Regolamento (UE) 2024/2980

Regolamento di esecuzione (UE) 2024/2980: notifiche alla Commissione nell’ecosistema dei portafogli europei di identità digitale

Il regolamento dà attuazione all’articolo 5 bis, paragrafo 23, del regolamento (UE) n. 910/2014 e definisce un quadro uniforme per le notifiche che gli Stati membri devono inviare alla Commissione in relazione ai portafogli europei di identità digitale. La finalità è creare una base informativa affidabile, trasparente e tecnicamente verificabile per consentire l’autenticazione e la convalida dei soggetti e dei componenti coinvolti nell’ecosistema.

Contesto normativo e finalità

Il testo si inserisce nel più ampio pacchetto di atti di esecuzione adottati per completare l’assetto del quadro europeo di identità digitale introdotto dal regolamento (UE) 2024/1183. I considerando evidenziano l’esigenza di garantire interoperabilità, sicurezza, protezione dei dati personali e allineamento con l’architettura e il quadro di riferimento elaborati anche sulla base della raccomandazione (UE) 2021/946. Il regolamento deve essere riesaminato e, se necessario, aggiornato dalla Commissione per restare coerente con gli sviluppi tecnologici e con le migliori pratiche del mercato interno.

Ambito soggettivo e oggettivo

L’ambito di applicazione riguarda gli Stati membri, chiamati a notificare informazioni su organismi e meccanismi rilevanti per il funzionamento dei portafogli. Le notifiche riguardano in particolare:

• i registri elettronici delle parti facenti affidamento sul portafoglio e i relativi conservatori;
• le parti facenti affidamento registrate;
• le unità di portafoglio e i fornitori di portafogli;
• i dati di identificazione personale e i relativi fornitori;
• i fornitori di certificati di accesso delle parti facenti affidamento.

Il regolamento non disciplina direttamente la prestazione dei servizi digitali al pubblico, ma i presupposti informativi e tecnici che consentono la verifica dell’affidabilità dei soggetti dell’ecosistema.

Definizioni rilevanti

L’articolo 2 introduce definizioni operative essenziali per delimitare i ruoli e gli oggetti tecnici del sistema. In particolare, chiarisce cosa debba intendersi per soluzione di portafoglio, unità di portafoglio, istanza di portafoglio, applicazione crittografica sicura, dispositivo crittografico sicuro e risorse critiche. Definisce inoltre il fornitore del portafoglio, il fornitore di dati di identificazione personale, la parte facente affidamento sul portafoglio e il fornitore di certificati di accesso della parte facente affidamento.

Sistema elettronico sicuro per le notifiche

La Commissione deve mettere a disposizione degli Stati membri, entro dodici mesi dalla pubblicazione del regolamento nella Gazzetta ufficiale dell’Unione europea, un sistema elettronico sicuro per le notifiche. Il sistema deve rispettare i requisiti tecnici dell’allegato I, tra cui:

• disponibilità almeno in lingua inglese;
• possibilità di riutilizzare informazioni già trasmesse;
• trasmissione sia tramite interfacce automatiche sia tramite interfacce utilizzabili dall’uomo;
• controlli degli accessi e gestione delle autorizzazioni, con delega agli Stati membri;
• supporto alle notifiche previste dall’allegato II;
• conferma elettronica di ricezione;
• storico completo delle modifiche delle informazioni notificate.

Contenuto delle notifiche degli Stati membri

Gli Stati membri devono trasmettere, tramite il sistema della Commissione, almeno le informazioni elencate nell’allegato II. Le notifiche devono essere presentate quanto meno in inglese. Non è richiesto tradurre i documenti di supporto se ciò comporta un onere amministrativo o finanziario irragionevole. La Commissione può richiedere chiarimenti o informazioni supplementari per verificare la completezza e la coerenza dei dati.

Informazioni sui registri e sui conservatori

Per i registri delle parti facenti affidamento sul portafoglio e per i relativi conservatori devono essere comunicati, per ciascun registro e ciascun conservatore, nome del registro, URL di accesso con cifratura transport layer all’avanguardia, nome del conservatore, eventuale numero di registrazione, Stato membro di stabilimento, recapiti, eventuale pagina web informativa, URL della pagina con la politica di registrazione e certificati conformi all’RFC 3647 utili a verificare la firma o il sigillo del conservatore sui dati del registro.

Informazioni sui fornitori di portafogli

Per ciascun fornitore di portafogli devono essere notificati nome, eventuale numero di registrazione, eventuale organismo responsabile della soluzione di portafoglio, Stato membro di stabilimento, recapiti, eventuali URL informativi, URL delle politiche, termini e condizioni, nonché certificati RFC 3647 idonei a autenticare e convalidare i componenti dell’unità di portafoglio. Inoltre, per ogni soluzione di portafoglio fornita, devono essere indicati il nome e il numero di riferimento della soluzione, destinati alla pubblicazione nella Gazzetta ufficiale ai sensi dell’articolo 5 quinquies del regolamento (UE) n. 910/2014.

Informazioni sui fornitori di dati di identificazione personale

Per ciascun fornitore di dati di identificazione personale gli Stati membri devono indicare nome, eventuale numero di registrazione, eventuale organismo responsabile dell’associazione dei dati all’unità di portafoglio, Stato membro di stabilimento, recapiti, eventuali URL informativi, URL delle politiche, termini e condizioni e certificati RFC 3647 per la verifica della firma o del sigillo sui dati forniti. La logica è garantire che i dati personali di identificazione siano riconducibili a fonti affidabili e verificabili.

Informazioni sui fornitori di certificati di accesso

Per i fornitori di certificati di accesso delle parti facenti affidamento sul portafoglio devono essere notificati nome, eventuale numero di registrazione, Stato membro di stabilimento, recapiti, eventuali URL informativi, URL delle politiche, termini e condizioni e certificati RFC 3647 utilizzabili per verificare firma o sigillo sui certificati di accesso. Occorre inoltre fornire le informazioni necessarie per distinguere tali certificati rispetto ad altri certificati.

Pubblicazione e accessibilità degli elenchi

La Commissione deve predisporre, aggiornare e pubblicare due elenchi separati: uno relativo ai conservatori e ai registri, l’altro ai fornitori di portafogli, ai fornitori di dati di identificazione personale e ai fornitori di certificati di accesso. Gli elenchi devono essere accessibili:

• in formato firmato o sigillato elettronicamente, idoneo al trattamento automatizzato;
• tramite un sito web leggibile dall’uomo, almeno in inglese;
• senza registrazione o autenticazione;
• con connessione protetta mediante cifratura transport layer all’avanguardia.

La Commissione deve inoltre pubblicare le specifiche tecniche della struttura degli elenchi, gli URL di pubblicazione, i certificati da usare per verificare le firme o i sigilli e i meccanismi per validare eventuali variazioni dell’ubicazione o dei certificati.

Protezione dei dati e coordinamento con altri atti

Il regolamento richiama espressamente l’applicazione del regolamento (UE) 2016/679, del regolamento (UE) 2018/1725 e, se del caso, della direttiva 2002/58/CE per tutte le attività di trattamento di dati personali effettuate nell’ambito del regolamento. Ciò conferma che l’assetto informativo e pubblicistico delle notifiche deve essere coordinato con le regole europee in materia di protezione dei dati e riservatezza delle comunicazioni elettroniche.

Entrata in vigore e applicazione

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri. Per i professionisti, il punto operativo centrale è la predisposizione tempestiva delle notifiche nazionali e la verifica della coerenza tra registri, fornitori e certificati rispetto ai requisiti minimi fissati dagli allegati.