Rapporto esplicativo

Cpv. 3

Gli emittenti iscrivono nel registro di base i propri dati permettendo così a un verificatore di controllare l’autenticità e l’integrità dei mezzi di autenticazione elettronica emessi dall’emittente in oggetto. Al momento dell’iscrizione, i dati sono protetti da un algoritmo crittografico pertanto non possono essere falsificati.

L’emittente e il verificatore che intendono annunciarsi in un sistema di conferma degli identificativi, iscrivono i propri dati nel registro di base. In questo caso si rinuncia a verificare l’identità dell’emittente o del verificatore prima che possa iscriversi nel registro di base. Una tale verifica comporterebbe un’onerosa procedura di autorizzazione che porterebbe a una serie inevitabile di lungaggini inutili e costose. Omettendo la verifica c’è il rischio che emittenti e verificatori possano rilasciare mezzi di autenticazione elettronici sulla base di un’identità fittizia, ma tale rischio potrebbe essere da un lato ridotto pubblicando informazioni su casi di fondato sospetto di un impiego abusivo dell’infrastruttura di fiducia di cui all’articolo 22 e dall’altro completamente escluso mediante il sistema di conferma degli identificativi di cui all’articolo 18. L’esclusione di emittenti o verificatori registrati non è tecnicamente possibile nel registro di base, ma lo è nel sistema di conferma degli identificativi di cui all’articolo 18.

Cpv. 4

Il registro di base non contiene dati concernenti i mezzi di autenticazione elettronici come i dati personali o materiali dei titolari e neppure tracce dell’emissione. Le autorità e i cittadini privati che utilizzano il registro di base non hanno accesso ai dati personali trattati nell’ambito dell’emissione dei mezzi di autenticazione elettronici.

Art. 18 Sistema di conferma degli identificativi

Cpv. 1

La Confederazione istituisce un meccanismo statale che permette di verificare se un identificativo ed eventuali chiavi crittografiche corrispondono a un emittente iscritto nel registro di base o a un verificatore interessato. Tale meccanismo costituisce il secondo elemento dell’ancora di fiducia del sistema e permette ai titolari e ai verificatori di conoscere con chi hanno effettivamente a che fare. La Confederazione potrebbe, ad esempio, utilizzare un archivio di fiducia o certificati emessi da un’autorità competente.

Un meccanismo di conferma dell’identificativo ha lo scopo di stabilire un collegamento tra il mondo virtuale e quello reale: permette di associare un identificativo tecnico iscritto nel registro di base a un’organizzazione, un ente o un cittadino privato esistente nel mondo reale. Questo meccanismo è molto importante per gli utenti e i verificatori. Non avendo necessariamente un rapporto diretto con un emittente, il verificatore può ricorrere a questo meccanismo per accettare mezzi di autenticazione elettronici solamente di emittenti affidabili. Ad esempio, l’Id-e sarà emesso da fedpol e l’identificativo tecnico dell’emittente apparirà nell’Id-e. Un verificatore ricorrerà al meccanismo di conferma dell’identificativo per assicurarsi che tale identificativo e le chiavi crittografiche dell’emittente dell’Id-e corrispondano effettivamente a fedpol.

La Confederazione si assicura che il meccanismo di conferma dell’identificativo sia accessibile a tutte le autorità e cittadini privati interessati. Questo accesso garantisce loro che l’interlocutore nel mondo virtuale è proprio l’organizzazione, l’ente o la persona che dice di essere. Permette di verificare se la controparte in una transazione è autentica.

Il sistema di conferma degli identificativi degli emittenti e dei verificatori sarà realizzato in diverse tappe. Fin dall’inizio è stata delegata alla Confederazione la competenza di confermare l’identità delle autorità federali, cantonali e comunali che agiscono in qualità di emittenti e verificatori. La Confederazione incarica un ente dell’Amministrazione federale di gestire e manutenere il sistema di conferma dell’identità. Questo ente tiene un elenco delle autorità attive come emittenti e verificatori e lo pubblica sul proprio sito aggiornandolo regolarmente.

Cpv. 2

Il Consiglio federale potrà eventualmente prevedere che la Confederazione confermi l’identificativo e le chiavi crittografiche degli emittenti e dei verificatori del settore privato. Se l’ecosistema dell’Id-e dovesse svilupparsi in proporzioni sufficienti e la domanda del settore privato diventasse abbastanza forte, questa opzione potrebbe rivelarsi necessaria. In questo modo aumenterebbe anche il livello di fiducia di cui gode l’infrastruttura nell’ambito dell’identificazione elettronica. Il Consiglio federale potrà quindi definire in un’ordinanza i requisiti applicabili alla conferma dell’identificativo di tali organizzazioni, enti e cittadini privati. Vanno inoltre pianificate le misure tecniche e organizzative da prendere in tale contesto.

Non è escluso che gli attori del settore privato decidano di introdurre, per conto proprio e separatamente, un meccanismo privato (non statale) di conferma degli identificativi; il capoverso non limita le loro attività in questo ambito.

Cpv. 3

Ogni autorità o cittadino privato interessato può consultare gli attributi degli identificativi confermati dal sistema nel quadro del controllo dei mezzi di autenticazione elettronici.

Art. 19 Applicazione per conservare e presentare i mezzi di autenticazione elettronici

La Confederazione mette a disposizione delle persone che ne fanno richiesta un portafoglio elettronico statale, ossia un’applicazione per conservare e presentare i mezzi di autenticazione elettronici. Si tratta di un’app che consente di richiedere e ottenere in modo sicuro mezzi di autenticazione elettronici, ed eventualmente anche l’Id-e, nonché archiviarli, selezionarli, combinarli e condividerli in modo trasparente e tracciabile per l'utente. Nella misura del possibile, l’implementazione del portafoglio elettronico statale rispetta gli standard attualmente fissati dall’UE.

Il titolare del mezzo di autenticazione elettronico conserva quest’ultimo in un portafoglio elettronico su un supporto di sua scelta come per esempio lo smartphone. Il verificatore può chiedere al titolare di trasmettergli determinati dati utilizzando