Il Governo ha pubblicato oggi il decreto con cui il Capo del Dipartimento per la trasformazione digitale della Presidenza del Consiglio ha adottato, il 24 settembre, le specifiche tecniche del sistema IT-Wallet. È il portafoglio digitale nazionale che conserva sullo smartphone documenti d’identità e altre credenziali. Le regole valgono per la fase di sperimentazione e attuano il decreto del Presidente del Consiglio dei ministri del 17 giugno.

Le specifiche stabiliscono chi rilascia i documenti digitali, come vengono verificati e quali informazioni circolano tra cittadino, amministrazioni e privati. Da queste scelte dipende quanto una persona resterà identificabile, e da chi, ogni volta che usa il telefono al posto della carta.

Specifiche tecniche IT-Wallet, cosa prevede il decreto

Il comunicato di Palazzo Chigi, classificato come atto di pubblicità legale, riporta la catena normativa. Il decreto dipartimentale applica l’articolo 6 del Dpcm di giugno, che a sua volta attua l’articolo 64-quater del Codice dell’amministrazione digitale, il decreto legislativo 82 del 2005. Quell’articolo è stato introdotto nel 2024 con il decreto-legge sull’attuazione del Pnrr.

Il documento tecnico allegato porta un titolo in inglese, «IT-Wallet Technical Specifications». L’architettura prevede un wallet pubblico, accessibile attraverso l’App IO gestita da PagoPA, e la possibilità di wallet privati. Patente di guida, tessera sanitaria e carta europea della disabilità sono già disponibili in forma digitale dalla fine del 2024.

IT-Wallet ed Europa: il vincolo del regolamento eIDAS 2

Il portafoglio italiano è la declinazione nazionale dell’European Digital Identity Wallet, previsto dal regolamento europeo 2024/1183, noto come eIDAS 2. Il regolamento obbliga ogni Stato membro a offrire ai cittadini un portafoglio di identità digitale. Fissa inoltre alcuni principi: uso volontario, divieto di discriminare chi non lo adotta, possibilità di usare pseudonimi quando la legge non impone l’identificazione, divulgazione selettiva dei dati.

La divulgazione selettiva è la garanzia più citata dai promotori. Permette, per esempio, di dimostrare la maggiore età senza rivelare la data di nascita, o la residenza in un Comune senza mostrare l’indirizzo.

Come funziona il portafoglio digitale nazionale

Il sistema ruota attorno a tre soggetti. L’emittente, cioè l’ente che rilascia la credenziale. Il titolare, che la conserva sul telefono. Il verificatore, che la richiede per erogare un servizio: un ufficio pubblico, una banca, un sito che deve accertare l’età.

Le credenziali risiedono sul dispositivo e vengono presentate con protocolli crittografici della famiglia OpenID. Per garantire che l’app non sia stata manomessa, il sistema ricorre alla cosiddetta attestazione del wallet, che si appoggia ai servizi di sicurezza dei sistemi operativi mobili, cioè a Google e Apple.

Dati e tracciamento nell’IT-Wallet: le domande aperte

Le specifiche disciplinano questioni tecniche che hanno effetti diretti sulla riservatezza. Il comunicato governativo si limita agli estremi normativi. Restano quindi aperte alcune domande che riguardano l’architettura stessa del sistema.

La prima riguarda la verifica di validità. Quando un verificatore controlla che un documento non sia stato revocato, il meccanismo scelto determina se l’emittente pubblico viene a sapere dove e quando quella credenziale è stata usata. Esistono soluzioni che lo impediscono e soluzioni che lo rendono possibile.

La seconda riguarda il registro delle transazioni. Il regolamento europeo prevede che l’utente possa consultare lo storico delle proprie presentazioni. Contano il luogo in cui quello storico è conservato, chi può accedervi e per quanto tempo.

La terza riguarda il collegamento tra utilizzi diversi. Se la stessa credenziale contiene identificativi o firme ricorrenti, più verificatori possono incrociare i dati e ricostruire il profilo di una persona. Su questo punto studiosi di crittografia e associazioni per i diritti digitali hanno criticato l’impianto europeo, chiedendo garanzie di «non collegabilità» più robuste.

La quarta riguarda la sovranità tecnologica. Un’identità digitale di Stato che dipende dai servizi di attestazione di due multinazionali americane lega l’accesso ai documenti pubblici al funzionamento, e alle condizioni, di piattaforme private estere.

C’è infine il tema della volontarietà. Il regolamento la garantisce sulla carta. Il suo valore pratico dipenderà da quanti servizi, pubblici e privati, continueranno ad accettare i documenti tradizionali e le identità digitali alternative.

Sperimentazione IT-Wallet, regole fissate per decreto

Un ultimo aspetto riguarda il metodo. L’architettura del portafoglio digitale è definita con un atto amministrativo del capo di un dipartimento, su delega di un Dpcm. Le scelte su revoca, conservazione dei log e attestazione dei dispositivi passano dunque per decreti tecnici, aggiornabili senza un nuovo passaggio parlamentare.

Le specifiche adottate il 24 settembre regolano la sperimentazione. La versione definitiva dovrà allinearsi agli atti di esecuzione della Commissione europea. I parametri fissati in questa fase costituiscono la base su cui il sistema entrerà a regime.