Regolamento (UE) 2025/849

Regolamento di esecuzione (UE) 2025/849 sulla trasmissione delle informazioni relative ai portafogli europei di identità digitale certificati

Il regolamento attua il regolamento (UE) n. 910/2014, come modificato, disciplinando le modalità con cui gli Stati membri devono comunicare alla Commissione le informazioni necessarie per l’elenco dei portafogli europei di identità digitale certificati. La ratio è assicurare un elenco comune, aggiornato e leggibile meccanicamente, a tutela di trasparenza, fiducia e armonizzazione dell’ecosistema dei portafogli nell’Unione. Il regolamento si innesta nel quadro europeo dell’identità digitale e richiama, per il trattamento dei dati personali, il regolamento (UE) 2016/679 e, se del caso, la direttiva 2002/58/CE.

Ambito e finalità della disciplina

La disciplina riguarda esclusivamente gli Stati membri, tenuti a trasmettere alla Commissione e al gruppo di cooperazione per l’identità digitale europea le informazioni sui portafogli certificati. Le informazioni servono a consentire alla Commissione di redigere, pubblicare nella Gazzetta ufficiale dell’Unione europea e mantenere un elenco dei portafogli certificati in formato leggibile meccanicamente. Il considerando sottolinea che la trasmissione deve avvenire tramite un canale elettronico sicuro e che i dati vanno forniti almeno in inglese, per facilitarne accessibilità e comprensione da parte della Commissione, del gruppo di cooperazione e del pubblico.

Definizioni rilevanti

L’articolo 2 introduce definizioni essenziali per la corretta compilazione delle informazioni da comunicare. In particolare:

• la "soluzione di portafoglio" comprende software, hardware, servizi, impostazioni e configurazioni, incluse le istanze di portafoglio, le applicazioni crittografiche sicure e i dispositivi crittografici sicuri;
• l’"istanza di portafoglio" è l’applicazione installata e configurata sul dispositivo o ambiente dell’utente;
• l’"unità di portafoglio" è la configurazione unica della soluzione resa disponibile a un singolo utente;
• il "fornitore del portafoglio" è la persona fisica o giuridica che fornisce soluzioni di portafoglio;
• l’"utente del portafoglio" è il soggetto che ha il controllo dell’unità di portafoglio;
• sono poi definiti l’applicazione crittografica sicura, il dispositivo crittografico sicuro, le risorse critiche e il fornitore di dati di identificazione personale.

Trasmissione delle informazioni e aggiornamenti

Ai sensi dell’articolo 3, gli Stati membri devono utilizzare un canale elettronico sicuro messo a disposizione dalla Commissione. Le informazioni vanno trasmesse almeno in inglese. Ogni modifica delle informazioni già trasmesse, inclusi i cambiamenti dello stato di certificazione dei portafogli, deve essere comunicata tempestivamente tramite lo stesso canale. La struttura del regolamento mira anche a evitare duplicazioni e a garantire coerenza tra le informazioni nazionali e l’elenco europeo.

Contenuto informativo richiesto dall’allegato

L’allegato disciplina nel dettaglio il contenuto minimo delle comunicazioni. Per ciascun portafoglio fornito e certificato, lo Stato membro deve indicare se la trasmissione riguarda:

• un portafoglio fornito e certificato;
• una modifica di informazioni già trasmesse;
• la richiesta di eliminazione di un portafoglio dall’elenco.

Per il portafoglio certificato occorre trasmettere una descrizione completa della soluzione di portafoglio, comprensiva di nome, identificativo unico, dati del fornitore e descrizione della gestione della soluzione. Quest’ultima include, tra l’altro, caratteristiche e progettazione, rilascio, consegna e attivazione, sospensione, revoca e riattivazione, recupero e backup, rinnovo e sostituzione, nonché pratiche di gestione delle registrazioni delle transazioni.

Regime di identificazione elettronica, vigilanza e responsabilità

L’allegato richiede anche una descrizione del regime di identificazione elettronica nell’ambito del quale la soluzione di portafoglio è fornita e certificata. Le informazioni da comunicare comprendono:

• il titolo e l’identificativo unico del regime;
• le autorità responsabili;
• la descrizione della gestione e dell’organizzazione del regime;
• i dati del o dei fornitori di dati di identificazione personale;
• per ciascun fornitore, le serie di dati di identificazione personale fornite e quelle per le quali lo Stato membro garantisce l’unicità.

Devono inoltre essere descritti il regime di vigilanza, ai sensi dell’articolo 46 bis del regolamento (UE) n. 910/2014, e il regime di responsabilità ai sensi dell’articolo 5 bis, paragrafo 19, dello stesso regolamento, con riferimento sia ai fornitori di dati di identificazione personale sia al fornitore del portafoglio. È richiesta anche una descrizione del processo di registrazione, inclusa la procedura per richiedere l’unità di portafoglio e i dati di identificazione personale, la registrazione degli utenti e, se del caso, il controllo dell’identità delle persone fisiche e giuridiche.

Sospensione, revoca e certificazione

L’allegato impone infine di indicare le politiche applicabili alle autorità responsabili del regime di identificazione elettronica, comprese le modalità di sospensione o revoca dei regimi di identificazione elettronica, degli attestati di unità di portafoglio rilasciati dal fornitore del portafoglio e di qualsiasi altra parte compromessa dei portafogli. Deve essere inoltre trasmesso il certificato e la relativa relazione di valutazione della certificazione conformemente all’articolo 5 quater del regolamento (UE) n. 910/2014.

Entrata in vigore e efficacia

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. È obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri, senza necessità di recepimento nazionale.