Rapporto esplicativo

le disciplina la procedura per il caso in cui differenti registri di persone forniscano dati contradditori (art. 20 cpv. 5 AP).

Sistema di eID sussidiario della Confederazione

Se nessun IdP rilascia un’eID per l’identificazione e l’autenticazione adeguata per i servizi che utilizzano l’eID delle autorità, il Consiglio federale può designare un’unità amministrativa che gestisca un tale sistema di eID. Questa unità amministrativa può eventualmente collaborare con privati per l’installazione e la gestione del sistema (art. 13 AP).

Norme di protezione di responsabilità civile per titolari

In virtù dell’articolo 14 capoverso 3 AP, il Consiglio federale può stabilire in un’ordinanza gli obblighi di diligenza che devono essere rispettati dai titolari di un’eID. Tali obblighi possono modificarsi con relativa rapidità conformemente all’evoluzione tecnica. È pertanto opportuno disciplinare la questione in un’ordinanza.

Riscossione di emolumenti

Si confrontino i commenti all‘articolo 23.

4.5 Protezione dei dati

4.5.1 Il diritto in materia di protezione dei dati è sufficiente

Le disposizioni del diritto in materia di protezione dei dati (Legge federale del 19 luglio 1992 sulla protezione dei dati, LPD, RS 235.1, e le pertinenti ordinanze) sono sufficienti per garantire la protezione dei dati nel settore dell’eID. Ciononostante, per quanto riguarda la necessità di ottenere il consenso del titolare è stata introdotta nell’AP una disposizione esplicita che limita il trattamento dei dati d’identificazione personale confermati a livello statale: gli IdP possono trattarli unicamente per effettuare identificazioni e autenticazioni (art. 10 cpv. 1 AP).

L’AP limita inoltre la trasmissione di determinati dati d’identificazione personale e i relativi profili d’utilizzo (art. 10 cpv. 3 AP).

4.5.2 Consenso alla trasmissione

Sempre laddove sono in gioco dati d’identificazione personale è importante che siano rispettate le prescrizioni della protezione dei dati e adottati i necessari provvedimenti di sicurezza. I titolari dell’eID danno il loro consenso esplicito alla trasmissione di determinati dati

d’identificazione personale. Per il rilascio dell’eID l’IdP è autorizzato a richiamare i dati presso il Servizio delle identità (art. 6 cpv. 3 AP); per l’utilizzo dell’eID presso un servizio che utilizza l’eID l’IdP ha inoltre l’obbligo di chiedere al titolare il consenso per la trasmissione dei dati al suddetto servizio (art. 17 cpv. 1 lett. f AP).

4.5.3 Limitazione della commerciabilità dei dati

Particolare attenzione è prestata alla commercializzazione dei dati. L’articolo 10 capoverso 3 vieta la trasmissione a terzi di dati confermati a livello statale e dei profili su di essi fondati. Si distingue però tra dati di base, trasmessi al livello di sicurezza basso, e dati complementari dei livelli di sicurezza significativo ed elevato. I dati di base numero di registrazione eID, cognome e data di nascita nonché i dati attribuiti dall’IdP (p. es. indirizzo o numero del cliente) non sono compresi nel divieto di commercializzazione. Per contro non possono essere