La recente pubblicazione del documento della Commissione Europea “A European strategy for data” ha ulteriormente innalzato il livello di attenzione sul tema della gestione dei dati nell’Unione, con particolare riguardo alla loro sicurezza che oramai è parte integrante e indispensabile nell’ambito della protezione dei dati personali.

Si avvicina rapidamente anche una data cruciale per l’altro regolamento europeo che è riferimento sul tema dell’identità digitale e sui servizi fiduciari per le transazioni elettroniche nel mercato interno, il Reg.910/2014 – eIDAS.

Nell’ art. 49 del citato regolamento è prevista la procedura di riesame, che si riporta di seguito, completa di una disamina delle tematiche enucleate negli articoli citati al suo interno.

A queste si aggiungono alcune considerazioni su quanto ha funzionato nell’applicazione di eIDAS, ma anche su quanto non lo ha fatto e che si auspica venga considerato nel previsto procedimento di riesame.

 

La procedura di riesame

Articolo 49 – Riesame

La Commissione riesamina l’applicazione del presente regolamento e presenta una relazione in proposito al Parlamento europeo e al Consiglio entro il 1 luglio 2020. La Commissione valuta in particolare se sia opportuno modificare l’ambito di applicazione del presente regolamento o sue disposizioni specifiche, compresi l’articolo 6, l’articolo 7, lettera f), e gli articoli 34, 43, 44 e 45, tenendo conto dell’esperienza acquisita nell’applicazione del regolamento stesso e dei progressi tecnologici, dell’evoluzione del mercato e degli sviluppi giuridici.

Gli articoli citati sono quelli che trattano temi che, nella fase di discussione e approvazione del Regolamento 910/2014, sono stati oggetto di maggiori discussioni.

• L’articolo 34 è il risultato di un compromesso visto che nella prima proposta della Commissione nel giugno del 2012 il tema della gestione documentale era piuttosto ampio e presente nello schema di regolamento. Il testo finale contiene il “Servizio di conservazione qualificato delle firme elettroniche qualificate” con il solo fine di estendere l’affidabilità della firma elettronica qualificata oltre il periodo di validità tecnologica.

Gli altri articoli trattano:

• L’art. 6 il riconoscimento reciproco ovvero la possibilità, condizionata da specifici requisiti, dei mezzi di identificazione elettronica in modalità transfrontaliera. Nell’elenco previsto pubblicato dalla Commissione l’Italia è presente con lo SPID e la CIE (Carta d’Identità Elettronica).
• L’art. 7, lettera f) specifica una regola fiduciaria tra Stati membri per la “Ammissibilità alla notifica dei regimi di identificazione elettronica” (si fa riferimento al testo ufficiale in Italiano del regolamento europeo 910/2014; una traduzione più consona sarebbe schemi di autenticazione visto il testo in lingua inglese).
• Dell’art. 34 abbiamo già detto, mentre gli articoli 43 e 44 trattano i servizi elettronici di recapito certificato che nel caso del recapito di tipo postale sono simili alla nostra posta elettronica certificata (PEC).

Sul tema non sono stati emessi dalla Commissione atti secondari quindi nessun obbligo operativo o transfrontaliero è oggi attivo nel mercato interno. Alla data sono 19 i prestatori del servizio fiduciario di recapito certificato qualificato.

Il browser comunitario è disponibile al seguente collegamento.

• L’art. 45 riguarda i “Requisiti per i certificati qualificati di autenticazione di siti web” e fu inserito per creare lo specifico mercato europeo sul tema a fronte di un mercato, all’epoca, esclusivamente extra UE.

 

La creazione di una struttura regolamentare per l’identità digitale

Ciò premesso e nell’attesa del documento comunitario possiamo dire che il regolamento eIDAS ha creato la prima struttura regolamentare per identità digitali affidabili a livello transfrontaliero (cross border)..

Questo consente realmente ai cittadini di accedere ai servizi governativi digitali in modalità transfrontaliera. Nel mercato unico interno si possono utilizzare firme e sigilli elettronici, marche temporali e servizi di recapito certificato.

Ad oggi, le strutture di identità digitale sono utilizzate in 15 Stati membri coinvolgendo il 60% della popolazione europea. I prestatori di servizi fiduciari sono 261 (totale ricavato dal browser sopra indicato).

 

L’esperienza di questi anni e le criticità

L’esperienza maturata in questi primi anni, ha consentito di individuare diverse criticità, sia a livello di mercato, che operative. Per quanto attiene alle regole di qualifica per i servizi fiduciari dovrebbero essere rese coordinate e omogenee le regole di sicurezza ed economiche relative alla qualifica.

Le difformità del capitale sociale o dell’ammontare della polizza assicurativa (articolo 24, paragrafo 1, lettera c) del regolamento eiDAS) hanno portato alcuni soggetti, specialmente PMI a qualificarsi all’estero per superare l’elevata barriera di ingresso (la più alta in Europa per il capitale sociale) italiana. Le regole di sicurezza e di audit dovranno essere coordinate al regolamento europeo sulla protezione dei dati personali 679/2016 (GDPR) con il coinvolgimento dell’ENISA (l’Agenzia europea per la sicurezza).

Per quanto attiene alle regole operative dovrebbero essere stabilite delle regole di interoperabilità più rigide al fine di avere riscontri affidabili sulla verifica delle firme.
Non ci sono di fatto obblighi per i prestatori di servizi fiduciari che emettono certificati qualificati per la firma e il sigillo elettronico in materia di generazione e verifica delle firme qualificate. Sfruttando il lavoro di standardizzazione dell’ETSI sarebbe indispensabile avere certezza della validità di una firma qualificata transnazionale grazie alla rigida applicazione di regole europee.

Naturalmente la revisione del regolamento sarà anche l’occasione per eliminare nel testo in lingua italiana l’elevato numero di errori di traduzione e refusi oggi presenti e per chiarire meglio alcune regole. Questo sarà uno dei compiti dei rappresentanti italiani in Europa.