In questo articolo, redatto attraverso la Ricerca dell’Osservatorio Digital B2b e dell’Osservatorio Digital Identity & Wallet, entreremo nel merito del tema, cercando di carpire gli obiettivi, i punti chiave e gli elementi principali contenuti nel testo legislativo e nelle relative revisioni.
Il Regolamento eIDAS (acronimo di electronic IDentification, Authentication and trust Services, ufficialmente Regolamento UE n. 910/2014 del Parlamento Europeo e del Consiglio del 23 luglio 2014), ha lo scopo principale di realizzare l’interoperabilità giuridica e tecnica fra i Paesi dell’Unione Europea degli strumenti elettronici di identificazione, autenticazione e firma. Il regolamento è entrato in vigore il 1° luglio 2016. A giugno 2021 è stata proposta una sua versione revisionata, entrata in vigore il 20 maggio 2024.
Il Regolamento eIDAS è, dunque, uno strumento di uniformazione del diritto europeo, che mira a rafforzare la fiducia del mercato per potenziare il commercio elettronico. A differenza della Direttiva 1999/93/CE — la normativa precedente in materia di firme elettroniche — eIDAS è un regolamento: è direttamente applicabile in tutti gli Stati membri, senza necessità di recepimento nei singoli ordinamenti nazionali.
L’obiettivo centrale è rafforzare la fiducia nelle transazioni elettroniche nel mercato interno e garantire il reciproco riconoscimento dell’identificazione elettronica, dell’autenticazione, delle firme e di altri servizi fiduciari oltre confine. Il risultato atteso è un aumento dell’efficacia dei servizi online pubblici e privati nell’intero sistema.
Tra gli effetti concreti del regolamento vi è un contributo diretto al rafforzamento della sicurezza cibernetica in Europa. Standardizzando i criteri di autenticazione e identificazione digitale, eIDAS riduce la frammentazione normativa che storicamente ha rappresentato una vulnerabilità: requisiti disomogenei tra Stati membri rendevano più facile sfruttare le differenze di sistema per condurre frodi digitali transfrontaliere. Un quadro comune di regole abbassa questa superficie di rischio.
Il Regolamento è suddiviso in quattro parti:
L’identificazione elettronica è il processo secondo cui si usano i dati di autenticazione personale in forma elettronica per identificare univocamente una persona fisica e una persona giuridica. In relazione ai sistemi di identificazione, ogni Stato può continuare a utilizzare gli strumenti di identificazione online già in uso e in nessun modo il regolamento impone l’adozione di uno strumento di identificazione online comune europeo.
Gli Stati membri possono notificare alla Commissione i sistemi di identificazione elettronica adottati (il regolamento stabilisce le condizioni affinché i sistemi di identificazione elettronica possano essere notificati) e questa pubblica una lista. Se lo schema notificato dallo Stato membro viene pubblicato, ogni cittadino può usare il proprio sistema di identificazione elettronica negli altri Stati, attuando così il principio del riconoscimento reciproco dell’identificazione in materia di servizi online.
In Italia, in materia di autenticazione elettronica, sono stati avviati diversi progetti:
La parte del regolamento dedicata alle firme elettroniche non comporta invece significative modifiche rispetto al quadro normativo previgente. È confermato il principio del non disconoscimento del documento informatico e delle firme elettroniche, secondo cui non può essere negata dignità e rilevanza giuridica a una firma elettronica solo perché è in formato elettronico.
Non presentano connotati innovativi rispetto al dato normativo italiano le definizioni di firma elettronica avanzata e di firma elettronica qualificata. In relazione alla definizione di firma elettronica avanzata è confermato il principio di neutralità tecnologica: la norma elenca una serie di condizioni, senza tuttavia imporre le modalità per applicarlo. La firma elettronica qualificata è automaticamente equiparata, sul piano degli effetti giuridici, alla firma autografa.
Viene inoltre introdotto il sigillo elettronico: un insieme di dati in forma elettronica acclusi o connessi tramite associazione logica, ad altri dati in forma elettronica, per garantirne la provenienza e l’integrità.
L’ultima parte del regolamento è quella relativa ai servizi fiduciari, o trust services. La loro definizione è molto ampia e comprende molti dei servizi informatici offerti dal mercato. Si tratta di un servizio elettronico, fornito di norma a pagamento, che include:
Non tutti i soggetti possono erogare servizi fiduciari allo stesso livello. eIDAS distingue tra prestatori di servizi fiduciari ordinari e qualificati: solo questi ultimi, accreditati secondo standard specifici stabiliti dal regolamento e sottoposti a verifiche periodiche, possono offrire servizi con piena validità legale nell’Unione Europea. Ciascuno Stato membro è tenuto a pubblicare e aggiornare un elenco fiduciario (Trusted List) dei prestatori qualificati accreditati sul proprio territorio, garantendo trasparenza e consultabilità a livello europeo.
Infine, il Regolamento eIDAS introduce anche la validazione temporale elettronica. Si tratta di un insieme di dati in forma elettronica che associano altri dati in forma elettronica a una particolare ora e data. Attesta che tali dati esistevano in quel preciso momento, non che il documento sia stato creato in quell’istante. La distinzione è rilevante in ambito legale e contrattuale.
A inizio giugno 2021 la Commissione Europea ha proposto un’importante modifica al regolamento eIDAS con l’obiettivo di istituire un quadro di riferimento per un’identità digitale europea, basata sul nuovo paradigma del wallet. eIDAS2 (ufficialmente Regolamento UE 2024/1183) è entrato in vigore il 20 maggio 2024.
L’European Digital Identity wallet consiste in un prodotto o servizio che consente all’utente di conservare dati di identificazione, credenziali e attributi associati alla sua identità, al fine di esibirlo alle parti richiedenti o di utilizzarlo come strumento di autenticazione (online e offline) per accedere a servizi, creare firme e sigilli elettronici qualificati.
Date le sue caratteristiche, il progetto prende in grande considerazione il tema della tutela dei dati personali e perciò, salvo consenso dell’interessato, è vietata la raccolta o la condivisione delle informazioni che lo riguardano. Per quanto riguarda l’erogazione ai cittadini, il wallet deve essere reso disponibile gratuitamente da ciascuno Stato membro, che può provvedervi direttamente oppure affidarne il rilascio a soggetti terzi.
La modifica al Regolamento eIDAS è un chiaro segnale di come l’UE stia cercando di spingere verso una maggiore digitalizzazione dei servizi pubblici e privati, ampliandone la diffusione e l’adozione a livello comunitario.
Tra le altre novità introdotte da eIDAS2, il testo normativo disciplina anche:
Contenuti suggeriti dell’Osservatorio Digital Identity & Wallet
