SPID nuova identità digitale: il via libera del Garante

Entro la primavera del 2021, per accedere ai servizi on-line della Pubblica Amministrazione dovremo utilizzare lo SPID.

Ad oggi, anche a causa dell’emergenza Covid-19, si è registrato un vero e proprio boom di attivazioni. Tramite SPID, infatti, sono state richieste diverse misure di sostegno al reddito previste dal Decreto Cura Italia di marzo 2020 e del Decreto Rilancio di maggio 2020 (ad esempio: reddito di cittadinanza, bonus docenti, bonus baby sitter, bonus vacanze, indennità INPS per lavoratori autonomi, parasubordinati e subordinati.)

Cos’è lo SPID?

Lo SPID è il “sistema pubblico per l’Identità Digitale” promosso dall’AgID (Agenzia Italiana per il Digitale), che tramite un solo account garantisce l’accesso, ad esempio, ai servizi di Inps, Inail, Agenzia delle Entrate, alle amministrazioni pubbliche e ai servizi fiscali.

Quali sono le condizioni per poter ottenere lo SPID?

Le condizioni per poter ottenere lo SPID sono:

• Aver raggiunto la maggiore età;
• Essere in possesso di un documento di riconoscimento valido;
• Essere in possesso della tessera sanitaria e del codice fiscale
• Avere un indirizzo e-mail funzionante e di un recapito di telefonia mobile.

L’attivazione dello SPID evita il dover creare singoli account per accedere ai servizi delle differenti P.A.

L’obiettivo dello SPID

Il fine dello SPID è, quello d’incentivare l’utilizzo dei servizi pubblici digitali ed è per tale motivo che l’AgID, in un’ottica di semplificazione, ha introdotto procedure per il rilascio da remoto dell’identità digitale richiedendo al Garante per la protezione dei dati personali di valutarne la conformità rispetto alla normativa privacy.

Criticità del modello SPID e parere del Garante privacy

La criticità della procedura di identificazione degli interessati da remoto risiede, di fatto, nella mancata compresenza del richiedente e dell’operatore che deve verificarne l’identità e autorizzare il rilascio dello SPID.

Con il provvedimento n. 163 del 17 settembre 2020 il Garante della Privacy ha ammesso, ritenendola conforme alla normativa privacy, la nuova modalità di attivazione dello SPID da remoto.

La procedura è stata rafforzata da specifiche misure di sicurezza e verifiche incrociate.

In sintesi, per ottenere l’identità digitale da remoto è necessario:

• registrarsi sul sito di uno dei gestori di identità digitale accreditati da AgID (Identity Provider), tra i quali possiamo citare: Aruba, Infocert, Poste Italiane, Register.it. Alcuni di questi offrono anche il servizio a soggetti residenti all’estero;
• Eseguire una registrazione video on-line nella quale si deve esibire uno dei documenti di riconoscimento citati in precedenza, ciò al fine di evitare tentativi di furti di identità. Durante il video si deve anche citare un codice ricevuto via sms o tramite apposita app installata sul dispositivo personale;
• Effettuare un bonifico, da un proprio conto corrente italiano, indicando nella causale un codice specifico inviato dall’Identity Provider. Il bonifico è considerato ulteriore elemento di verifica dell’identità.

Come elementi di garanzia aggiuntivi, il Garante privacy ha richiesto:

• che la registrazione audio-video e tutti i dati acquisiti siano sottoposti a verifica da parte dell’operatore deputato al rilascio dello SPID;
• ulteriori e incrociati controlli “a campione” delle richieste pervenute, da parte di un secondo operatore;
• che trascorso un periodo di test di sei mesi dall’adozione della nuova procedura, l’AgID al fine di valutare l’efficacia del controllo effettuato dal secondo operatore, trasmetta un report con l’esito di queste verifiche;
• l’invio di report settimanali (redatti dagli Identity Provider) relativi alle richieste di rilascio respinte in ragione di profili critici configurabili come “tentativi fraudolenti”.

Tali riscontri potranno essere utili al Garante per valutare la necessità di individuare ulteriori misure tecniche e organizzative per rafforzare il procedimento di identificazione da remoto.