Parere del Comitato europeo delle regioni — Identità digitale europea

(2022/C 61/09)

Relatore:

Mark WEINMEISTER (DE/PPE), sottosegretario del Land Assia con delega agli Affari europei

Testo di riferimento:

Proposta di regolamento del Parlamento europeo e del Consiglio che modifica il regolamento (UE) n. 910/2014 per quanto riguarda l’istituzione di un quadro per un’identità digitale europea

COM(2021) 281 final

I. PROPOSTE DI EMENDAMENTO

Emendamento 1

COM(2021) 281 final

Articolo 1, punto 4

Regolamento (UE) n. 910/2014

Articolo 5

Testo proposto dalla Commissione europea

Emendamento del CdR

Pseudonimi nelle transazioni elettroniche

Fatti salvi gli effetti giuridici che il diritto nazionale attribuisce agli pseudonimi, l’uso di pseudonimi nelle transazioni elettroniche non è vietato.

Pseudonimi nelle transazioni elettroniche

Fatti salvi gli effetti giuridici che il diritto nazionale attribuisce agli pseudonimi, l’uso di pseudonimi nelle transazioni elettroniche e nei social network non è vietato.

Motivazione

I social network non possono invocare il portafoglio europeo di identità digitale per vietare ai propri utenti di iscriversi con uno pseudonimo.

Emendamento 2

COM(2021) 281 final

Articolo 1, punto 7

Regolamento (UE) n. 910/2014

Articolo 6 bis, paragrafo 1

Testo proposto dalla Commissione europea	Emendamento del CdR
Al fine di garantire che tutte le persone fisiche e giuridiche nell’Unione abbiano un accesso sicuro, affidabile e senza soluzione di continuità a servizi pubblici e privati transfrontalieri, ciascuno Stato membro emette un portafoglio europeo di identità digitale entro 12 mesi dall’entrata in vigore del presente regolamento.	Al fine di garantire che tutte le persone fisiche e giuridiche nell’Unione abbiano un accesso sicuro, affidabile e senza soluzione di continuità a servizi pubblici e privati transfrontalieri, ciascuno Stato membro emette un portafoglio europeo di identità digitale entro 24 mesi dall’entrata in vigore del presente regolamento.

Motivazione

In base all’esperienza acquisita, si può affermare che i portafogli europei di identità digitale saranno un bersaglio di elezione degli attacchi informatici. In un ambito così delicato come quello dei dati di identità personale, la qualità deve prevalere sulla rapidità. I termini previsti per il recepimento a livello nazionale sono troppo brevi (in parte anche in relazione alle norme della direttiva NIS 2). È quindi necessario prevedere un periodo transitorio più lungo.

Emendamento 3

COM(2021) 281 final

Articolo 1, punto 7

Regolamento (UE) n. 910/2014

Articolo 6 bis, paragrafo 12 (nuovo paragrafo)

Testo proposto dalla Commissione europea	Emendamento del CdR
	Il portafoglio europeo di identità digitale è messo a disposizione di una persona di età inferiore a 18 anni soltanto previa conferma dell’identità di quest’ultima mediante carta d’identità elettronica rilasciata al suo legale rappresentante, il quale ha la responsabilità della persona in questione.

Motivazione

Il portafoglio europeo di identità digitale servirà da prova dell’identità sia online che offline. I minori non possono essere considerati pienamente responsabili e dunque chiamati a rispondere delle implicazioni o conseguenze giuridiche dell’uso di tale portafoglio.

Emendamento 4

COM(2021) 281 final

Articolo 1, punto 7

Regolamento (UE) n. 910/2014

Articolo 6 quater, paragrafo 5

Testo proposto dalla Commissione europea	Emendamento del CdR
Gli Stati membri comunicano alla Commissione i nomi e gli indirizzi degli organismi pubblici o privati di cui al paragrafo 3. La Commissione mette tali informazioni a disposizione degli Stati membri.	Gli Stati membri comunicano alla Commissione i nomi e gli indirizzi degli organismi pubblici o privati di cui al paragrafo 3. La Commissione mette tali informazioni a disposizione degli Stati membri entro sei mesi dall’entrata in vigore del regolamento.

Motivazione

Modificare l’articolo 6 quater, paragrafo 5, del regolamento (UE) n. 910/2014 in quanto è opportuno stabilire un termine massimo per la comunicazione di tali informazioni.

Emendamento 5

COM(2021) 281 final

Articolo 1, punto 9

Regolamento (UE) n. 910/2014

Articolo 7

Testo proposto dalla Commissione europea	Emendamento del CdR
[…] entro 12 mesi dall’entrata in vigore […]	[…] entro 24 mesi dall’entrata in vigore […]

Motivazione

Emendamento 6

COM(2021) 281 final

Articolo 1, punto 11

Regolamento (UE) n. 910/2014

Articolo 10 bis, paragrafo 4

Testo proposto dalla Commissione europea	Emendamento del CdR
La Commissione pubblica senza indugio le corrispondenti modifiche dell’elenco di cui all’articolo 6 quinquies nella Gazzetta ufficiale dell’Unione europea.	La Commissione pubblica senza indugio le corrispondenti modifiche dell’elenco di cui all’articolo 6 quinquies nella Gazzetta ufficiale dell’Unione europea mettendole a disposizione in un apposito elenco .

Motivazione

Un elenco distinto (che contenga soltanto i portafogli europei di identità digitale ritirati) sarebbe più leggibile e quindi agevolerebbe gli utenti delle norme.

Emendamento 7

COM(2021) 281 final

Articolo 1, punto 12

Regolamento (UE) n. 910/2014

Articolo 11 bis, paragrafo 4 (nuovo paragrafo)

Testo proposto dalla Commissione europea	Emendamento del CdR
	Gli Stati membri garantiscono, mediante strumenti di identificazione unici, che a nessun cittadino siano rilasciati due o più portafogli europei di identità digitale sulla base di più cittadinanze o di residenze in Stati membri diversi.

Motivazione

Occorre assicurarsi che i cittadini con più cittadinanze e/o residenti in diversi Stati membri dell’UE ricevano comunque un solo portafoglio europeo di identità digitale.

Emendamento 8

COM(2021) 281 final

Articolo 1, punto 14

Regolamento (UE) n. 910/2014

Articolo 12 bis, paragrafo 3

Testo proposto dalla Commissione europea	Emendamento del CdR
Gli Stati membri notificano alla Commissione i nomi e gli indirizzi degli organismi pubblici o privati di cui al paragrafo 1. La Commissione mette tali informazioni a disposizione degli Stati membri.	Gli Stati membri notificano alla Commissione i nomi e gli indirizzi degli organismi pubblici o privati di cui al paragrafo 1. La Commissione mette tali informazioni a disposizione degli Stati membri entro sei mesi dall’entrata in vigore del regolamento.

Motivazione

Modificare l’articolo 12 bis, paragrafo 3, del regolamento (UE) n. 910/2014 in quanto è opportuno stabilire un termine massimo per la comunicazione di tali informazioni.

Emendamento 9

COM(2021) 281 final

Articolo 1, punto 29

Regolamento (UE) n. 910/2014

Articolo 30, paragrafo 3 bis

Testo proposto dalla Commissione europea

Emendamento del CdR

La certificazione di cui al paragrafo 1 ha una validità di cinque anni, subordinatamente a una valutazione delle vulnerabilità periodica effettuata ogni due anni. Qualora siano individuate vulnerabilità a cui non è posto rimedio, la certificazione è revocata. Il rilascio di una nuova certificazione ha luogo non prima di un periodo di attesa di 2 anni e in seguito a una nuova valutazione delle vulnerabilità.

Motivazione

Bisognerebbe prevedere un periodo di attesa prima del rilascio di una nuova certificazione. È infatti opportuno che rimanga possibile porre rimedio alle vulnerabilità, se del caso dopo una radicale riconfigurazione tecnica.

II. RACCOMANDAZIONI POLITICHE

IL COMITATO EUROPEO DELLE REGIONI

Introduzione

appoggia l’idea di un «portafoglio europeo di identità digitale» che consenta ai cittadini di provare la loro identità, anche durante i loro spostamenti, per accedere ai servizi online delle pubbliche amministrazioni, condividere documenti digitali o anche solo fornire la prova di una caratteristica personale specifica, ad esempio l’età, senza dover rivelare la propria identità o altri dati personali;

accoglie con favore le proposte della Commissione europea volte ad affinare la creazione di un’identità digitale europea rendendo più completo il portafoglio europeo d’identità digitale e apportando le necessarie modifiche al cosiddetto regolamento eIDAS. Con il regolamento proposto, infatti, il portafoglio in questione non fungerebbe soltanto da documento di identità personale, contenente i dati identificativi della persona (identità digitale europea in senso stretto), ma conterrebbe anche altri documenti (anche ufficiali) in formato elettronico, quali ad esempio le patenti di guida o i titoli di studio;

sostiene l’obiettivo della Commissione europea di sviluppare ulteriormente il regolamento eIDAS alla luce dell’evoluzione delle esigenze del mercato, in modo che tale normativa possa essere utilizzata anche dalle imprese e nel contempo continui a fare leva sui mezzi di identificazione nazionali già notificati. Mezzi di identificazione elettronica sicuri sono particolarmente importanti per la digitalizzazione delle procedure amministrative;

chiede che la proposta della Commissione europea relativa a un’identità digitale europea contenga disposizioni chiare in materia di protezione dei dati, che aderiscano ai principi stabiliti nel regolamento generale sulla protezione dei dati (RGPD) — in particolare l’economia e la riservatezza dei dati e l’adeguata giustificazione del loro impiego — e garantiscano inoltre agli utenti la possibilità di controllare quali dati intendono condividere e con chi;

ravvisa nel portafoglio europeo di identità digitale uno strumento che — grazie al suo impiego universale, anche e soprattutto sui dispositivi mobili — può facilitare la partecipazione sociale, e che — per il fatto di essere utilizzabile in tutta l’UE — potrebbe diventare un segno tangibile di identità europea per ciascun cittadino dell’Unione.

Utilità per i cittadini

ravvisa nella creazione di un portafoglio europeo di identità digitale una grande opportunità per radicare nei cittadini un’identità europea percepibile sul piano fisico e utilizzabile sul piano pratico anche nel mercato unico. Il portafoglio in questione, infatti, crea un identificativo univoco vincolante per tutte le parti coinvolte, assumendo così una valenza simbolica che va ben al di là della mera utilità tecnica;

osserva che il portafoglio europeo di identità digitale è essenzialmente una tecnologia mobile, le cui funzioni potranno mantenere la loro utilità anche con l’ulteriore evolversi dei dispositivi mobili «intelligenti» oggi più diffusi (telefoni e orologi); ulteriori applicazioni tecnologiche (ad esempio occhiali digitali per la realtà aumentata, avatar digitali o soluzioni digitali analoghe) dovrebbero poter utilizzare tale portafoglio attraverso un’interfaccia (ad esempio ottica) appropriata;

raccomanda di sviluppare e adottare l’identità digitale europea e il portafoglio europeo di identità digitale anzitutto per la prestazione dei servizi che hanno un reale valore aggiunto transfrontaliero per i cittadini;

sottolinea che occorre garantire la libertà di scelta e la non discriminazione di tutti gli utenti, e raccomanda pertanto che, nelle iniziative di comunicazione, si spieghi chiaramente che, nelle offerte di servizi a persone fisiche, non può essere imposto alcun obbligo, anche solo indiretto, di utilizzare il portafoglio europeo di identità digitale, il cui impiego costituisce per principio un atto volontario;

10.

sottolinea che, per essere accolto favorevolmente dalla società civile, il portafoglio europeo di identità digitale dovrebbe essere percepito come un’offerta rivolta ai cittadini;

11.

chiede che si raccomandi di progettare in maniera semplice un pacchetto di strumenti che, oltre a garantire la protezione dei dati e l’accessibilità, consentano — ad esempio grazie a un maggiore ricorso a pittogrammi — anche alle persone con lievi limitazioni o scarse cognizioni linguistiche di avvalersi del portafoglio europeo di identità digitale;

12.

raccomanda di introdurre, nel regolamento proposto, norme che disciplinino l’uso dell’identità digitale da parte dei minori o delle altre persone soggette a tutela o curatela, e dettino le disposizioni da applicare in caso di decesso della persona cui appartiene l’identità digitale.

Coinvolgimento delle imprese

13.

reputa che uno stretto coinvolgimento dei leader tecnologici, in un’ottica di apertura della normativa vigente in relazione alle imprese, sia un fattore essenziale per il successo dell’iniziativa in esame. Soltanto una soluzione conforme al mercato offre la garanzia di un impiego adeguato del nuovo strumento nell’UE;

14.

ricorda che un aspetto essenziale dell’utilizzabilità economica del nuovo strumento è costituito dall’uso di interfacce di pagamento elettronico (Paypal, Google/Apple Pay, SWIFT ecc.), che sul mercato attuale si basano su conti proprietari aperti dagli utenti. Un portafoglio europeo di identità digitale dovrebbe tenere conto anche delle disposizioni pertinenti in materia di riciclaggio di denaro, in particolare in un contesto di «valute digitali» (Bitcoin, Ethereum, euro digitale ecc.);

15.

chiede che, ai fini dell’utilizzo economico del portafoglio in questione, si tenga conto di due modelli commerciali esistenti e sostanzialmente in concorrenza tra loro.

Il primo dei modelli commerciali in questione è quello dei principali social network globali, i quali hanno un comprensibile interesse ad ottenere la verifica, possibilmente da parte di un’istituzione pubblica, degli account aperti sotto pseudonimo sulle loro piattaforme. Una tale soluzione, tuttavia, comprometterebbe la libertà degli utenti su Internet, inducendoli, ancora più di quanto già non avvenga, ad abbandonare l’area protetta della rete per navigare sul dark web. Una situazione, questa, che ad avviso del CdR non è affatto auspicabile.

Il secondo modello commerciale è quello dei fornitori di identità digitale, i quali intendono presentare offerte concorrenti con il portafoglio europeo in esame nonché beneficiare a loro volta di un’identità validata da un’istituzione pubblica;

16.

raccomanda che la metodica di controllo delle credenziali di accesso delle imprese — grazie all’identificazione del soggetto che effettua l’accesso mediante un certificato sicuro — sia configurata in modo tale da limitare la validità del certificato nel tempo e/o controllarne la validità a intervalli regolari. Il CdR accoglie con favore considerazioni analoghe riguardo ai prestatori di servizi fiduciari, ma sottolinea altresì che bisogna proteggere da possibili abusi anche la giustificazione della richiesta di dati del portafoglio europeo di identità digitale da parte di istituzioni od organizzazioni;

17.

fa notare che, in alcuni Stati membri, sono già state sviluppate e impiegate soluzioni digitali per i settori pubblico e privato. Tali soluzioni particolari, specifiche dei singoli paesi, dovrebbero essere integrate, per quanto possibile, nell’identità digitale europea. Ciò in quanto, in primo luogo, modificare i sistemi esistenti comporterebbe un notevole onere amministrativo e finanziario, e, in secondo luogo, tali sistemi hanno, nel corso degli anni, conquistato la piena fiducia dei cittadini dei relativi Stati membri, un patrimonio che non dovrebbe essere compromesso dall’introduzione dell’identità digitale europea.

Attuazione e cooperazione da parte degli Stati membri

18.

pertanto, raccomanda vivamente uno stretto coinvolgimento delle competenze specialistiche nazionali nell’elaborazione — raccomandata agli Stati membri nella proposta legislativa in esame — di uno strumentario comune, così da adottare un approccio coordinato alla creazione del quadro tecnico necessario per l’identità digitale europea.

Al riguardo occorrerebbe tener conto, tra le altre cose, anche degli esempi di buone pratiche esistenti, come i risultati e le esperienze derivanti dai progetti dimostrativi «Identità digitali sicure» realizzati in Germania;

19.

reputa necessario, nel considerare i costi e le spese sostenuti per la pianificazione, raccogliere anche i parametri nazionali e riunirli in un piano globale dell’UE commisurato allo sforzo richiesto. A tal fine, oltre ai cronoprogrammi a livello UE, dovrebbero essere censiti e integrati anche i calendari nazionali di attuazione;

20.

chiede che, ai fini della pianificazione globale, si tengano presenti gli oneri, in termini di risorse umane e finanziarie, per l’attuazione negli Stati membri e nel territorio degli enti locali e regionali. Il portafoglio europeo di identità digitale avrà successo se potrà essere utilizzato con sufficiente frequenza;

e in tal senso un ruolo essenziale è svolto, oltre che dalle imprese, dalle amministrazioni di ogni livello negli Stati membri, le quali sono sempre più coinvolte non solo per via delle proprie attività, ma anche attraverso iniziative della Commissione. In quest’ottica, la direttiva dell’UE sui servizi o anche il portale dell’UE forniscono contributi preziosi alla digitalizzazione del mercato unico europeo;

21.

propone di procedere all’attuazione in maniera graduale, in particolare nella fase di avvio. Un aspetto importante, questo, considerata la partecipazione, per certi versi interamente nuova, di attività economiche in parte non ancora regolamentate all’uso di identità elettroniche con un livello di garanzia «significativo» o «elevato», nel quadro dell’ulteriore sviluppo del contesto attuale del regolamento eIDAS.

Protezione dei dati e cibersicurezza

22.

mette in guardia contro un’attuazione troppo rapida di una soluzione come quella del portafoglio europeo di identità digitale, considerati i rischi tecnici connessi alla conservazione centralizzata di dati di identità in un’applicazione prevalentemente mobile. Una soluzione siffatta sarà senza dubbio percepita come un bersaglio di elezione di ogni sorta di attacchi informatici e deve quindi poter resistere in qualsiasi momento a codeste minacce;

23.

richiama l’attenzione sull’importanza di una definizione adeguata dei sistemi di certificazione dei portafogli di identità digitali e dei sistemi di identificazione elettronica, i quali dovrebbero essere sviluppati non da un’impresa privata, bensì dall’Agenzia dell’UE per la cibersicurezza (ENISA) in stretta collaborazione con gruppi di esperti, compresi i rappresentanti degli enti locali e regionali;

24.

richiama l’attenzione sul rischio concreto posto dal fatto di raggruppare a livello centrale tipi di identità con livelli diversi di riservatezza in un’unica componente tecnica. Qualora tali identità fossero oggetto di un uso non autorizzato da parte di terzi, vi sarebbero rischi significativi per l’utilizzatore autorizzato: oltre al danno economico, è ipotizzabile anche un danno alla reputazione e all’onorabilità delle persone. Anche un phishing mirato potrebbe causare danni significativi;

25.

chiede che l’attuazione tecnica del portafoglio europeo di identità digitale sia effettuata in modo tale da renderlo sufficientemente resistente contro gli attacchi informatici e da consentire all’utilizzatore autorizzato di reinstallarlo in completa sicurezza grazie a dispositivi di blocco appropriati e sistemi di backup sicuri dedicati;

Quello di accrescere la robustezza del portafoglio europeo di identità digitale deve essere inteso come un processo permanente. La sicurezza di tale strumento fin dalla sua progettazione costituisce il fondamento di un uso efficace e duraturo ed è imprescindibile anche per le imprese utilizzatrici, cosicché dovrebbe essere già prevista nella toolbox;

26.

ritiene che, oltre ai requisiti in materia di protezione dei dati, accessibilità e sicurezza informatica, un fattore cruciale per il successo dello strumento in esame siano un’informazione e una documentazione coerenti sul piano metodologico e adeguate alla categoria di utenti cui sono destinate;

27.

propone che norme vincolanti impongano ai prestatori di servizi l’obbligo di fornire accesso ai dati del portafoglio europeo di identità digitale con un sistema fondamentalmente semplice e trasparente mediante strumenti uniformi (ad esempio un «pannello di controllo») e di presentare tali dati in maniera chiaramente visibile per gli utenti;

28.

chiede che il progetto del portafoglio europeo di identità digitale sia configurato in maniera tale da corrispondere all’obiettivo della resilienza digitale dell’Europa e promuovere l’obiettivo della sua sovranità digitale;

29.

invita a valutare in che misura sia possibile creare una base tecnica generale mediante la fornitura di un pacchetto di strumenti con codice sorgente aperto messo a disposizione e certificato dall’UE per le funzionalità di base del portafoglio europeo di identità digitale; la manutenzione e l’ulteriore sviluppo del pacchetto di strumenti dovrebbero quindi essere coordinati dall’UE.

Coinvolgimento nei processi di utilizzazione

30.

raccomanda che, nel tradurre il portafoglio europeo di identità digitale in applicazioni specifiche, si richieda un processo di utilizzazione coerente, in una forma adeguata a tale processo che sia comprensibile per la categoria di utenti destinataria.

Il portafoglio europeo di identità digitale deve essere una componente che si inserisce in maniera omogenea nelle situazioni in cui ne è previsto l’impiego, con interfacce semplici per il trasferimento dei dati all’applicazione, e presentarsi visibilmente come un prodotto dell’UE grazie a una simbologia e a un linguaggio di progettazione inconfondibili;

31.

propone che l’accesso al portafoglio in esame sia standardizzato, in modo tale da consentire agli utenti di autorizzare il ricorso e/o l’accesso a tale strumento con operazioni quasi di routine, fermo il rispetto dei requisiti di minimizzazione dei dati. Così facendo, da un lato si renderebbe lo strumento più facile da usare e, dall’altro, si consentirebbe anche alle persone meno avvezze a usare strumenti informatici di evitare di utilizzarlo in maniera scorretta.

Comunicazione e accettazione

32.

ritiene necessario far conoscere il passaporto in questione alla popolazione dell’UE attraverso un’intensa attività di comunicazione su di esso e sulle opportunità di uso che esso offre nel mercato interno dell’UE nonché in merito alle garanzie di protezione e sicurezza dei dati; sottolinea che la disponibilità di una connessione ad alta velocità in tutta l’Unione europea rappresenta una condizione preliminare affinché tutti i cittadini — anche quelli che abitano in zone remote e/o rurali — possano utilizzare e accettare il portafoglio europeo di identità digitale;

33.

suggerisce di spingersi al di là dell’impiego originariamente previsto del portafoglio europeo di identità digitale, facendone un attestato di identità europea su scala mondiale, anche con funzioni di passaporto (ad esempio in quanto depositario di visti digitali) o di certificato ufficiale di vaccinazione dell’UE; e osserva che, a tale scopo, occorrerebbe concludere accordi che consentano l’uso del portafoglio europeo di identità digitale, con le credenziali ivi contenute, anche al di fuori dell’UE;

34.

esorta la Commissione europea ad avviare intensi colloqui e negoziati con i fornitori di dispositivi in merito alla realizzazione tecnica del portafoglio europeo di identità digitale per gli utilizzatori finali. L’obiettivo è rendere disponibile quanto prima la base tecnologica anche per i dispositivi di fascia economica.

Oggi sono già disponibili le prime famiglie di dispositivi di fascia media e alta dotati di una certificazione sufficiente per il livello di garanzia «significativo» ai sensi del regolamento eIDAS; per garantire un’ampia diffusione del portafoglio europeo di identità digitale, è inoltre opportuno assicurarsi che le imprese siano il più possibile coinvolte come fornitrici di servizi.

Sussidiarietà

35.

constata che la proposta di regolamento in esame è compatibile con il principio di sussidiarietà. Una costruzione tecnica di questo tipo a livello UE produce un effetto adeguato soltanto se le norme sono sufficientemente uniformi. La sua configurazione specifica è riservata alle normative nazionali pertinenti: a formare oggetto di valutazione sono soltanto gli strumenti della toolbox da impiegare in maniera trasversale.

Bruxelles, 12 ottobre 2021

Il presidente del Comitato europeo delle regioni

Apostolos TZITZIKOSTAS