Rapporto esplicativo

Sezione 1 Oggetto e scopo

Art. 1

Cpv. 1

L'avamprogetto definisce il quadro giuridico dei mezzi di autenticazione elettronici in Svizzera e quindi anche dell’Id-e statale. Disciplina inoltre i requisiti dell’infrastruttura di fiducia utilizzata per l’emissione, la revoca, la verifica, la conservazione e la presentazione dei mezzi di autenticazione elettronici. Infine regola i ruoli e le competenze nella gestione e nell’utilizzo dell’infrastruttura di fiducia.

Cpv. 2

Lett. a

L'avamprogetto introduce un mezzo d’identificazione elettronico (Id-e) statale sicuro che potrà essere utilizzato tra privati cittadini e nei rapporti con le autorità pubbliche. L’Id-e permetterà al titolare di identificarsi più facilmente per effettuare transazioni nel mondo digitale, tale mezzo consente infatti di sostituire gli attuali processi di identificazione (online) molto più complessi. Essendo scaricabile sullo smartphone, l’Id-e può essere utilizzato anche nel mondo reale.

Lett. b

A garanzia della protezione dei dati, la lettera b riprende lo scopo di cui all’articolo 1 della legge del 25 settembre 2020¹⁶ sulla protezione dei dati (nLPD) e ricorda che il trattamento dei dati personali, nell’ambito del rilascio e dell’utilizzo dell’Ide, deve rispettare i requisiti in materia di protezione dei dati. Questo obiettivo è in particolare raggiunto attuando i requisiti posti dalle sei identiche mozioni intitolate «Identità elettronica statale affidabile» (cfr. 21.3124, 21.3125, 21.3126, 21.3127, 21.3128 et 21.3129) depositate da tutti i gruppi parlamentari dopo che il vecchio progetto di legge è stato respinto nella votazione del 7 marzo 2021. Secondo gli autori delle mozioni, lo strumento di identificazione elettronica statale deve rispettare i principi della privacy by design, della minimizzazione dei dati e del loro salvataggio decentralizzato (come la registrazione dei dati dei documenti d'identità presso gli utenti). La lettera b ribadisce questi requisiti come obiettivi specifici da raggiungere nel contesto della protezione dei dati personali.

La nLPD si applica al trattamento dei dati personali previsto dal presente avamprogetto. Per evitare ripetizioni e agevolare la leggibilità, le disposizioni dell’avamprogetto non rinviano ai pertinenti articoli della LPD (cfr. n. 6.8 Protezione dei dati).

Lett. c

La lettera c garantisce che la configurazione dell’Id-e e dell’infrastruttura di fiducia corrisponda all’attuale stato della tecnica.¹⁷ Utilizzando questa nozione, il legislatore mira a un elevato livello di sicurezza e di protezione dei dati da raggiungere mediante procedure avanzate. A tal fine è necessario promuovere la verifica regolare dell’aggiornamento e del livello innovativo dei provvedimenti di sicurezza implementati nonché controllarne l’efficacia rispetto agli obiettivi di protezione richiesti. Ciò significa che tali provvedimenti vanno confrontati con i prodotti di sicurezza esistenti sul mercato.¹⁸

Lett. d

Per facilitare l’ottenimento e l’impiego dell’Id-e, l’avamprogetto fissa in materia di emissione, verifica e revoca dell’Id-e nuovi standard o armonizza quelli esistenti. Mira inoltre a garantire la sicurezza dell’infrastruttura e delle procedure di emissione e di verifica degli altri mezzi di autenticazione elettronici. Tuttavia, per raggiungere questi obiettivi, lo sviluppo tecnico non va limitato; l’avamprogetto disciplina dunque la scelta della soluzione tecnica soltanto quando strettamente necessario per raggiungere gli obiettivi legislativi. Prevede in particolare una gestione decentralizzata dei dati escludendo quindi qualsiasi soluzione tecnica in base alla quale un fornitore di servizi di identificazione si interpone tra il titolare e il verificatore di un mezzo di autenticazione elettronico. In questo modo non si lasciano tracce presso tale fornitore e si concede al titolare un maggiore controllo sui suoi dati. La maggior parte degli aspetti legati alla scelta della tecnologia non è tuttavia disciplinata a livello di legge. Poiché il progresso tecnico è in rapida evoluzione, occorre garantire che l’avamprogetto possa essere attuato nel contesto tecnologico che si presenterà dopo la sua entrata in vigore ossia in un contesto che attualmente non è ancora noto. Vari aspetti da disciplinare a livello di ordinanza saranno, sotto il profilo tecnologico, molto ambigui e ancora più specifici. L'ordinanza dovrà garantire l’interoperabilità di tutti i sistemi coinvolti nella comunicazione; per farlo dovrà in particolare definire molto precisamente i formati dei dati e le interfacce. In tale contesto, sarà necessario rispettare il principio secondo cui vanno prese solamente le decisioni tecnologiche assolutamente necessarie. Nella misura del possibile dovrebbe essere lasciata agli attori coinvolti la scelta della tecnologia da utilizzare sul loro lato dell’interfaccia per formattare, memorizzare ed elaborare i dati.

Sezione 2 Id-e