Regolamento (UE) 2026/798

Norme di riferimento e specifiche per l’onboarding a distanza nei portafogli europei di identità digitale

Il regolamento di esecuzione completa il quadro eIDAS, come modificato dal regolamento (UE) 2024/1183, disciplinando le regole tecniche e procedurali per l’onboarding a distanza degli utenti nei portafogli europei di identità digitale. Il legislatore europeo mira a garantire un processo armonizzato, sicuro e affidabile per l’associazione dell’identità dell’utente al portafoglio e al dispositivo nel quale è installata l’unità di portafoglio.

Finalità e contesto normativo

Il provvedimento si fonda sull’articolo 5 bis, paragrafo 24, del regolamento (UE) n. 910/2014. I considerando evidenziano che l’onboarding è un passaggio cruciale per la verifica dell’identità e che le norme di riferimento devono riflettere pratiche consolidate, adattate però a requisiti di sicurezza e affidabilità adeguati al contesto dei portafogli europei di identità digitale.

La Commissione richiama inoltre il regolamento di esecuzione (UE) 2015/1502, osservando che, se un mezzo di identificazione elettronica è già rilasciato a livello di garanzia elevato, non è necessario ripetere i controlli di identità. Il regolamento precisa anche che il quadro sarà oggetto di riesame e, se necessario, di aggiornamento alla luce delle evoluzioni tecnologiche e delle migliori pratiche di mercato.

Ambito soggettivo e oggettivo

Le disposizioni rilevano per gli Stati membri, per i fornitori di dati di identificazione personale e, quando il controllo dell’identità è affidato a terzi, per i prestatori di servizi di controllo dell’identità (IPSP). L’oggetto è il processo di onboarding a distanza nei portafogli europei di identità digitale, sia quando avviene tramite eID conformi al livello di garanzia significativo, sia quando richiede ulteriori procedure che, combinate, devono soddisfare i requisiti del livello di garanzia elevato.

Se vengono impiegati mezzi di identificazione elettronica non notificati alla Commissione, il relativo livello di garanzia deve essere confermato da un organismo di valutazione della conformità accreditato, ai sensi del regolamento (CE) n. 765/2008, o da un organismo equivalente, e deve risultare la validità dei risultati della precedente procedura di rilascio.

Standard tecnico di riferimento

La conformità è valutata rispetto all’ETSI TS 119 461 V2.1.1 (2025-02), limitatamente ai punti elencati nella sezione 1 dell’allegato e con gli adeguamenti indicati nella sezione 2. Tra i punti applicabili figurano la valutazione del rischio operativo, le politiche e le prassi, la gestione del servizio di identity proofing, i requisiti del servizio, i casi d’uso per il controllo assistito e non assistito, il controllo mediante eID e il rafforzamento dell’identità tramite procedure aggiuntive.

Gestione del rischio, governance e continuità operativa

L’allegato impone requisiti in tema di valutazione del rischio operativo, gestione del servizio e continuità operativa. È richiesto che la dichiarazione sulle pratiche del servizio indichi i casi d’uso per i quali è dichiarata la conformità al documento; quando il controllo dell’identità è svolto direttamente dal fornitore di dati di identificazione personale, tale dichiarazione può ricomprendere anche le informazioni sul controllo dell’identità e non è necessaria una dichiarazione separata.

Sono inoltre disciplinati la gestione di vulnerabilità e incidenti, la raccolta delle prove, la gestione delle crisi e i piani di cessazione. In caso di soggetti diversi, IPSP e fornitore di dati di identificazione personale possono coordinarsi o assistersi reciprocamente nella predisposizione dei piani di terminazione.

Protezione dell’utente e rimedi in caso di esito negativo

Se il processo di controllo dell’identità a distanza viene interrotto o non va a buon fine, l’IPSP deve garantire all’interessato spiegazioni adeguate e strumenti di ricorso, con particolare attenzione ai casi non assistiti. Le informazioni fornite devono consentire all’utente di contribuire alla rapida risoluzione del problema e, se del caso, di esercitare diritti nei confronti del titolare del trattamento, come il diritto di rettifica o la contestazione della decisione.

Protezione dei dati personali

Il regolamento si applica nel rispetto del regolamento (UE) 2016/679 e, se del caso, del regolamento (UE) 2018/1725 e della direttiva 2002/58/CE. L’allegato impone espressamente misure di protezione dei dati fin dalla progettazione e per impostazione predefinita, ai sensi dell’articolo 25 del GDPR, soprattutto quando sono trattati dati biometrici.

Le misure devono limitare la raccolta dei dati a quanto strettamente necessario per il trattamento biometrico e per gli ulteriori dati personali necessari a collegare i dati di identificazione personale dell’utente al portafoglio e al dispositivo. Sono menzionati, a titolo esemplificativo, controlli crittografici e misure tecniche e organizzative a tutela della riservatezza.

Controllo dei documenti, validazione e conferma da organismi terzi

Il processo di identity proofing deve verificare che le prove siano valide al momento del controllo. Per la validazione di documenti d’identità fisici, il riferimento facciale deve essere acquisito tramite comunicazione in prossimità (NFC) e il processo deve svolgere autenticazione passiva o attiva del chip del documento.

Per talune misure tecniche, l’efficacia deve essere confermata da un organismo di valutazione della conformità accreditato o equivalente. Inoltre, quando si fa affidamento su eID come evidenza del controllo, l’allegato specifica condizioni ulteriori, tra cui il livello di garanzia minimo richiesto e la possibile necessità di certificazione formale basata su una verifica di conformità.

Casi d’uso per il LoIP esteso e rafforzamento dell’identità

Per la conformità al documento, un processo di identity proofing deve rispettare il caso d’uso del LoIP esteso. Il passaggio dal LoIP di base al LoIP esteso può avvenire tramite un controllo completo dell’identità mediante documento oppure mediante l’uso di un’immagine facciale di riferimento precedentemente acquisita.

In quest’ultimo caso, il processo utilizzato per acquisire l’immagine facciale e collegare i relativi attributi di identità deve già soddisfare i requisiti del LoIP esteso oppure essere stato sottoposto a valutazione tra pari o certificato per il livello di garanzia elevato ai sensi del regolamento (UE) n. 910/2014. Il controllo aggiuntivo per rafforzare l’affidabilità dell’identità si applica solo a eID non rilasciati sulla base di un confronto automatizzato tra immagini facciali nella fase iniziale di emissione.

Processi automatizzati e soglie di errore

Nei processi di controllo dell’identità completamente automatizzati, l’IPSP deve stabilire valori target per falsi positivi e falsi negativi. Tali valori devono derivare da un’analisi del rischio e da una procedura di intelligence sulle minacce, utilizzando la metodologia ENISA richiamata o una metodologia equivalente.

I valori target devono essere mantenuti in modo coerente e non possono essere superiori a quelli previsti per eventuali casi d’uso ibridi. La previsione mira a garantire un livello controllato di affidabilità nei processi automatizzati, particolarmente sensibili sotto il profilo della sicurezza e dell’accuratezza dell’identificazione.

Entrata in vigore e vincolatività

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. È obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri, senza necessità di recepimento nazionale.