Rapporto esplicativo

Articolo 9 Utilizzo sistematico del numero di assicurato per lo scambio di dati

Osservazione preliminare

Il numero di assicurato (NAVS13) ai sensi della LAVS non deve poter essere comunicato ad ampio raggio e in modo incontrollato dato che ciò consentirebbe di utilizzarlo sistematicamente anche a quelle cerchie di persone che non vi sono autorizzate. L’articolo 9 AP contiene la base legale e i principi di trattamento relativi all’utilizzo sistematico del NAVS13 per l’eID. Qui di seguito i dettagli del disciplinamento.

Capoverso 1

Il NAVS13 è utilizzato dal Servizio delle identità durante la procedura di rilascio e

l’aggiornamento dei dati (art. 8 AP) per identificare le persone e funge da identificatore univoco nel quadro della consultazione di altre banche dati che pure lo utilizzano sistematicamente. Il NAVS13 è imprescindibile per confrontare automaticamente o inoltrare i dati tra diverse banche dati. Solo esso può garantire che una persona sia identificabile in modo univoco nei diversi registri anche dopo che ha modificato il cognome. Le modifiche del diritto in materia di nomi introdotte negli ultimi anni rendono alle persone più facile oscurare la loro precedente identità e costruirsene legalmente una nuova. Con la modifica del nome, infatti, vengono rilasciati nuovi documenti d’identità, che non consentono di risalire alla precedente identità. Il NAVS13 permette per contro un’attribuzione univoca.

Capoverso 2

Gli IdP sono autorizzati a registrare il NAVS13 nei loro sistemi. Il NAVS13 è comunicato ai servizi che utilizzano l’eID soltanto se questi sono a loro volta autorizzati a farne uso sistematicamente secondo le menzionate disposizioni della LAVS. La trasmissione di questo attributo a terzi non autorizzati a utilizzarlo sistematicamente deve pertanto essere impedita mediante misure tecniche. Sul rapporto relativo alla trasmissione dei dati il NAVS13 è reso invisibile. Il numero di registrazione eID è il numero d’identificazione univoco per l’IdP.

Articolo 10 Trattamento e trasmissione di dati

Osservazione preliminare

Il trattamento e la trasmissione di dati è l’effettiva attività degli IdP. L’identificazione e

l’autenticazione sono prestazioni fornite sia ai gestori di servizi che utilizzano l’eID che ai titolari di eID. Gli IdP fungono da intermediari tra di loro. Il disciplinamento della protezione dei dati ne risulta pertanto particolarmente importante.

Capoversi 1 e 2

Le disposizioni di protezione dei dati formulate ai capoversi 1 e 2 non sono più restrittive di quelle della pertinente legislazione. Nell’ambito dell’utilizzo dell’eID il titolare può scegliere i dati d’identificazione personale che vanno trasmessi al servizio che utilizza l’eID. Possono tuttavia essere trasmessi unicamente quelli corrispondenti al livello di sicurezza richiesto dal servizio in questione.

Capoverso 3

La trasmissione di dati d’identificazione personali confermati a livello statale dei livelli di sicurezza significativo ed elevato e in particolare la loro commercializzazione sono vietate sia all’IdP che al gestore di servizi che utilizzano l’eID. Il modello aziendale degli IdP e dei gestori di servizi che utilizzano l’eID non può fondarsi sulla vendita di dati o profili d’utilizzo confermati dallo Stato e dunque particolarmente informativi. Questi dati non devono però poter essere comunicati neppure gratuitamente, ad esempio ai fini dell’utilizzo commerciale da parte di un’altra impresa del medesimo gruppo. Il divieto di commercializzazione non è riferi-