Regolamento (UE) 2025/846

Corrispondenza dell’identità a livello transfrontaliero delle persone fisiche

Il regolamento di esecuzione (UE) 2025/846 definisce le modalità operative con cui gli organismi del settore pubblico, o i soggetti che agiscono per loro conto, devono determinare la corrispondenza univoca dell’identità delle persone fisiche nei servizi pubblici online transfrontalieri. La disciplina si inserisce nel quadro del regolamento (UE) n. 910/2014 (eIDAS), come modificato dal regolamento (UE) 2024/1183, e si coordina con la raccomandazione (UE) 2021/946 e con i lavori tecnici sull’architettura europea dell’identità digitale.

Ambito e logica del sistema

Il regolamento si applica ai casi in cui un organismo del settore pubblico funge da parte facente affidamento sulla certificazione in relazione a un servizio online transfrontaliero. L’obiettivo è assicurare una corrispondenza univoca dell’identità tramite portafogli europei di identità digitale o mezzi di identificazione elettronica notificati, potendo il processo essere svolto dalla parte che si affida alla certificazione, da un soggetto che agisce per suo conto, da un registro utilizzato da tale parte o da un sistema centralizzato. Gli Stati membri restano liberi di estendere il meccanismo anche alle parti private facenti affidamento sulla certificazione, applicando per quanto possibile le stesse regole.

Dati utilizzabili per il matching

Per i portafogli, il confronto deve basarsi sui dati di identificazione personale obbligatori indicati nella sezione 1 dell’allegato del regolamento di esecuzione (UE) 2024/2977, integrati, se necessario, da dati facoltativi o informazioni supplementari idonei a garantire l’unicità dell’insieme presentato. Per i mezzi di identificazione elettronica notificati, il confronto deve basarsi sugli attributi obbligatori dell’insieme minimo di dati per una persona fisica di cui alla sezione 1 dell’allegato del regolamento di esecuzione (UE) 2015/1501, con eventuali informazioni aggiuntive o procedure complementari.

Esito del processo e criteri di unicità

L’esito è positivo quando la corrispondenza è esatta e si riferisce a una sola persona fisica, oppure quando l’operazione conduce a una nuova registrazione utente equivalente a un esito positivo. L’esito è invece negativo se la corrispondenza non è esatta, se riguarda più persone fisiche o se non è possibile garantire l’univocità. Il regolamento chiarisce inoltre che l’esito non deve essere compromesso, per quanto possibile, da differenze di traslitterazione, spaziatura, uso del trattino, concatenazioni e analoghe varianti ortografiche ammesse dal diritto dell’Unione o nazionale.

Sistemi centralizzati e interoperabilità

Per abbinare portafogli o mezzi di identificazione elettronica notificati di altri Stati membri a registrazioni esistenti mediante procedure online, gli Stati membri possono istituire sistemi centralizzati di corrispondenza dell’identità gestiti da organismi pubblici. La disciplina mira a rendere il processo affidabile e interoperabile tra Stati membri, riducendo il rischio di abbinamenti errati o duplicazioni di account. La Commissione richiama espressamente la necessità di riesaminare e aggiornare il regolamento alla luce degli sviluppi tecnologici e delle migliori pratiche.

Informazioni all’utente in caso di esito positivo

Quando il primo processo di corrispondenza ha esito positivo, l’utente deve essere informato dell’accesso al servizio richiesto. Se del caso, deve anche essere informato se è stato registrato come nuovo utente, se è stato abbinato a un utente esistente della parte facente affidamento sulla certificazione o di un registro utilizzato da tale parte e se potrà riutilizzare in futuro il risultato del matching. Le forme di riutilizzo possono consistere nella conservazione di un’associazione in un registro, nel rilascio di un attestato elettronico di attributi dedicato o in altre opzioni alternative rese disponibili dal soggetto che gestisce il processo.

Informazioni all’utente in caso di esito negativo e rimedi

Se il processo non consente una corrispondenza univoca, l’utente deve essere informato del mancato abbinamento e delle eventuali altre opzioni disponibili per ottenere l’accesso al servizio. Le alternative possono includere un diverso mezzo di identificazione elettronica, un portafoglio diverso, l’aggiornamento delle informazioni già registrate o l’integrazione con ulteriori dati. Se i metodi complementari portano a un esito positivo e univoco, si applicano le regole sugli esiti positivi; se invece l’utente non risulta già registrato, la parte facente affidamento sulla certificazione può trattarlo come nuovo utente e registrarlo secondo il diritto o le prassi amministrative nazionali.

Conservazione delle registrazioni e tutela dei dati personali

Per ogni processo di corrispondenza dell’identità, sia positivo sia negativo, devono essere conservate registrazioni adeguate concernenti il processo e il suo esito. Le informazioni includono i valori forniti dall’utente e dalla parte facente affidamento sulla certificazione, la data e l’ora, l’eventuale documentazione prodotta nei metodi complementari e, se del caso, gli identificatori o numeri di account utilizzati. Le registrazioni devono essere conservate per un minimo di 6 mesi e un massimo di 12 mesi a fini di sicurezza, con possibili proroghe se richieste dal diritto dell’Unione o nazionale, anche per la gestione di contestazioni e reclami. Il regolamento impone di considerare fin dalla progettazione i principi di sicurezza e tutela della vita privata.

Applicazione nel tempo e diritto applicabile

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea, ma si applica soltanto dal 24 dicembre 2026. In materia di trattamento dei dati personali si applicano il regolamento (UE) 2016/679 e, se pertinente, la direttiva 2002/58/CE; per le istituzioni e gli organismi dell’Unione rileva inoltre il regolamento (UE) 2018/1725. La disciplina è direttamente applicabile in tutti gli Stati membri.