SPID

Come riferito (par. 3.4.1), il Garante ha reso parere su uno schema di decreto del Presidente del Consiglio dei ministri recante la definizione delle caratteristiche del “Sistema pubblico per la gestione dell’identita' digitale di cittadini e imprese” (Spid) nonchè dei tempi e delle modalita' di adozione del sistema da parte delle pubbliche amministrazioni e delle imprese, adottato ai sensi dell’articolo 64 del Cad (parere 19 giugno 2014, n. 311, doc. web n. 3265492). Il decreto esaminato è un primo provvedimento adottato in materia, le cui disposizioni, anche per i profili di protezione dei dati, rinviano a successivi atti che dovranno essere adottati dall’Agenzia per l’Italia digitale (AgID), previo parere dell’Autorita', e in cui saranno specificate le regole tecniche e le modalita' attuative per la realizzazione dello Spid, le modalita' di accreditamento dei soggetti coinvolti, le procedure per il rilascio dell’identita' digitale, nonchè le convenzioni sulla verifica e l’uso dei dati.

L’identita' digitale è l’insieme degli attributi identificativi della persona, fisica o giuridica, raccolti e registrati in forma digitale. In sostanza si tratta di un codice identificativo univoco dotato di attributi identificativi obbligatori (codice fiscale, nome, cognome, comune di nascita, sesso) nonchè di attributi secondari, quali la casella Pec, il numero di telefono fisso o mobile e di attributi qualificati (ad es. la qualifica professionale). Infine a ogni identita' è associata una credenziale per accedere, tramite autenticazione informatica, ai servizi erogati in rete.

L’identita' digitale è rilasciata dai “gestori dell’identita' digitale”, persone giuridiche che devono accreditarsi presso l’AgID e sono iscritti nel registro pubblico Spid. I gestori conservano, rendono disponibili e gestiscono gli attributi e le credenziali di autenticazione utilizzati dall’utente per l’accesso ai servizi. Il rilascio dell’identita' digitale presuppone la verifica dell’identita' del richiedente che può avvenire attraverso un contatto diretto (unico livello di verifica mantenuto per garantire un alto livello di sicurezza, anche se non in linea con altri progetti europei). Tale verifica può essere effettuata in diversi modi. Il riconoscimento de visu non è però sempre richiesto: se il richiedente possiede gia' un documento digitale di identita' (CIE, CNS, TS- CNS) l’identita' Spid potra' essere rilasciata senza ripetere la verifica, con una semplice richiesta online.

Oltre ai gestori di identita', sono coinvolti nel Sistema i “gestori di attributi qualificati” – ovvero soggetti che per legge sono titolati a certificare alcuni attributi qualificanti, come ad esempio un’abilitazione professionale, anch’essi accreditati presso l’AgID – e i “fornitori dei servizi”, soggetti pubblici o privati che sottoscrivono apposite convenzioni con AgID e che erogano servizi via internet per i quali sia richiesta l’identificazione e l’autenticazione degli utenti. Tutti questi soggetti sono iscritti nel registro Spid.

Nel suo complesso, il Sistema è volto a favorire la diffusione di servizi in rete e ad agevolare l’accesso agli stessi mediante l’attribuzione a ciascun soggetto interessato di un’“identita' digitale” allo scopo di identificare in modo univoco chi si rivolge, ad esempio, alla pubblica amministrazione per richiedere il servizio (come il rilascio di un certificato). L’istituzione di un sistema pubblico di identita' dovrebbe consentire di disporre di identita' digitali “sicure”, in grado cioè di minimizzare anche i rischi di crimini informatici come il furto d’identita'.

Il Garante ha espresso parere favorevole sullo schema di decreto, subordinandolo però al recepimento di numerose condizioni volte a perfezionare il testo e a renderlo conforme alla disciplina in materia di protezione dei dati personali.

L’architettura del sistema – anche se soggetto a conferma nei documenti attuativi – dovrebbe consentire ai cittadini di rivolgersi a vari gestori di identita' e di dotarsi di più strumenti di identificazione, da utilizzare a seconda dei diversi contesti, anche tenendo conto del livello di sicurezza di volta in volta richiesto.

Il Sistema dovrebbe lasciare in vita la possibilita' di utilizzare, per l’accesso ai servizi, anche la carta d’identita' elettronica e la carta nazionale dei servizi. Tuttavia, mentre queste ultime presuppongono che i dati necessari per verificare l’identita' in rete siano tutti disponibili al soggetto che offre il servizio, con Spid dovrebbero essere forniti a quest’ultimo solo i dati strettamente necessari per lo specifico servizio reso: ad esempio, se è necessario sapere unicamente che il richiedente è maggiorenne, potra' essere fornita solo tale informazione e non anche l’indirizzo di residenza o la data di nascita.

Inoltre, la presenza di più gestori di identita' evita i rischi connessi alla creazione di una banca dati centralizzata delle identita', scongiurando che il sempre possibile suo malfunzionamento o violazione della stessa porti al crollo dell’intero sistema o a danni gravissimi per gli interessati.

Naturalmente, tutti questi aspetti, che astrattamente dovrebbero essere positivi dal punto di vista della protezione dei dati personali, dovranno essere verificati, attraverso l’esame degli atti applicativi, in sede di parere del Garante, oltre che nel funzionamento in concreto del Sistema.

Fonte: Garante - Relazione 2014