COMMISSIONE EUROPEA
Bruxelles, 3.6.2021
COM(2021) 290 final
RELAZIONE DELLA COMMISSIONE AL PARLAMENTO EUROPEO E AL CONSIGLIO
sulla valutazione del regolamento (UE) n. 910/2014 in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno (regolamento eIDAS)
{SEC(2021) 229 final} - {SWD(2021) 130 final}
1.Introduzione
La presente relazione illustra i risultati della valutazione del regolamento (UE) n. 910/2014 in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno ("il regolamento eIDAS") 1 . L'articolo 49 del regolamento prevede che la Commissione riesamini l'applicazione di tale regolamento e valuti in particolare se sia opportuno modificarne l'ambito di applicazione o sue disposizioni specifiche tenendo conto dell'esperienza acquisita nella sua applicazione e dei progressi tecnologici, dell'evoluzione del mercato e degli sviluppi giuridici 2 . Detto articolo prevede inoltre che la relazione sia corredata, se necessario, di proposte legislative.
Il documento di lavoro dei servizi della Commissione che correda la relazione contiene dati e analisi più dettagliati a sostegno di tali risultati.
1.1.Il quadro eIDAS
Con l'adozione del regolamento eIDAS nel 2014 l'UE ha introdotto un primo quadro transfrontaliero innovativo per le identità digitali affidabili e i servizi fiduciari, che è oggi riconosciuto e rispettato in tutto il mondo. L'obiettivo del regolamento eIDAS è garantire a tutti i cittadini dell'UE l'accesso ai servizi pubblici in tutta l'UE attraverso l'utilizzo di mezzi di identificazione elettronica (e-ID) rilasciati nel loro paese di origine. Il regolamento mira a rafforzare la fiducia nelle transazioni elettroniche nel mercato interno fornendo una base comune per interazioni elettroniche sicure e omogenee fra cittadini, imprese e amministrazioni pubbliche, in modo da migliorare l'efficacia dei servizi elettronici pubblici e privati, nonché dell'eBusiness e del commercio elettronico nell'UE. Esso ha abrogato la direttiva 1999/93/CE relativa ad un quadro comunitario per le firme elettroniche, che sostanzialmente riguardava le sole firme elettroniche.
Come contemplato dalla base giuridica del regolamento, ossia l'articolo 114 TFUE, il regolamento intende eliminare le barriere esistenti al funzionamento del mercato interno promuovendo il ravvicinamento delle legislazioni degli Stati membri, in particolare per quanto riguarda il riconoscimento e l'accettazione reciproci, a livello transfrontaliero, dell'identificazione elettronica, dell'autenticazione, delle firme e dei servizi fiduciari connessi laddove ciò sia necessario per avviare e completare procedure o transazioni elettroniche.
Prima dell'entrata in vigore del regolamento non esisteva un quadro transfrontaliero e transettoriale completo a livello dell'UE per transazioni elettroniche sicure, affidabili e di facile impiego che comprendesse l'identificazione elettronica, l'autenticazione e i servizi fiduciari. La proposta della Commissione del 4 giugno 2012 [COM(2012) 238 final], corredata della valutazione di impatto [SWD(2012) 135 final], ha individuato quattro obiettivi generali:
•garantire lo sviluppo di un mercato unico digitale;
•promuovere lo sviluppo di servizi pubblici transfrontalieri fondamentali;
•incentivare e rafforzare la concorrenza nel mercato unico;
•migliorare la facilità d'impiego (per cittadini e imprese).
Sebbene stia realizzando molti dei suoi obiettivi e sia diventato un elemento essenziale per agevolare il mercato unico in vari settori (ad esempio per i servizi finanziari e per consentire l'accesso ai dati e il loro riutilizzo nei procedimenti amministrativi), il regolamento presenta una serie di limiti: assenza di un obbligo di notifica dei regimi nazionali di identificazione elettronica, numero limitato di attributi (elementi di informazione personale) che possono essere divulgati in maniera affidabile a terzi, concentrazione sul settore pubblico e assenza di incentivi chiari che incoraggino i soggetti privati a utilizzare i mezzi di identificazione elettronica nazionali. Inoltre l'ecosistema europeo dell'identità elettronica è ripartito tra una molteplicità di contesti normativi nazionali e livelli diversi di governance digitale, cultura digitale e fiducia nelle istituzioni pubbliche.
1.2.Contesto
La fornitura di identità digitale sta attraversando profondi cambiamenti. Soggetti quali istituti di credito, fornitori di servizi di comunicazione elettronica o aziende di servizi pubblici, alcuni dei quali sono tenuti per legge a raccogliere attributi di identificazione, stanno adeguando le proprie procedure per poter operare in qualità di fornitori di identità verificata. Gli intermediari di Internet, compresi i principali browser e le principali piattaforme dei social media 3 , fungono di fatto da controllori dell'accesso (gatekeeper) per l'identità digitale e offrono soluzioni BYOI (bring your own identity) che consentono ai loro utenti di autenticarsi su siti web e servizi di terzi utilizzando il proprio profilo utente. Questa praticità comporta un prezzo da pagare in termini di perdita del controllo sui dati personali divulgati laddove questi mezzi di identificazione elettronica non sono collegati a un'identità fisica verificata, il che rende più difficile attenuare i rischi di frode e le minacce informatiche. Un'ampia maggioranza di cittadini dell'UE vorrebbe avere accesso a un'identità digitale sicura da utilizzare per accedere ai servizi online 4 . Infine, sebbene esistano molte opinioni discordanti sul futuro dell'identità digitale, occorre tenere debitamente conto del ruolo essenziale svolto dai governi nazionali nello sviluppo di un vasto ecosistema delle identità digitali.
Oggi gli utenti si aspettano di poter navigare online e utilizzare in maniera fluida applicazioni mobili e soluzioni di tipo single sign-on che permettano di usufruire di servizi online nei settori pubblico e privato e che coprano tutti i possibili casi d'uso dell'identificazione, quali l'accesso con pseudonimo alle piattaforme online o l'identificazione sicura per l'utilizzo di servizi -bancari o sanitari online. L'identificazione online sicura e lo scambio di credenziali basate su attributi acquisiscono una crescente importanza che va di pari passo con l'aumento del numero di servizi personalizzati e "sensibili all'identità" (identity sensitive). La capacità di identificarsi digitalmente diventerà un importante fattore di inclusione sociale e la fornitura di identità digitali sarà un fattore strategico.
Nel suo discorso sullo stato dell'Unione del 16 settembre 2020 la presidente della Commissione europea ha annunciato l'obiettivo ambizioso della Commissione di offrire a tutti i cittadini dell'UE un'identità digitale sicura e affidabile: "Vogliamo un insieme di regole che metta al centro le persone (...) La Commissione proporrà una legge (...) che riguarderà anche il controllo sui nostri dati personali, ad oggi ancora incompleto. Ogni volta che una app o un sito web ci chiede di creare una nuova identità digitale o di accedere facilmente tramite una grande piattaforma, non abbiamo idea di cosa ne sia veramente dei nostri dati. Per questo motivo, la Commissione proporrà presto un'identità digitale europea sicura. Qualcosa di affidabile, che ogni cittadino potrà usare ovunque in Europa per fare qualsiasi cosa, da pagare le tasse a prendere a noleggio una bicicletta. Una tecnologia che ci consenta di controllare in prima persona quali dati vengono utilizzati e come".
Il Consiglio europeo ha sostenuto l'obiettivo ambizioso della Commissione e, nelle conclusioni dell'1 e 2 ottobre 2020, ha invitato la Commissione a presentare una proposta di iniziativa sull'identificazione digitale europea entro la metà del 2021.
Nelle sue conclusioni il Consiglio europeo chiede "che sia sviluppato un quadro a livello UE per l'identificazione elettronica (e-ID) pubblica e sicura, ivi incluse le firme digitali interoperabili, che garantisca alle persone il controllo della loro identità e dei loro dati online e consenta l'accesso a servizi digitali pubblici, privati e transfrontalieri. Invita la Commissione a presentare una proposta di iniziativa sull'identificazione digitale europea entro la metà del 2021".
L'identificazione elettronica consente ai cittadini e alle imprese di dimostrare la propria identità al momento dell'accesso a servizi online. I servizi fiduciari, quali le firme elettroniche, rendono le transazioni online più sicure, agevoli ed efficienti. Il regolamento eIDAS costituisce l'unico quadro transfrontaliero per l'identificazione elettronica affidabile di persone fisiche e giuridiche e i servizi fiduciari. Esso consente il riconoscimento transfrontaliero dei mezzi di identificazione elettronica nazionali per l'accesso ai servizi pubblici, a condizione che il regime di identificazione elettronica sia stato notificato a norma del regolamento stesso. Il quadro eIDAS crea inoltre un mercato dell'UE dei servizi fiduciari riconosciuti a livello transfrontaliero e aventi lo stesso status giuridico delle procedure tradizionali equivalenti basate su supporto cartaceo.
2.Principali risultati della valutazione
Sulla scorta dei criteri di valutazione, i principali risultati della valutazione possono essere sintetizzati nei seguenti capitoli.
2.1.Efficacia
Le disposizioni in materia di identità elettronica hanno condotto alla creazione della rete eIDAS, il cui obiettivo è consentire ai detentori di mezzi di identificazione nell'ambito di un regime di identificazione elettronica notificato di accedere a servizi pubblici online a livello transfrontaliero. A livello dell'UE è stata raggiunta l'interoperabilità solo per un ristretto numero di regimi di identificazione elettronica 5 .
Il regolamento eIDAS è riuscito a garantire certezza giuridica per quanto riguarda la responsabilità, l'onere della prova, gli effetti giuridici e gli aspetti internazionali dei servizi fiduciari ma permangono alcune questioni irrisolte. Dall'introduzione del regolamento la disponibilità e la diffusione dei servizi fiduciari nell'UE sono aumentate. Esistono tuttavia differenze tra gli Stati membri e tra i vari servizi fiduciari.
Nonostante i progressi compiuti, il regolamento non è riuscito a realizzare il suo potenziale in termini di efficacia. L'esiguo numero di regimi di identificazione elettronica finora notificati comporta una limitata copertura dei cittadini dell'UE (59 % della popolazione). L'accettazione dei regimi notificati è limitata, in quanto non tutti i nodi eIDAS sono pienamente operativi, solo pochi servizi pubblici offrono la notifica eIDAS o sono collegati all'infrastruttura e gli errori tecnici impediscono l'autenticazione efficace degli utenti.
Per quanto riguarda i servizi fiduciari, l'obiettivo del regolamento di rimanere neutrale sotto il profilo tecnologico ha determinato differenze di interpretazione dei requisiti da parte degli Stati membri, anche perché non sono stati adottati atti di esecuzione aggiuntivi. Non è possibile concludere che sia stata pienamente raggiunta la parità di condizioni a livello dell'UE. Ciononostante il regolamento eIDAS ha istituito un quadro solido che può essere integrato dalle norme e dai requisiti necessari per ridurre l'attuale frammentazione del mercato e le divergenze di interpretazione da parte degli organismi di vigilanza e degli organismi di valutazione della conformità, nonché per rafforzare la cooperazione tra gli organismi di vigilanza.
2.2.Efficienza
La valutazione di base indica che i costi quantificabili sono stati finora superiori ai benefici. Nell'ambito dell'identificazione elettronica ciò è dovuto a una scarsa adesione laddove i benefici non si sono concretizzati.
I principali gruppi di portatori di interesse per i quali la parte del regolamento eIDAS relativa all'identificazione elettronica ha generato costi e benefici sono le autorità nazionali, gli operatori dei nodi eIDAS, i fornitori di identità digitale e i prestatori di servizi. Per quanto riguarda i servizi fiduciari i principali gruppi di portatori di interesse che hanno registrato i maggiori costi e benefici sono gli organismi di accreditamento, di valutazione della conformità e di vigilanza e i prestatori di servizi fiduciari qualificati e non qualificati.
Per quanto concerne i singoli portatori di interesse, i benefici sono in gran parte benefici attesi (attualizzati come benefici futuri) e pertanto difficilmente quantificabili. I costi ricorrenti legati alla governance nell'ambito dei servizi fiduciari sono limitati e riconducibili principalmente al controllo della conformità. Per i singoli portatori di interesse i benefici sono, in gran parte, puramente ipotetici a questo stadio (attualizzati come benefici futuri) e difficilmente quantificabili. I prestatori di servizi fiduciari registrano benefici in termini di ricavi derivanti dalla prestazione di servizi fiduciari in altri paesi dell'UE e dall'ampliamento della base di mercato.
2.3.Pertinenza
L'ecosistema dell'identità digitale è profondamente mutato dall'introduzione del regolamento eIDAS ed è sempre più caratterizzato dalla presenza di fornitori di identità privati. Tenuto conto dell'aumento delle transazioni digitali, tutti i cittadini dell'UE dovrebbero avere accesso a un'identità digitale sicura e interoperabile, ma tale traguardo non è ancora stato raggiunto. Gli obiettivi del quadro giuridico eIDAS rimangono pertinenti per affrontare le questioni inizialmente individuate, in particolare la necessità di ridurre la frammentazione del mercato assicurando l'interoperabilità transfrontaliera e transettoriale dei servizi fiduciari attraverso l'adozione di norme comuni. L'ambito di applicazione attuale del regolamento eIDAS e la sua concentrazione sui regimi di identificazione elettronica notificati dagli Stati membri dell'UE e sull'accesso ai servizi pubblici online sembrano essere troppo limitati.
Alcuni ostacoli fondamentali all'adesione da parte di utenti e prestatori di servizi del settore privato hanno impedito al quadro normativo di realizzare appieno il suo potenziale. Sebbene abbia introdotto riferimenti alle soluzioni eIDAS in una serie di atti legislativi settoriali dell'UE, il regolamento eIDAS non ha ancora risposto alle esigenze di settori specifici (ad esempio istruzione, servizi bancari, viaggi, aviazione). Uno dei fattori limitanti del quadro attuale per quanto concerne tali esigenze settoriali è la mancanza di attributi specifici per settore.
La questione principale è stabilire se il regolamento eIDAS sia in grado stare al passo con gli sviluppi tecnologici più recenti nel campo dei servizi fiduciari. L'estensione dell'elenco dei servizi fiduciari, in particolare attraverso l'introduzione di un servizio fiduciario per l'archiviazione elettronica, di un servizio fiduciario per la portabilità delle credenziali di identificazione e di un servizio fiduciario per i registri elettronici, coprirebbe una serie di casi d'uso e offrirebbe a cittadini e imprese la possibilità di dimostrare digitalmente la propria identità o di fornire prova dei propri attributi/delle proprie caratteristiche senza la necessità di esibire documenti fisici.
2.4.Coerenza
Dalla valutazione emerge che la parte del regolamento relativa all'identificazione elettronica è sorretta da un sistema generalmente coerente per il riconoscimento reciproco dei regimi di identificazione elettronica basato sulla notifica e sulla valutazione tra pari. Il quadro per i servizi fiduciari prevede un sistema di vigilanza coerente per tali servizi. Sono tuttavia state individuate alcune questioni che incidono sulla coerenza interna del regolamento.
Per quanto concerne i regimi di identificazione elettronica, il sistema di notifica e di valutazione tra pari previsto dal quadro eIDAS era inteso a garantire un'interpretazione uniforme del livello di garanzia fornito da un regime di identificazione elettronica, ma la valutazione dell'attuazione pratica rivela che ciò non sempre avviene. Sebbene il quadro incoraggi la flessibilità e la neutralità tecnologica, manca un'intesa sul concetto di livello di garanzia significativo ed elevato. Il fatto che il regolamento si concentri sui servizi pubblici contrasta con la possibilità per l'utente di limitare i dati trasmessi al minimo necessario per l'autenticazione a un determinato servizio, in quanto l'insieme di dati minimo è sempre trasmesso per consentire l'identificazione di una persona. L'attuazione del sistema eIDAS attuale non consente all'utente di agevolare l'applicazione dei principi della minimizzazione dei dati e della tutela della vita privata per impostazione predefinita (privacy by default) sanciti dal regolamento generale sulla protezione dei dati (GDPR) controllando quali dati condividere e con chi condividerli.
Le norme concernenti la valutazione dei prestatori di servizi fiduciari sulla base dei requisiti funzionali del regolamento ai fini della concessione della qualifica di prestatori qualificati presentano alcune debolezze, in quanto il ruolo degli organismi di valutazione della conformità non è precisato in maniera sufficientemente dettagliata quanto agli obblighi, alla responsabilità o ai livelli di competenza di tali organismi. Alcune disposizioni lasciano agli Stati membri il compito di riconoscere alcuni metodi di identificazione (ad esempio la verifica biometrica) a livello nazionale, il che ostacola la creazione di un contesto normativo omogeneo e determina incertezza.
2.5.Valore aggiunto per l'UE
Il regolamento eIDAS incoraggia gli Stati membri a diffondere soluzioni di identificazione elettronica nazionali ma il valore aggiunto del quadro per l'identificazione elettronica ha mostrato forti limiti dovuti a un basso livello di copertura, adesione e utilizzo. Per quanto riguarda i servizi fiduciari il regolamento ha fornito un quadro giuridico comune per il loro utilizzo, riducendo la frammentazione del mercato e aumentando la diffusione di tali servizi. Grazie ai servizi fiduciari le amministrazioni pubbliche sono in grado di ammodernare e digitalizzare i servizi e di rilasciare prove in formato digitale riducendo così l'onere amministrativo.
Con riferimento alla parte relativa all'identificazione digitale, le esigenze inizialmente individuate per l'adozione del regolamento sono tuttora pertinenti e l'abrogazione del regolamento eIDAS determinerebbe una frammentazione e conseguenze negative in altri ambiti legislativi che si fondano sul quadro eIDAS. Alcuni adeguamenti del quadro normativo potrebbero aumentarne il valore aggiunto per l'UE (ad esempio facilitare l'uso, da parte del settore privato, di mezzi di identificazione elettronica affidabili predisposti a livello nazionale e definire un quadro per lo scambio di credenziali e attributi specifici forniti dal settore pubblico e da quello privato). Quanto ai servizi fiduciari, permangono alcuni ostacoli che derivano dall'interpretazione nazionale e/o da disposizioni nazionali incompatibili e che limitano la diffusione di detti servizi.
3.Revisione del quadro eIDAS
Il regolamento eIDAS è fondamentale per agevolare il mercato unico in una serie di settori (ad esempio nel settore bancario per fornire alcuni dei dati identificativi richiesti al fine di facilitare l'osservanza delle norme antiriciclaggio 6 ; la direttiva sui servizi di pagamento (PSD2) 7 si basa sui servizi fiduciari del regolamento eIDAS, quali i sigilli elettronici e i certificati qualificati di autenticazione di siti web (QWAC) per attestare l'autenticità dei siti web di terzi prestatori di servizi di pagamento; l'identificazione elettronica basata sul regolamento eIDAS è un requisito per lo scambio transfrontaliero di certificati amministrativi ed è essenziale per l'attuazione e il funzionamento efficaci del principio "una tantum" a decorrere dal 2023 8 ). Il quadro per i servizi fiduciari è riconosciuto a livello internazionale ed è alla base di un progetto di disposizioni 9 , che dovrebbe diventare una legge modello delle Nazioni Unite sui servizi fiduciari nel commercio elettronico nel 2021, nonché dei negoziati sul commercio elettronico in seno all'OMC 10 .
Tuttavia sono intervenuti molti cambiamenti dall'adozione del regolamento eIDAS nel 2014. Il quadro è basato su sistemi di identificazione elettronica nazionali che applicano norme disparate e si concentra su un segmento piuttosto ristretto delle esigenze di identificazione elettronica di cittadini e imprese: l'accesso transfrontaliero sicuro ai servizi pubblici. I servizi in questione riguardano principalmente il 3 % della popolazione dell'UE 11 che risiede in uno Stato membro diverso da quello di nascita.
Da allora la digitalizzazione di tutte le funzioni della società è notevolmente aumentata. Non ultimo, la pandemia di COVID-19 ha avuto fortissime ripercussioni sulla velocità della digitalizzazione. Di conseguenza la prestazione di servizi pubblici e privati sta diventando sempre più digitale. Cittadini e imprese si aspettano un livello di sicurezza elevato e una notevole praticità di utilizzo in qualsiasi attività online, che si tratti di presentare dichiarazioni fiscali, effettuare l'immatricolazione in un'università straniera, aprire un conto in banca o chiedere un prestito a distanza, noleggiare un'autovettura, avviare un'attività d'impresa in un altro Stato membro, autenticarsi per effettuare pagamenti in Internet, partecipare a una gara d'appalto online e così via.
Di conseguenza è drasticamente aumentata la domanda di mezzi di identificazione e autenticazione online e di mezzi per lo scambio elettronico di informazioni collegate all'identità, di attributi o di qualifiche in condizioni di sicurezza e con un elevato grado di protezione dei dati 12 . Ciò ha determinato un cambiamento di paradigma verso soluzioni più avanzate e agevoli, in grado di integrare vari certificati e dati verificabili dell'utente. Per via degli attuali limiti del regolamento eIDAS, oggi questa domanda non può essere soddisfatta dai mezzi di identificazione elettronica e dai servizi fiduciari da esso disciplinati. I mezzi di identificazione o di autenticazione predisposti dal settore privato al di fuori del quadro eIDAS rispondono soltanto in parte a tale sfida. Pur offrendo servizi di autenticazione di terzi di facile impiego (ad esempio utilizzo di un account Facebook o Google per connettersi a vari servizi), tali soluzioni di norma consentono l'accesso a servizi online privati non regolamentati che non richiedono un livello di sicurezza elevato. Esse non possono offrire lo stesso livello di certezza giuridica e di protezione dei dati e della vita privata, principalmente perché sono autocertificate e non possono fornire un collegamento a un sistema nazionale di identificazione elettronica sicuro e affidabile.
A febbraio del 2020, nella sua strategia "Plasmare il futuro digitale dell'Europa" 13 , la Commissione si è impegnata a rivedere il regolamento eIDAS per migliorarne l'efficacia, estenderne l'applicazione al settore privato e promuovere identità digitali affidabili per tutti i cittadini e tutte le imprese dell'UE. Il carattere di urgenza di tale revisione è diventato evidente con la pandemia di COVID-19. Le perturbazioni nei servizi pubblici e privati offline e la necessità improvvisa di accedere a tutti i tipi di servizi pubblici e privati online e di utilizzarli hanno rivelato i limiti del regolamento eIDAS quanto alla sua capacità di fornire a cittadini, imprese e amministrazioni pubbliche i servizi attesi a distanza di sei anni dalla sua adozione. Una volta riveduto e rafforzato, il regolamento eIDAS sarebbe in grado di far fronte alle nuove domande del mercato e della società rispondendo alla richiesta di soluzioni affidabili legate ai sistemi di identificazione elettronica predisposti a livello nazionale, nonché di attributi e credenziali forniti dal settore pubblico e da quello privato, completamente gestiti dall'utente e riconosciuti in tutta l'UE per l'accesso a servizi pubblici e privati. Ciò permetterebbe di sostenere numerosi quadri normativi già esistenti o proposti che mirano a rafforzare il mercato unico dell'UE.
4.Conclusioni
Nel complesso il regolamento eIDAS ha contribuito all'ulteriore sviluppo del mercato unico. Ha posto le basi per lo sviluppo di un mercato dei servizi di identificazione e dei servizi fiduciari nell'UE, rispondendo alla crescente necessità di transazioni digitali sicure. Tuttavia in una prospettiva rivolta al futuro, che è evoluta quanto a obiettivi e aspettative dell'utente, il regolamento eIDAS deve essere migliorato in termini di efficacia, efficienza, coerenza e pertinenza affinché consegua nuovi obiettivi strategici, soddisfi le aspettative degli utenti e risponda alla domanda del mercato, tenendo anche conto dei recenti sviluppi in materia di digitalizzazione.
Nel mercato sta emergendo un nuovo contesto nel quale l'attenzione non è più concentrata sulla fornitura e sull'utilizzo di identità digitali rigide bensì sulla fornitura e sull'uso di attributi specifici collegati a tali identità. Vi è una maggiore domanda di soluzioni di identificazione elettronica capaci di apportare tali capacità garantendo maggiore efficienza e rafforzando in tutta l'UE la fiducia nei confronti di servizi pubblici e privati basati sulla necessità di identificare e autenticare gli utenti con un livello di certezza elevato.
Il regolamento eIDAS attuale non è in grado di rispondere a queste nuove domande del mercato, giacché è intrinsecamente limitato al settore pubblico, comporta difficoltà di connessione al sistema da parte dei fornitori privati online, non è sufficientemente disponibile in tutti gli Stati membri ed è privo della flessibilità necessaria per coprire una casistica ampia.