Rapporto esplicativo

Articolo 6 Procedura di rilascio

Osservazione preliminare

La procedura di rilascio ha luogo tra il richiedente, l’IdP e il Servizio delle identità. A dipendenza del livello di sicurezza, il rilascio presuppone che il richiedente si presenti personalmente o si identifichi in modo equivalente. Il Consiglio federale disciplina la procedura di rilascio a seconda del livello di sicurezza; le pertinenti deleghe figurano in diverse disposizioni dell’AP (in particolare art. 3 cpv. 3 e art. 5 cpv. 4).

Capoverso 1

L’IdP non può rilasciare un’eID di sua spontanea volontà anche se conosce la persona in questione poiché è già sua cliente. La richiesta deve provenire dal futuro titolare dell’eID (richiedente), che a sua volta non è obbligato ad acquisire un’eID.

Capoversi 2 e 3

L’IdP verifica se il richiedente soddisfa i presupposti personali di cui all’articolo 3 e successivamente chiede al Servizio delle identità di trasmettergli i dati d’identificazione personale in forma elettronica. Se l’IdP intende rilasciare l’eID soltanto a una cerchia limitata di persone (clienti), i presupposti personali comprendono anche la relazione clientelare. Il richiedente deve dare il suo consenso esplicito alla trasmissione dei dati d’identificazione personale.

Mediante misure tecniche e organizzative il Servizio delle identità garantisce che i dati d’identificazione personale non possano essere consultati in modo abusivo. L’IdP non deve ad esempio poter consultare dati d’identificazione personale unicamente indicando il numero del documento d’identità e senza il consenso esplicito del titolare. Per questa dichiarazione di consenso deve eventualmente avere luogo un contatto diretto tra il Servizio delle identità e il richiedente.

Capoverso 4

L’IdP attribuisce i dati d’identificazione personale all’eID e si assicura che l’eID sia attribuita alla persona fisica in questione (collegamento). Ciò avviene, ad esempio nel caso di una Mobile ID, attribuendo l’eID alla carta SIM utilizzata per l’abbonamento del richiedente e inserita nel suo dispositivo. A seconda del livello di sicurezza questa attribuzione è soggetta a differenti requisiti, ma affinché l’eID possa essere utilizzata occorre comunque perlomeno verificare un fattore d’autenticazione, ad esempio il possesso di un dispositivo personalizzato, la conoscenza di un segreto o una caratteristica biometrica.

Capoverso 5

La trasmissione dei dati d’identificazione personale è richiesta elettronicamente presso il sistema d’informazione del Servizio delle identità, che mette a verbale la richiesta.

Articolo 7 Dati d’identificazione personale

Capoversi 1 e 2

La trasmissione di dati d’identificazione personale ai sensi del capoverso 2 presuppone che la procedura di registrazione, il sistema di eID e l’autenticazione soddisfino requisiti tecnici e organizzativi elevati.

Alcuni dei dati d’identificazione personale menzionati sono dati biometrici (immagine del volto, immagine della firma). Dato che possono essere confermati unicamente dati tenuti nei sistemi d’informazione della Confederazione (cfr. art. 20 AP), l’elenco è esaustivo. Il titolare può limitare i dati d’identificazione personale che nel caso concreto sono trasmessi dall’IdP a un gestore di servizi che utilizzano l’eID (cfr. art. 17 cpv. 1 lett. f AP). La denominazione dei