Rapporto esplicativo

6.2 Compatibilità con gli impegni internazionali della Svizzera

L'avamprogetto è compatibile con gli impegni internazionali vigenti. Nel corso della sua elaborazione, il Consiglio federale si è adoperato affinché fosse mantenuta la possibilità di assicurare l’interoperabilità internazionale. Se auspicato in un secondo momento, l’Id-e svizzero potrà ottenere il riconoscimento internazionale. A tale scopo sarà necessario concludere trattati internazionali.

6.3 Forma dell’atto

In ragione dell’oggetto, del contenuto e della portata del progetto, è necessario, in virtù dell’articolo 164 capoverso 1 Cost., emanare le disposizioni relative ai mezzi di autenticazione elettronici sotto forma di legge federale.

Su richiesta dell’ambiente politico, l’avamprogetto è stato redatto in tempi molto stretti. È inoltre molto astratto a causa della sua neutralità sotto il profilo tecnologico e tocca un ambito del tutto nuovo con le disposizioni sull’introduzione di un’infrastruttura pubblica immateriale della Confederazione (cfr. art. 81 Cost.). Sarà necessario adattarlo in funzione dei risultati della consultazione, in particolare sulla base dei feedback dei test pilota e dell’impiego settoriale previsto dalle autorità pubbliche.

6.4 Subordinazione al freno alle spese

Secondo l’articolo 159 capoverso 3 lettera b Cost., il progetto richiede l’approvazione della maggioranza dei membri di ciascuna Camera, visto che comporta nuove spese ricorrenti di oltre 2 milioni di franchi.

6.5 Rispetto del principio di sussidiarietà e del principio dell’equità fiscale

L’introduzione dell’Id-e e dell’infrastruttura di fiducia è incontestata. La prevista ripartizione dei compiti e il loro adempimento non violano né il principio di sussidiarietà né quello dell’equità fiscale. Le ripercussioni finanziarie del progetto per la Confederazione superano i 10 milioni di franchi, mentre quelle per i Cantoni non sono ancora calcolabili.

6.6 Deleghe di competenze legislative

L'avamprogetto non contiene deleghe di competenze legislative. Gli articoli 6, 11 capoverso 5, 25, 26 e 27, conferiscono al Consiglio federale semplicemente la competenza di emanare disposizioni che permettono di applicare la legge.

6.7 Protezione dei dati

Le disposizioni sulla protezione dei dati (nLPD e relative ordinanze) si applicano a tutte le parti coinvolte. I singoli soggetti, gli emittenti e i verificatori del settore privato sono sottoposti alle disposizioni applicabili ai privati; la Confederazione (fedpol e altre autorità), gli emittenti e i verificatori del settore pubblico sono sottoposti alle disposizioni applicabili agli organi federali. Per evitare ripetizioni e agevolare la leggibilità, l’avamprogetto non rimanda alle pertinenti disposizioni della nLPD.

La protezione dei dati è uno degli scopi dell’avamprogetto ed è esplicitamente citata nel campo di applicazione. L’articolo 1 capoverso 2 riprende inoltre lo scopo fissato all’articolo 6 nLPD precisando, ai numeri 1-4, come tale scopo sarà attuato nel contesto dell’Id-e. Si tratta in particolare di integrare i requisiti posti dalle sei identiche mozioni intitolate «Identità elettronica statale affidabile» (cfr. 21.3124, 21.3125, 21.3126, 21.3127, 21.3128 e 21.3129) depositate da tutti i gruppi parlamentari dopo l’esito negativo della votazione del 7 marzo 2021 sulla legge sui servizi d’identificazione elettronica. Gli autori delle mozioni chiedevano che l’identità elettronica statale osservasse i principi della privacy by design, della minimizzazione dei dati e della registrazione decentralizzata dei dati (come la registrazione dei dati dei documenti d'identità presso gli utenti). L'articolo 1 capoverso 2 lettera b riformula questi requisiti come scopi specifici da raggiungere nell’ambito della protezione dei dati personali.

Inoltre, l’articolo 1 capoverso 2 lettera c dell’avamprogetto di legge mira a garantire che l’impostazione dell’Id-e e dell’infrastruttura di fiducia corrisponda allo stato attuale della tecnica. La nozione di «attuale stato della tecnica» è concettualmente diversa dagli altri stati analoghi della tecnica di cui alle espressioni «le regole riconosciute della tecnica» e «lo stato della scienza e della ricerca». In altri termini, la nozione di «stato attuale della tecnica» è più innovativa della definizione di «regole riconosciute della tecnica» e meno attuale dell’espressione «stato della scienza e della ricerca». Questa distinzione è essenziale per determinare il livello di sicurezza richiesto. Anche l’articolo 7 capoverso 2 nLPD esige l’introduzione di provvedimenti che corrispondano allo «stato della tecnica», ma non stabilisce i criteri in base ai quali determinare cosa si debba intendere per «stato della tecnica». Tuttavia non si deve dedurre che ciò che non è concretamente definito nella legge non è verificabile e quindi neppure applicabile. Utilizzando questa nozione, il legislatore mira a un elevato livello di sicurezza e di protezione dei dati da raggiungere mediante procedure avanzate. A tal fine è necessario promuovere la verifica regolare dell’aggiornamento e del livello innovativo dei provvedimenti di sicurezza implementati nonché controllarne l’efficacia rispetto agli obiettivi di protezione richiesti. Ciò significa che tali provvedimenti vanno anche confrontati con i prodotti di sicurezza esistenti sul mercato: una misura ritenuta in un dato momento corrispondere allo «stato della tecnica», in un momento successivo può essere considerata una delle «regole riconosciute della tecnica» a causa del gap innovativo in quanto tale misura è superata rispetto ad altre misure disponibili.

Per ragioni di trasparenza, l’articolo 2 elenca i dati registrati nell’Id-e ossia i dati di identificazione personale (cpv. 2) e alcuni dati supplementari (cpv. 3). I dati di identificazione personale sono: il cognome ufficiale, i nomi, la data di nascita, il sesso, il luogo di nascita, la cittadinanza e l’immagine del visto registrata in ISA e in SIMIC. Si tratta di dati reperibili nei registri ufficiali dello Stato ai quali fedpol ha accesso conformemente all’articolo 11 capoverso 3. Oltre ai dati di identifica-