Rapporto esplicativo

Lettera d

L‘IdP è obbligato a consultare i più recenti requisiti di sicurezza e a verificare che i sistemi da esso gestiti li rispettano.

Lettera e

L’aggiornamento dei dati d’identificazione personale genera maggiore sicurezza. Gli intervalli tra un aggiornamento e l’altro si differenziano a seconda dei livelli di sicurezza e sono stabiliti all’articolo 8 capoverso 1.

Lettera f

Se nell’ambito dell’utilizzo di un’eID devono essere trasmessi dati d’identificazione personale (tipicamente durante la registrazione presso un servizio che utilizza l’eID), l’IdP deve ottenere il consenso del titolare.

Se ad esempio un titolare desidera giocare in un casinò in rete deve dimostrare di aver compiuto diciotto anni. Il casinò ha stipulato un accordo con un IdP. Il titolare dispone di un’eID implementata sullo smartphone e lo comunica al casinò. Quest’ultimo contatta in rete l’IdP, che chiede al titolare se desidera trasmettere il cognome, il nome e la data di nascita al casinò. Il titolare conferma il suo consenso e i dati liberati vengono trasmessi al casinò, che in tal modo dispone di una prova dell’età confermata a livello statale e può ammettere il titolare al gioco in rete, a condizione che non vi siano altri motivi di esclusione. Per ogni ulteriore visita è sufficiente accedere con l’eID.

Lettera g

I dati del protocollo dell’IdP sull’utilizzo dell’eID vanno cancellati dopo sei mesi. Questa disposizione non concerne i dati di protocollo, registrazione e transazione del servizio che utilizza l’eID.

Capoversi 2, 3 e 4

L’IdP garantisce che i problemi di utilizzo dell’eID e la perdita del supporto possano essere notificati. Spetta al mercato stabilire le modalità di questa notifica: tramite una hotline telefonica o la posta elettronica o altri canali.

È possibile che i gestori di servizi che utilizzano l’eID o gli IdP si accorgano del rischio

d’abuso dell’eID prima del titolare (p. es. perché l’eID è utilizzata in un luogo inusuale) come pure che un terzo cerchi abusivamente di bloccare l’eID. Prima di bloccarla l’IdP deve dunque assicurarsi che la persona che richiede il blocco dell’eID vi sia autorizzata.

Articolo 18 Interoperabilità

L’interoperabilità tra i sistemi di eID costituisce un presupposto importante per la diffusione delle eID. L’articolo 18 dispone pertanto che gli IdP debbano riconoscere reciprocamente i loro sistemi di eID mediante standard tecnici e interfacce definite stabiliti a livello di ordinanza o istruzione.

I titolari dovrebbero poter utilizzare le loro eID presso tutti i servizi che utilizzano l’eID, a condizione che l’eID offra perlomeno il livello di sicurezza richiesto. Ciò deve essere possibile indipendentemente dall’esistenza di un accordo tra il gestore del servizio che utilizza l’eID e l’IdP che ha rilasciato l’eID. A tal fine gli IdP devono federare reciprocamente i loro servizi d’identificazione, analogamente a una rete di carte di credito o al roaming nel settore della telefonia mobile, mediante standard e regole d’interoperabilità che devono essere rispettate