Regolamento eIDAS per varare marchio di fiducia UE

A partire dal primo luglio 2016 dovranno essere adottate nei singoli Stati membri le disposizione europee per i “trusted service”: l’Italia si adegua anche con lo Spid, che sarà quindi riconosciuto in tutti i Paesi dell’Unione.

Da tempo è ormai palese che le più grandi barriere per il raggiungimento di un florido sviluppo dell’economia digitale consistono nella notevole segmentazione del mercato digitale, nella diffusissima assenza di interoperabilità e nella preoccupante crescita della criminalità cibernetica. Rompere queste barriere e instaurare fiducia negli ambienti online è fondamentale per un sano sviluppo economico e sociale, che altrimenti rimarrà stentato e privo di quel carattere rivoluzionario che dovrebbe essergli proprio.

La mancanza di fiducia, infatti, dovuta in particolare alla percepita incertezza giuridica, scoraggia e allontana i consumatori, le imprese e le autorità pubbliche dall’effettuare transazioni per via elettronica e dall’adottare nei propri processi i nuovi servizi basati sulla gestione documentale elettronica e la comunicazione digitale.

Individuare una base normativa comune al fine di migliorare l’efficacia dei servizi elettronici pubblici e privati, delle transazioni elettroniche e del commercio elettronico nell’Unione europea è divenuto ormai prioritario e con questi obiettivi, lo scorso 17 settembre 2014, è entrato in vigore il Regolamento UE n. 910/2014.

Il Regolamento, noto anche come Regolamento eIDAS – electronic IDentification Authentication and Signature – ha il delicato compito di favorire e incentivare la nascita di un quadro tecnico-giuridico unico, omogeneo e interoperabile a livello europeo, relativamente ai cosiddetti Trusted service (servizi fiduciari). Si tratta di servizi nei quali la fiducia verso il prestatore è di fondamentale importanza: firme elettroniche, sigilli elettronici, validazioni temporali elettroniche, documenti elettronici, nonché servizi di raccomandata elettronica e servizi di certificazione per Autenticazione web; tutti servizi che si richiede vengano realizzati da terze parti fidate che siano vigilate e controllate dagli stati membri, al fine di garantire certezza e fiducia al mercato elettronico interno.

Innanzitutto il Regolamento stabilisce a quali condizioni gli Stati membri debbano riconoscere i mezzi diidentificazione elettronica delle persone fisiche e giuridiche di un altro Stato membro: pur lasciando inalterata l’autonomia degli stati membri di decidere quali sistemi di identificazione elettronica utilizzare nel proprio territorio per regolare l’accesso ai servizi online, si stabilisce l’obbligo di garantire il reciproco riconoscimento dei mezzi di identificazione elettronica rilasciati in un altro Stato, con il presupposto però, che tali sistemi di identificazione siano stati notificati e pubblicati in un apposito “elenco dei regimi d’identificazione elettronica notificati” dalla Commissione (ex art 9), e che siano state rispettate le condizioni relative ai livelli di garanzia richiesti. In questa maniera, una volta andata a buon fine la procedura di notifica, in una transazione transfrontaliera ricadranno sullo stato membro notificante le responsabilità per eventuali danni causati con dolo o per negligenza, a qualsiasi persona, fisica o giuridica, in seguito al mancato adempimento dei suoi obblighi (lettere d e f dell’art 7 del Regolamento).

Il Regolamento, poi, al capo III, si occupa di servizi fiduciari e istituisce una piattaforma giuridica comune in ordine ai servizi di firma elettronica, sigillo elettronico, validazione temporale elettronica, servizi elettronici di recapito e autenticazione di siti web.

Il Regolamento, quindi, stabilisce con precisione i presupposti per poter avviare un servizio fiduciario qualificato e i requisiti da soddisfare per poter rilasciare i certificati qualificati posti alla base dei servizi fiduciari; anche i requisiti di sicurezza che devono essere rispettati dai prestatori di servizi fiduciari sono chiaramente indicati dal Regolamento.

Da ultimo viene stabilito per gli Stati membri l’obbligo di istituire un organismo di vigilanza con la funzione di monitorare i prestatori di servizi fiduciari qualificati e non qualificati.

Tra le altre interessanti novità introdotte dal Regolamento eIDAS meritano di essere annoverate le previsioni riguardanti gli elenchi di fiducia e il marchio di fiducia UE per i servizi fiduciari qualificati.

Il Legislatore Europeo ha richiesto l’istituzione, in ogni stato membro, di appositi elenchi in cui saranno raccolti tutti quei prestatori di servizi fiduciari per cui sia stata verificata e garantita la condizione qualificata al momento della richiesta di avviamento di un servizio fiduciario qualificato (condizione qualificata che deve essere mantenuta al momento delle successive attività di vigilanza).

Una volta inseriti negli elenchi di fiducia, i prestatori di servizi fiduciari- che oramai saranno a tutti gli effetti provvisti della qualifica- avranno la possibilità di utilizzare il marchio di fiducia UE per presentare in modo semplice, riconoscibile e chiaro i servizi da essi prestati: l’unico obbligo che hanno i prestatori per l’utilizzo del marchio è quello di garantire sul loro sito web la presenza di un link all’elenco di fiducia pertinente.

Queste due ultime previsioni racchiudono in esse tutta la volontà del Legislatore dell’Unione di contribuire al raggiungimento di un elevato livello di trasparenza sul mercato, per cercare di aumentare la fiducia nei servizi online e nella loro realizzabilità, a beneficio di tutti gli utilizzatori.

Con il Regolamento eIDAS- diversamente dalla precedente Direttiva europea 1999/93/CE che viene esplicitamente abrogata dal 1 luglio 2016- il Legislatore ha emanato un atto normativo con portata generale, obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri. Pur se già entrato in vigore, il Regolamento però si applicherà interamente e produrrà materialmente i suoi effetti sui cittadini membri solo a decorrere dal primo luglio 2016, così da lasciare il tempo ai singoli stati di prepararsi adeguatamente alla nuova normativa.

In Italia, anticipando i tempi dettati dallo stesso Regolamento, è stato già dato il via all’istituzione di un “Sistema Pubblico per la gestione dell’Identità Digitale – Spid”, la cui regolamentazione è contenuta nel DPCM 24 ottobre 2014, pubblicato in Gazzetta Ufficiale il 9 dicembre 2014.

Lo Spid è un sistema aperto attraverso il quale soggetti pubblici e privati, previo accreditamento da parte dell’Agenzia per l’Italia Digitale, potranno offrire servizi di identificazione elettronica a cittadini e imprese. I prestatori di tali servizi avranno il compito di garantire la corretta registrazione e messa a disposizione delle credenziali e degli strumenti di accesso in rete nei riguardi di cittadini e imprese.

Lo Spid, che si basa su delle specifiche tecniche diffusamente accolte a livello europeo e già adottate dai progetti sperimentali Stork e Stork II (Secure idenTity acrOss boRders linKed), in questo modo consentirà ai cittadini di avvalersi della propria identità digitale per accedere ai servizi on line messi a disposizione dalle singole Pubbliche Amministrazioni o anche dai privati che aderiranno a tale sistema.

Lo Stato italiano ha anche già provveduto a notificare alla commissione il decreto Spid e conseguentemente, come previsto dal Regolamento eIDAS, dal 1 luglio 2016, lo Spid dovrà essere riconosciuto e accettato da tutti gli altri stati membri dell’Unione.

FONTE: Agenda Digitale (www.agendadigitale.eu)

AUTORI: Luigi Foglia e Stefano Frontini