Linee Guida per il rilascio dell’identità digitale per uso professionale

Linee guida per il rilascio dell’identità digitale per uso professionale

Le linee guida disciplinano il rilascio delle identità digitali SPID a uso professionale, sia per persone fisiche sia per persone giuridiche. Il provvedimento stabilisce le condizioni operative e giuridiche che i gestori di identità digitale devono rispettare, nonché gli obblighi che possono gravare sulle organizzazioni coinvolte nella verifica dell’identità.

Ambito di applicazione e natura dell’identità professionale

L’ambito riguarda esclusivamente le identità digitali utili in un contesto professionale. L’identità professionale può attestare l’appartenenza di una persona fisica a un’organizzazione o la sua qualità di professionista, ma non vale come prova dei poteri di rappresentanza della persona giuridica né dell’iscrizione a un ordine professionale o altro elenco qualificato.

Nel caso di identità professionale per persona giuridica, la linea guida prevede un modello in cui il richiedente opera per conto dell’organizzazione. Quando il gestore dell’identità delega all’organizzazione la verifica dell’identità, si applicano anche le ulteriori disposizioni previste dagli articoli dedicati alla delega, ai rapporti tra le parti e al sistema di gestione.

Quadro normativo di riferimento

Il provvedimento si colloca nel quadro del CAD, in particolare dell’art. 71 e dell’art. 14-bis, ed è adottato dopo consultazione pubblica, acquisizione dei pareri e sentite le amministrazioni competenti e il Garante per la protezione dei dati personali. Richiama inoltre il DPCM 24 ottobre 2014 sul sistema SPID e il RGPD (Regolamento UE 2016/679).

Definizioni rilevanti

Le definizioni centrali sono quelle di:

• identità digitale uso professionale;
• identità digitale uso professionale della persona fisica;
• identità digitale uso professionale per la persona giuridica;
• IdP, cioè il gestore dell’identità digitale SPID;
• organizzazione, cioè la persona giuridica che stipula un accordo con l’IdP;
• utenza di governo e utenza di gestione, che sono identità professionali abilitate all’accesso al sistema di gestione.

Il testo precisa che si applicano anche le definizioni già contenute nel DPCM SPID.

Modalità di rilascio e verifiche preventive

Per rilasciare l’identità professionale della persona fisica, l’IdP deve verificare l’identità personale del richiedente. Tale verifica può essere svolta anche tramite un servizio online accessibile con una precedente identità SPID della medesima persona, a condizione che le credenziali usate siano state rilasciate dallo stesso IdP e abbiano livello pari o superiore a quello richiesto, salvo diversi accordi privati tra IdP.

Per l’identità professionale per la persona giuridica, l’IdP deve verificare sia l’identità personale della persona fisica richiedente sia il suo titolo a richiedere l’identità per la persona giuridica. Le modalità di verifica del titolo devono essere sottoposte ad AgID per approvazione.

Rapporti tra IdP e organizzazione

Le condizioni economiche e contrattuali della fornitura sono rimesse alla contrattazione tra le parti, nel rispetto della normativa vigente. Prima della stipula, l’IdP deve verificare l’esistenza della persona giuridica e che il firmatario abbia adeguati poteri, nonché la sua identità.

L’atto che disciplina il rapporto deve indicare:

• i soggetti dell’organizzazione autorizzati a richiedere rilascio e revoca delle credenziali dei gestori;
• le modalità con cui tali richieste devono pervenire all’IdP, garantendo integrità, autenticità, non ripudio, tracciabilità e conservazione;
• un indirizzo PEC dell’organizzazione;
• i nominativi e i recapiti dei responsabili del rapporto.

Attributo uso professionale e requisiti di accesso ai servizi

L’identità professionale contiene l’attributo-estensione Purpose valorizzato con codice "P". Tale attributo consente ai fornitori di servizi SPID di selezionare l’accesso ai servizi riservati a professionisti e persone giuridiche.

È il fornitore di servizi, e non l’IdP, a definire il livello di autorizzazione associato alla persona fisica. Se un servizio intende accettare autenticazioni con identità professionale, l’authRequest deve contenere l’estensione SAML prevista; l’IdP può consentire l’autenticazione con identità professionale per la persona giuridica solo se tale estensione è presente.

Delega della verifica all’organizzazione: obblighi stringenti

Se l’IdP demanda all’organizzazione la verifica dell’identità dei soggetti, deve formalizzare una serie di presidi organizzativi, contrattuali e tecnici. In particolare deve:

• vincolare l’organizzazione al rispetto del RGPD e degli obblighi sulla verifica dell’identità;
• assicurare che i trattamenti siano disciplinati da un contratto o altro atto giuridico ai sensi dell’art. 28 RGPD;
• fornire istruzioni operative ai soggetti incaricati;
• rendere consapevoli i gestori delle conseguenze penali del furto di identità;
• garantire la consapevolezza sul carattere strettamente personale delle credenziali e sulla responsabilità per uso improprio;
• assicurare che le operazioni siano tracciate;
• vietare in modo assoluto la contemporanea titolarità di utenza di governo e di utenza di gestione;
• offrire online un servizio per revoca immediata delle credenziali, cambio password e consultazione delle operazioni svolte;
• ottenere impegni formali dell’organizzazione a impedire usi promiscui delle credenziali e a richiederne la revoca immediata in caso di violazioni o cessazione del rapporto;
• acquisire la presa d’atto del divieto assoluto di attribuire al medesimo soggetto sia utenza di governo sia utenza di gestione;
• inviare mensilmente via PEC all’organizzazione una comunicazione con i dati essenziali delle identità rilasciate e delle utenze attive.

Utenze di governo e di gestione: funzioni e limiti

Le utenze di governo e di gestione sono rilasciate dall’IdP ai soggetti autorizzati. L’utenza di governo consente di:

• vedere l’elenco delle identità professionali rilasciate all’organizzazione;
• richiederne la revoca;
• rendere disponibile e visualizzare l’elenco dei soggetti eleggibili, con possibilità di revoca.

L’utenza di gestione consente di:

• visualizzare l’elenco dei soggetti eleggibili;
• inserire i dati identificativi del soggetto su cui si effettua la verifica, se presente nell’elenco;
• dichiarare l’avvenuta verifica dell’identità;
• consultare l’elenco dei soggetti verificati e la relativa data.

I dati da inserire includono nome, cognome, data e luogo di nascita, sesso, codice fiscale, numero seriale della tessera sanitaria o del codice fiscale, documento di riconoscimento, numero di cellulare e un codice di controllo di almeno tre cifre. Sono ammessi solo carta d’identità, passaporto e patente. L’indirizzo email del soggetto è quello già fornito e non può essere modificato dall’utente di gestione.

Token di autorizzazione e flusso di rilascio

Il token di autorizzazione è ottenuto mediante hashing SHA-256 di una stringa composta dai dati personali del soggetto, da un token casuale di cinque caratteri e dal codice di controllo. Dopo la dichiarazione di avvenuta verifica da parte dell’utente di gestione, il sistema:

• invia il token al titolare via SMS o email;
• rende disponibile all’IdP il token di autorizzazione all’emissione;
• distrugge il codice di controllo una volta completata l’operazione.

Il richiedente, una volta autorizzato, accede al servizio di rilascio dell’IdP su canale protetto, inserisce token, dati personali e codice di controllo; l’IdP ricalcola il token e, se vi è corrispondenza, rilascia l’identità digitale inviando almeno una credenziale SPID via SMS o email. L’IdP informa inoltre l’indirizzo email dichiarato dall’interessato all’utente di governo dell’avvenuto rilascio.

Requisiti di sicurezza e protezione delle postazioni

Il sistema di gestione deve essere realizzato dagli IdP e reso accessibile ai gestori, con funzioni che garantiscano la netta separazione dei ruoli. Devono inoltre essere assicurati:

• la sicurezza del trattamento ai sensi dell’art. 32 RGPD;
• la tracciabilità delle operazioni, incluso l’indirizzo IP e la collocazione temporale, con conservazione per il periodo previsto dal DPCM;
• la sicurezza del canale;
• l’impossibilità per l’IdP di accedere ai dati inseriti dal gestore per il rilascio.

L’organizzazione deve proteggere adeguatamente le stazioni di lavoro usate per accedere al sistema, adeguandosi almeno alla Circolare AgID n. 2/2017 sulle misure minime di sicurezza ICT per le pubbliche amministrazioni, e consentendo l’accesso ai gestori solo previa autenticazione con credenziali senza privilegi amministrativi.

Livello delle credenziali e decorrenza

Le credenziali SPID rilasciate ai gestori devono avere livello pari o superiore rispetto a quelle delle identità professionali che possono essere rilasciate ai sensi della procedura descritta.

Il provvedimento entra in vigore dal 1 dicembre 2019, al fine di consentire agli IdP di predisporre quanto necessario per l’adempimento degli obblighi relativi all’estensione Purpose e al processo di rilascio delle identità professionali.