la redazione e trasmissione delle relazioni annuali degli organismi di vigilanza. La finalità dichiarata è assicurare una fonte di informazioni trasparente e affidabile sulle attività di vigilanza, consentire scambi di dati sicuri e verificabili con la Commissione e ridurre la complessità amministrativa mediante relazioni in formato specifico e leggibile meccanicamente.

Ambito di applicazione

Il regolamento si rivolge agli organismi di vigilanza designati per i portafogli europei di identità digitale ai sensi dell'articolo 46 bis, paragrafo 1, del regolamento (UE) n. 910/2014 e agli organismi di vigilanza designati per i servizi fiduciari ai sensi dell'articolo 46 ter, paragrafo 1, dello stesso regolamento. La disciplina riguarda esclusivamente la trasmissione delle relazioni annuali alla Commissione e il relativo contenuto minimo. Si applica in tutti gli Stati membri ed è direttamente applicabile; per i trattamenti di dati personali si richiamano il regolamento (UE) 2016/679, il regolamento (UE) 2018/1725, se pertinente, e la direttiva 2002/58/CE.

Modalità di trasmissione e principi generali

Le relazioni annuali devono essere trasmesse alla Commissione tramite un canale elettronico sicuro messo a disposizione dalla Commissione stessa. Il regolamento introduce inoltre un principio di minimizzazione degli oneri documentali: le informazioni devono essere trasmesse una sola volta e, ove possibile, riutilizzando dati già forniti in precedenza. Tale impostazione è coerente con l'esigenza di rendere omogeneo, verificabile e automatizzabile il flusso informativo verso le istituzioni dell'Unione.

Relazioni annuali sugli organismi di vigilanza per i portafogli europei di identità digitale

Per i portafogli europei di identità digitale, le relazioni annuali devono contenere almeno le informazioni dell'allegato I. In particolare, devono essere indicati i dati identificativi dell'organismo di vigilanza, l'eventuale ambito di competenza in caso di designazione di più organismi nello stesso Stato membro, nonché una descrizione dell'organizzazione, della struttura, delle risorse e delle capacità dell'autorità.

Le relazioni devono poi descrivere le attività di vigilanza ex ante ed ex post svolte nel corso dell'anno civile precedente per ciascun fornitore di portafogli, comprese le ipotesi di presunte o potenziali violazioni del regolamento (UE) n. 910/2014 e le principali criticità riscontrate. Devono inoltre essere sintetizzate le ispezioni in loco e le attività di vigilanza a distanza, con indicazione almeno di:

• identificazione del fornitore o dei fornitori di portafogli;
• soluzione o soluzioni di portafoglio interessate;
• risultati principali;
• misure imposte;
• azioni intraprese dall'organismo di vigilanza.

L'allegato I richiede inoltre una descrizione delle attività di vigilanza ex post ai sensi dell'articolo 46 bis, paragrafo 3, lettera b), del regolamento (UE) n. 910/2014, delle notifiche di violazioni significative della sicurezza o perdite di integrità trasmesse alle autorità competenti, ai punti di contatto unici nazionali o al pubblico, delle richieste rivolte ai fornitori per porre rimedio a mancati requisiti, dei casi di cancellazione della registrazione delle parti facenti affidamento sulla certificazione per uso illecito o fraudolento del portafoglio, nonché della cooperazione con altri organismi di vigilanza e con le autorità di controllo in materia di protezione dei dati. La relazione deve chiudersi con una prospettiva sulle attività e priorità dell'anno successivo.

Relazioni annuali sugli organismi di vigilanza per i servizi fiduciari

Per i servizi fiduciari, le relazioni annuali devono includere almeno le informazioni dell'allegato II. Anche qui sono richiesti i dati identificativi dell'organismo, l'eventuale delimitazione dell'ambito di vigilanza in presenza di più organismi designati, e una descrizione dell'organizzazione, della struttura, delle risorse e delle capacità dell'autorità.

Il contenuto sostanziale riguarda le attività di vigilanza svolte ai sensi dell'articolo 46 ter, paragrafo 3, lettere a) e b), nei confronti dei prestatori di servizi fiduciari non qualificati e qualificati stabiliti nello Stato membro designante e dei servizi da essi prestati, incluse le presunte o potenziali violazioni del regolamento (UE) n. 910/2014 e le principali sfide. Le relazioni devono poi sintetizzare le ispezioni in loco e a distanza, specificando almeno:

• identificazione del prestatore o dei prestatori di servizi fiduciari qualificati;
• servizio o servizi interessati;
• descrizione dell'attività di vigilanza;
• risultati;
• misure imposte;
• azioni intraprese dall'organismo di vigilanza.

L'allegato II impone inoltre di dare conto di eventuali misure supplementari adottate ai sensi dell'articolo 46 ter, paragrafo 3, delle notifiche di violazioni significative della sicurezza o perdite di integrità inviate alle autorità competenti, ai punti di contatto unici nazionali o al pubblico, della cooperazione con altri organismi di vigilanza e con le autorità di controllo GDPR, delle verifiche sull'esistenza e sulla corretta applicazione dei piani di cessazione dei prestatori qualificati cessanti, delle indagini sulle dichiarazioni dei fornitori di browser web oggetto di indagine e delle attività sugli elenchi di fiducia di cui all'articolo 22 del regolamento (UE) n. 910/2014, con richiamo anche alla decisione di esecuzione (UE) 2015/1505. Devono essere inserite anche informazioni sui regimi nazionali di accreditamento degli organismi di valutazione della conformità, sui sistemi nazionali di valutazione o sui relativi orientamenti, e, se del caso, sulle infrastrutture fiduciarie istituite o mantenute su richiesta dello Stato membro e conformemente al diritto nazionale.

Collegamento con la normativa sulla protezione dei dati

Il regolamento chiarisce espressamente che il trattamento di dati personali connesso alle relazioni annuali resta soggetto alla disciplina generale dell'Unione in materia di protezione dei dati. In particolare, si applica il regolamento (UE) 2016/679 e, per le istituzioni e gli organismi dell'Unione, il regolamento (UE) 2018/1725; inoltre, ove rilevante, si applica la direttiva 2002/58/CE. È richiamata anche la consultazione del Garante europeo della protezione dei dati, avvenuta il 28 maggio 2025.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea. Come tipico per i regolamenti di esecuzione, è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.