Rapporto esplicativo

flessibile ai più recenti sviluppi tecnologici, i dettagli relativi ai presupposti per il rilascio, alla procedura e al blocco o alla revoca sono disciplinati a livello di ordinanza.

Il numero 4.4 fornisce una panoramica sulla delega di competenze legislative.

Articolo 4 Riconoscimento degli IdP

Osservazione preliminare

Nell’ambito del riconoscimento dei fornitori di servizi identitari vengono verificati e riconosciuti anche i loro sistemi di eID. I requisiti tecnici posti ai servizi che utilizzano l’eID (relying party application) sono invece disciplinati soltanto indirettamente tramite i requisiti e gli oneri posti ai sistemi di eID. Questi oneri soddisferanno i requisiti del NIST-Cybersecurity Framework per quanto riguarda la sicurezza e l’affidabilit๹.

Capoversi 1 e 2

L’IdP che intende rilasciare eID riconosciute deve soddisfare diversi presupposti organizzativi e tecnici. Il rispetto dei presupposti, regolarmente verificato dal Servizio di riconoscimento, garantisce un controllo sufficiente sugli IdP e sui dati da questi eventualmente registrati.

Lettere a e b

Gli IdP devono avere la loro sede in Svizzera e disporre di un numero d’identificazione delle imprese. Possono gestire sistemi di eID servizi sia privati che pubblici. L’articolo stabilisce indirettamente che persone fisiche o giuridiche non iscritte nel registro di commercio non possono essere riconosciute e quindi non possono gestire sistemi di eID riconosciuti.

Lettere c e d

Un presupposto organizzativo concerne le persone che eseguono la verifica dei documenti d’identità presentati nell’ambito della procedura di rilascio e che possono influire sulla trasmissione dei dati: devono essere sufficientemente formate, disporre delle conoscenze tecniche, dell’esperienza e delle qualifiche necessarie e in particolare non devono rappresentare un rischio per la sicurezza.

Per rischio per la sicurezza s’intende ad esempio l’assunzione di una persona oggetto di una condanna passata in giudicato per determinati reati (cfr. i commenti all’art. 12 cpv. 2 lett. d) o che a causa dei suoi debiti potrebbe essere corrompibile. Le prove in tal senso possono essere acquisite con gli estratti dal casellario giudiziale e i registri delle esecuzioni.

Lettera e

L’affidabilità è comprovata dal rispetto degli standard di sicurezza validi al momento e dalla certificazione delle procedure.

Lettera f

L’IdP deve garantire che il trattamento e la gestione dei dati hanno luogo esclusivamente in Svizzera. Qualsiasi accesso non autorizzato ai dati da parte di terzi all’estero va impedito. Per trattamento dei dati s’intende qualsivoglia impiego dei dati indipendentemente dai mezzi e dalle procedure utilizzati, in particolare l’acquisizione, la conservazione, l’archiviazione o la distruzione. Questa disposizione concerne tutti i dati trattati dall’IdP nel quadro dei servizi secondo la presente legge, in particolare anche dati provvisori, dati provenienti da memorizzazioni temporanee e dati marginali.