Rapporto sui risultati

Rapporto sui risultati della consultazione sulla legge federale sui servizi d’identificazione elettronica (Legge sull’eID, LSIE)

da il riconoscimento come IdP anche per le autorità statali, a quest’ultime non si applicherebbe la condizione di riconoscimento prevista all’articolo 4 capoverso 2 lettera b; propone quindi una formulazione per un nuovo capoverso 3.

Per il settore delle TIC, l’ISSS propone formulazioni, fa osservazioni e chiede concretizzazioni. La KARTAC e la SPA propongono di assicurare sul piano giuridico che in caso di cessazione di attività da parte di un IdP, le eID rilasciate possano continuare a essere utilizzate senza interruzione nel commercio elettronico e nei rapporti con le unità amministrative oppure che vengano sostituite da nuove eID senza problemi di sorta. Suggeriscono inoltre di consentire la conservazione dei dati anche fuori dal territorio svizzero fintantoché siano assicurate una sicurezza e una protezione dei dati adeguate e conformi al diritto svizzero. La KAR-TAC e la SPA richiedono infine che siano ammesse in quanto sufficienti le procedure di riconoscimento equivalenti attuate in ottemperanza alle disposizioni di un’altra legge.

La FMH propone di esigere dagli IdP che i server in cui sono conservati i dati relativi alle eID si situino su territorio europeo e non appartengano a un’azienda americana. La FSA suggerisce di eliminare la seconda parte del capoverso 2 lettera g e del capoverso 4 lettera b «...o garanzie finanziarie equivalenti». Tale disposizione avrebbe senso solo se le autorità controllassero regolarmente la disponibilità dei mezzi finanziari e questi non fossero accessibili a terzi.

L’UBS ritiene anacronistica la condizione di conservare i dati in Svizzera secondo il diritto svizzero e chiede una maggiore flessibilità purché siano adempiti i requisiti di sicurezza del caso. Inoltre è dell’opinione che debbano essere ammessi anche gestori esteri di servizi che utilizzano l’eID, fatto che comporterebbe inevitabilmente un certo traffico di dati all’estero e che permetterebbe di mettere a frutto anche l’interoperabilità transfrontaliera. La legge dovrebbe quindi limitarsi a imporre la conformità al livello di sicurezza e protezione dei dati prescritto dal diritto svizzero. Le FFS e l’UBS propongono l’ammissibilità reciproca delle procedure di riconoscimento attuate dai vari fornitori di servizi riconosciuti, ad esempio firme o piattaforme di trasmissione, a condizione che sussista una certa equivalenza. La Posta constata grosse divergenze nelle condizioni di riconoscimento per gli IdP, i fornitori riconosciuti di servizi di certificazione (Legge federale sulla firma elettronica, FiEle, RS 943.03), le piattaforme di trasmissione riconosciute (Ordinanza sul riconoscimento di piattaforme di trasmissione, RS 272.11) e le comunità certificate (LCIP), osservando che i punti in comuni degli attori menzionati giustificano l’armonizzazione delle condizioni di riconoscimento materiali e formali. La Posta e le FFS vorrebbero chiarimenti riguardo alle ripercussioni dell’obbligo di rinnovare il riconoscimento, in particolare in caso di mancato rinnovo.

Inclusion Handicap propone di aggiungere un’ulteriore condizione, ovvero che gli IdP autorizzati assicurino di non svantaggiare le persone disabili che richiedono un’eID. Un privato (B. Oldani) suggerisce di rinunciare all’assicurazione sufficiente a coprire la responsabilità civile dell’IdP. Un altro privato (D. Muster) propone invece di rendere definitivo l’elenco riportato al capoverso 4 eliminando l’espressione «in particolare su». B. Oldani suppone che gli articolo siano stati scritti da giuristi senza alcuna conoscenza di informatica e propone di rinunciare alla norma di delega al capoverso 4 e quindi all’emanazione di prescrizioni tecniche, per risolvere eventuali problemi grazie all’innovazione tecnica anziché con le prescrizioni.

6.2.3 Art. 5 Livelli di sicurezza

FR e ZH approvano la definizione di tre diversi livelli di sicurezza. TG vorrebbe che venissero realizzate eID differenti per ogni livello di sicurezza, in quanto non ritiene auspicabile il rilascio di un’unica eID con elevato grado di sicurezza, la quale, secondo il capoverso 3