LA COMMISSIONE EUROPEA,

visto il trattato sul funzionamento dell'Unione europea,

visto il regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio, del 23 luglio 2014, in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno e che abroga la direttiva 1999/93/CE (1), in particolare l'articolo 11 bis, paragrafo 3,

considerando quanto segue:

1) Il regolamento (UE) n. 910/2014 prevede che, come opzione di autenticazione per accedere a servizi pubblici transfrontalieri online forniti dagli Stati membri, siano disponibili portafogli europei di identità digitale («portafogli») e mezzi di identificazione elettronica notificati. Nei suddetti casi di autenticazione transfrontaliera, le registrazioni contenenti informazioni relative all'utente del portafoglio o all'utente dei mezzi di identificazione elettronica notificati sono talvolta già a disposizione della parte facente affidamento sulla certificazione attraverso il suo stesso registro o un registro esterno, e spesso sotto forma di account utente. In questi casi, la corrispondenza di alcune informazioni relative all'utente, ottenute dai portafogli o dai mezzi di identificazione elettronica notificati, può essere determinata da tale parte facente affidamento sulla certificazione o per suo conto. Ad esempio, la corrispondenza potrebbe essere determinata ricorrendo a una soluzione centralizzata gestita da un organismo del settore pubblico sulla base delle informazioni già in possesso della parte facente affidamento sulla certificazione oppure ricorrendo a un registro di cui la parte facente affidamento sulla certificazione si avvale, che potrebbe essere, a titolo indicativo, un registro anagrafico o una banca dati contenente informazioni sugli account utente.

2) La Commissione valuta periodicamente tecnologie, pratiche, norme e specifiche tecniche nuove. Al fine di garantire il massimo livello di armonizzazione tra gli Stati membri per lo sviluppo e la certificazione dei portafogli, le specifiche tecniche di cui al presente regolamento si fondano sul lavoro svolto conformemente alla raccomandazione (UE) 2021/946 della Commissione (2), in particolare l'architettura e il quadro di riferimento che ne fanno parte. Conformemente al considerando 75 del regolamento (UE) 2024/1183 del Parlamento europeo e del Consiglio (3), la Commissione dovrebbe riesaminare e, se necessario, aggiornare il presente regolamento per mantenerlo in linea con gli sviluppi globali, l'architettura e il quadro di riferimento e per seguire le migliori pratiche sul mercato interno.

3) Affinché il processo di corrispondenza dell'identità funzioni in modo affidabile in tutti gli Stati membri, quando una persona fisica chiede per la prima volta di avere accesso a un servizio gestito dalla parte facente affidamento sulla certificazione, il processo iniziale di corrispondenza dell'identità dovrebbe essere eseguito dagli Stati membri che fungono da parti facenti affidamento sulla certificazione, sulla base dell'insieme minimo di dati di cui al regolamento di esecuzione (UE) 2015/1501 della Commissione (4) o dell'insieme di dati di identificazione personale di cui al regolamento di esecuzione (UE) 2024/2977 della Commissione (5). Sebbene il presente regolamento si concentri sugli Stati membri che fungono da parti facenti affidamento sulla certificazione, a norma del regolamento (UE) n. 910/2014 gli Stati membri sono liberi di decidere se il sistema di corrispondenza dell'identità sia messo a disposizione anche delle parti private facenti affidamento sulla certificazione. Qualora prevedano la corrispondenza dell'identità per le parti facenti affidamento sulla certificazione che non sono organismi del settore pubblico, gli Stati membri dovrebbero applicare per quanto possibile i meccanismi e le procedure di cui al presente regolamento.

4) Ai fini della corrispondenza dell'identità a livello transfrontaliero quando si utilizzano i portafogli, le informazioni utilizzate ai fini della corrispondenza univoca dell'identità dovrebbero essere gli identificatori dei dati obbligatori dell'insieme di dati di identificazione personale di cui alla sezione 1 dell'allegato del regolamento di esecuzione (UE) 2024/2977, unitamente a eventuali dati facoltativi necessari per garantire che l'insieme di dati di identificazione personale sia unico.

5) Ai fini della corrispondenza dell'identità a livello transfrontaliero quando si utilizzano mezzi di identificazione elettronica notificati, le informazioni utilizzate ai fini della corrispondenza univoca dell'identità dovrebbero essere gli attributi obbligatori dell'insieme minimo di dati per una persona fisica di cui alla sezione 1 dell'allegato del regolamento di esecuzione (UE) 2015/1501. Il riferimento agli attributi obbligatori dell'insieme minimo di dati per una persona fisica dovrebbe essere inteso nel contesto del regolamento di esecuzione (UE) 2015/1501, secondo cui un attributo è un componente dell'insieme minimo di dati di identificazione personale, e non sulla base della definizione di «attributo» di cui all'articolo 3, punto 43, del regolamento (UE) n. 910/2014, come modificato dal regolamento (UE) 2024/1183.

6) Dal momento che, per garantire la corrispondenza univoca dell'identità, la parte facente affidamento sulla certificazione si avvale di informazioni preesistenti, il processo di corrispondenza dell'identità potrebbe non avere esito positivo in tutti i casi. Per garantire un adeguato grado di flessibilità alle parti facenti affidamento sulla certificazione, gli Stati membri possono istituire processi complementari che garantiscano che l'esito del processo di corrispondenza dell'identità abbia un livello di affidabilità equivalente.

7) Qualora l'esito del processo di corrispondenza dell'identità sia considerato positivo conformemente alle disposizioni del presente regolamento, la parte facente affidamento sulla certificazione o la parte che agisce per suo conto, o un registro di cui le parti facenti affidamento sulla certificazione si avvalgono, o il sistema centralizzato dovrebbe provvedere affinché l'utente sia informato dell'avvenuta registrazione, anche visualizzando il nome dell'utente o il suo pseudonimo e, tra l'altro, se opportuno, delle opzioni disponibili per conservare l'esito del processo di corrispondenza dell'identità. Tali opzioni possono includere la conservazione di un'associazione in un registro gestito dalla parte facente affidamento sulla certificazione e/o in un registro di cui tale parte si avvale, e/o il rilascio di un attestato elettronico di attributi dedicato contenente un'associazione che possa essere riutilizzata in futuro, e/o l'utilizzo di opzioni alternative fornite dalla parte facente affidamento sulla certificazione o dalla parte che agisce per suo conto. Se del caso, l'utente dovrebbe poter scegliere tra le opzioni e avere il controllo del tempo di conservazione, al fine di garantire che i processi di corrispondenza dell'identità completati possano essere riutilizzati in futuro dagli utenti.

8) Per una maggiore trasparenza e un maggior controllo da parte degli utenti, se non è stato possibile effettuare un abbinamento con esito positivo l'utente dovrebbe essere informato chiaramente in merito ai motivi per cui il processo di corrispondenza ha avuto esito negativo. L'utente dovrebbe inoltre essere informato in merito a eventuali passaggi successivi. Tali informazioni dovrebbero comprendere le informazioni utilizzate nel processo di corrispondenza dell'identità e le eventuali discrepanze riscontrate, e fornire all'utente spiegazioni e istruzioni chiare in merito a possibili rimedi e processi complementari.

9) Per rendere disponibili adeguati meccanismi di ricorso ogniqualvolta sia eseguito un processo di corrispondenza dell'identità, le parti facenti affidamento sulla certificazione o le parti che agiscono per loro conto, o i registri di cui si avvalgono le parti facenti affidamento sulla certificazione, dovrebbero conservare registrazioni adeguate in relazione al processo di corrispondenza dell'identità, alle informazioni utilizzate ai fini della corrispondenza e a qualsiasi altro documento giustificativo fornito dalla persona fisica, nonché all'esito del processo di corrispondenza dell'identità. Tali registrazioni dovrebbero essere conservate per un minimo di 6 mesi e un massimo di 12 mesi per consentire la registrazione e il trattamento dei reclami presentati dagli utenti. Il tempo di conservazione potrebbe essere prolungato se richiesto dal diritto dell'Unione o nazionale.

10) Per evitare che gli utenti del portafoglio debbano eseguire ripetutamente il processo di corrispondenza dell'identità, gli Stati membri possono esigere che i sistemi di corrispondenza dell'identità siano in grado di rilasciare un attestato elettronico di attributi contenente un collegamento tra l'utente del portafoglio e un registro in cui tale utente è registrato come utente noto. In alternativa, gli Stati membri possono conservare un'associazione come riferimento a un registro accessibile alla parte facente affidamento sulla certificazione o adottare altre misure di assistenza.

11) Affinché i portafogli da fornire conformemente alle prescrizioni di cui all'articolo 5 bis, paragrafo 1, del regolamento (UE) n. 910/2014 e i regimi di identificazione elettronica notificati beneficino dei vantaggi derivanti dalla presenza di sistemi operativi di corrispondenza dell'identità, è necessario fissare un termine più lungo per l'applicazione delle rispettive disposizioni del presente regolamento. Per quanto riguarda i portafogli, ciascuno Stato membro dovrebbe fornire almeno un portafoglio entro 24 mesi dalla data di entrata in vigore degli atti di esecuzione di cui all'articolo 5 bis, paragrafo 23, e all'articolo 5 quater, paragrafo 6, del regolamento (UE) n. 910/2014. L'applicazione delle pertinenti disposizioni del presente regolamento in materia di corrispondenza dell'identità sulla base dei portafogli dovrebbe pertanto coincidere con i termini sopraindicati. Per quanto riguarda i regimi di identificazione elettronica notificati, è opportuno concedere un periodo di tempo sufficiente per la sostituzione delle funzionalità di corrispondenza dell'identità.

12) Poiché l'uso dei portafogli deve essere volontario, gli Stati membri dovrebbero offrire agli utenti metodi alternativi per accedere ai servizi che forniscono quando fungono da parti facenti affidamento sulla certificazione.

13) Quando viene effettuato un tentativo di autenticazione per un servizio elettronico, una nuova registrazione utente può essere fluida e dare pertanto a un utente l'impressione, dal punto di vista visivo e tecnico, di visitare nuovamente un servizio elettronico già visitato in precedenza. Per questo motivo ai fini del presente regolamento una nuova registrazione utente a un servizio elettronico dovrebbe essere considerata equivalente a un processo di corrispondenza dell'identità con esito positivo.

14) Gli Stati membri dovrebbero provvedere affinché il processo di corrispondenza dell'identità funzioni in modo fluido e l'utente non sia sottoposto a molteplici modifiche della sessione e passaggi ripetitivi anche se il processo di corrispondenza dell'identità non ha inizialmente un esito positivo e sono quindi eseguiti processi complementari.

15) Gli Stati membri sono liberi di progettare le loro interfacce e notifiche utente in modo adeguato al contesto nazionale, tenendo conto dello spirito delle prescrizioni di cui al presente regolamento.

16) Il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (6) e, se del caso, la direttiva 2002/58/CE del Parlamento europeo e del Consiglio (7) si applicano a tutte le attività di trattamento di dati personali a norma del presente regolamento.

17) Conformemente all'articolo 42, paragrafo 1, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio (8), il Garante europeo della protezione dei dati è stato consultato e ha formulato il suo parere il 31 gennaio 2025.

18) Le misure di cui al presente regolamento sono conformi al parere del comitato istituito dall'articolo 48 del regolamento (UE) n. 910/2014,

HA ADOTTATO IL PRESENTE REGOLAMENTO: