Dopo la “bufera” della sentenza TAR che annulla parzialmente il DPCM SPID e in attesa di comprendere se essa verrà o meno appellata, si può dire che lo SPID è sopravvissuto ed è vivo e vitale. La sentenza non blocca e non rallenta in nessun caso, tutt’al più potrà consentire l’accesso all’attività di Identity Provider a una platea più ampia di soggetti e dunque aumentare le potenzialità del sistema federato.
E’ bene allora portare la riflessione a quali siano le implicazioni dell’attuazione pratica dell’identità digitale, che tipo di processo potrà essere ed a quali saranno le conseguenze dell’attuazione SPID.
Un processo di questa portata, probabilmente, in Italia è stato affrontato, su scala però molto più ridotta, solo con l’introduzione del Processo Civile Telematico grazie al quale, oggi, pur tra molte difficoltà e con innegabili problemi tecnici ed interpretativi, gli atti delle causa si notificano telematicamente ed è possibile depositare in tutti gli uffici giudiziari italiani qualsiasi atto giudiziario in via telematica e tenere monitorato l’esito sempre in via telematica.
Le analogie sono nel fatto che un numero relativamente elevato di amministrazioni ed utenti delle medesime abituati a lavorare in modo molto “cartaceo” e tradizionale, sono stati portati in un certo tempo a lavorare in maniera digitale.
Passato il giro di boa del processo telematico, con la possibilità di depositare gli atti introduttivi delle cause (alla quale tutti gli Uffici Giudiziari si stanno adeguando pur con qualche ritardo), quel che si nota è che le maggiori proteste sono verso le procedure che ne impediscono la piena attuazione (es. verso gli Uffici Giudiziari che richiedono il deposito della copia cartacea “di cortesia” di quanto depositato telematicamente o verso l’obbligo di depositare fisicamente le marche da bollo e, appunto, verso gli Uffici Giudiziari in ritardo). Gli utenti sembrano infatti favorevoli a poter digitalizzare le proprie interazioni con l’Amministrazione della Giustizia, non vi sono richieste di tornare all’antico ma di accelerare sulla completa attuazione. Il nuovo sistema porta insomma vantaggi ed efficienze, pur senza negare che vi siano ancora molti problemi attuativi ed interpretativi da risolvere.
E’ un processo che ha molte similitudini con quanto potrà avvenire con l’introduzione dello Spid con alcune interessanti differenze. E’ dunque interessante spendere qualche considerazione al riguardo.
Nel caso del processo telematico gli utenti sono professionisti e operatori del diritto che hanno necessità di utilizzare il nuovo sistema per poter lavorare. Questo costituisce un indubbio incentivo alla formazione e gli ordini professionali hanno organizzato importanti momenti di formazione adatti alle varie categorie di “utenza”. Per un avvocato che ha iniziato a lavorare con il computer davanti è stato incredibile vedere colleghi anziani partecipare ai corsi sul processo telematico, prendere appunti e, ora, alcuni direttamente, altri avvalendosi dell’aiuto dei colleghi più giovani, padroneggiarne il funzionamento e capire il nuovo metodo.
L’altra differenza fondamentale riguarda il fatto che per il processo telematico tutte le amministrazioni coinvolte (i tribunali) avevano strutture informatiche molto simili, dovendo gestire i medesimi servizi all’utenza ed è stata applicata a livello nazionale una procedura identica a servizi omogenei.
Ulteriore differenza riguarda la disponibilità dei professionisti a dotarsi di token fisici (smartcard e chiavette USB di firma digitale), sopportandone il relativo costo e di software gestionale.
L’ultima differenza riguarda le sanzioni: il mancato utilizzo del processo telematico comporta chiare sanzioni sia per gli avvocati che per l’Amministrazione. Questo è un altro motivo per cui l’attuazione sta andando bene.
Nel caso dello SPID l’attuazione è parimenti difficile ma vi sono differenze di rilievo nei predetti tre aspetti: formazione, tipologia di servizi e sanzioni le quali devono essere affrontate.
La necessità di utilizzare i servizi SPID per il cittadino non deriva necessariamente dal poter svolgere il proprio impiego o professione. Quale allora l’occasione per dotarsene? Sarà certamente possibile avere l’identità SPID in procedure apposite, ma probabilmente l’occasione più adatta sarà quella di aggiornare credenziali già in possesso del cittadino per svolgere attività quotidiane per le quali viene già identificato in maniera sicura (ad esempio per avere a che fare con banca, telefono, scuola, pensioni, tasse, posta, internet, assicurazione, ecc.); le credenziali SPID non dovrebbero cioé essere un oggetto alieno, da andare ad acquisire appositamente ma dovrebbero essere invece un portato di servizi che il cittadino usa già abitualmente, siano essi pubblici o privati.
Sarà l’interazione con un provider di servizi noto e di fiducia del cittadino a risolvere il problema della formazione all’uso. In sostanza lo SPID (idealmente) dovrebbe essere rilasciato dal provider di cui il cittadino si fida di più e i cui servizi usa con maggiore frequenza, con procedure che usano tecniche e passaggi già noti.
In tale maniera, nell’utilizzo dello SPID, in sostanza, il cittadino, utilizza uno strumento nella sostanza già noto per funzioni “nuove”. La credenziale con la quale prima si accedeva solo ai servizi online di un determinato privato o ente pubblico, nella nuova versione “SPID” funziona presso tutte le pubbliche amministrazioni e presso i principali siti privati, con modalità analoghe a quelle cui il cittadino è abituato.
Saranno questi provider a negoziare con il cittadino la dotazione tecnologica (auspicabilmente nessuna) per utilizzare lo SPID. Si spera che si possano ad esempio utilizzare le più ampie tecnologie di virtualizzazione che facciano a meno di token fisici e smartcard laddove il cittadino non ne voglia avere con sé.
E’ tuttavia dal lato dell’Amministrazione che l’attuazione sconta le maggiori complicazioni.
Probabilmente una prima difficoltà deriva dal fatto che sistemi che, nel disegno del Legislatore, erano pensati per essere approntati assieme hanno, per motivi di lentezze attuative, tempi di attuazione ora divergenti. In particolare ciò sembra accadere per il sistema dell’identità digitale e per quello dell’Anagrafe Nazionale Persone Residenti. E’ ragionevole ritenere che il sistema dell’Identità Digitale partirà prima che l’ANPR sia pienamente attuata. Dunque SPID dovrà probabilmente trovare un modo diverso per fornire agli Identity Provider una fonte autoritativa dal quale avere riscontro dell’identità. Su questo la competenza non può che essere dell’Agid, la quale ha, ai sensi del DPCM Spid, come noto, il compito di disegnare le specifiche Spid delle quali è attesa la nuova versione dopo che è stato ottenuto il parere del Garante Privacy che si presume saranno rilasciate nei prossimi mesi, anche per consentire ai potenziali Identity Provider, di conoscere con certezza quali siano i requisiti di accreditamento, anche questi rilasciati solo in bozza.
L’altro tema, come dicevo, riguarda l’adeguamento delle Pubbliche Amministrazioni: in questa sede mi soffermerò soltanto su un particolare aspetto delle conseguenze in caso di mancato adeguamento. Come noto le Amministrazioni devono adeguarsi a partire dalla disponibilità effettiva delle identità digitali. Non sembra però prevista una sanzione, se non per il fatto che il CAD prevede lo Spid come l’unica modalità di accesso online (oltre alla CNS) ai siti della Pubblica Amministrazione.
Escludendo, per ovvi motivi, che la sanzione possa essere l’impossibilità di rendere i servizi ai cittadini, l’Amministrazione che continuasse, decorsi i termini di cui al DPCM, a consentire l’accesso con credenziali diverse avendo mancato di adeguare il sito a Spid, erogherebbe servizi online su un sito non a norma di Legge, con responsabilità dei propri vertici in caso di problemi relativamente ai servizi resi. Ad esempio, se un cittadino dotato di Spid lamentasse, decorso il termine, di non poter accedere a un atto/servizio in quanto mancante della credenziale propria di quell’Amministrazione, sarebbe con ogni probabilità l’Amministrazione ad essere in difetto nei confronti del cittadino. Ogni Amministrazione potrà tuttavia contare sul risparmio dei costi derivante dal fatto che utilizzando lo Spid avrà presumibilmente meno complessità di gestione informatica poiché il sistema di autenticazione sarà gestito via identità digitale.
L’importante sarà per l’Amministrazione dare ai cittadini sicurezze sul fatto che l’identità digitale abilita il cittadino a procedure di maggiore efficienza e non crea svantaggi. Ciò è legato in qualche modo al tema del domicilio digitale. Sono in molti a sostenere che la PEC (e, in particolare la CEC-PAC) non abbia raggiunto un soddisfacente livello di diffusione presso l’utenza non professionale/aziendale per due motivi: in primo luogo perché percepita come una casella su cui la P.A. avrebbe potuto facilmente notificare anche atti “sgradevoli” con procedure estremamente rapide e che potevano cogliere il cittadino di sorpresa, in secondo luogo perché molte Amministrazioni sconsigliavano l’invio di istanze via PEC perché più lente, più complicate, meno dirette. La riforma del CAD affronterà, come noto, il tema del domicilio digitale, sinora previsto ma non attuato. L’auspicio è che il cittadino possa dichiararlo ma che lo SPID non diventi ipso iure domicilio digitale. D’altra parte molte Amministrazioni Regionali e Comunali oltre che Nazionali offrono online servizi di recupero online della corrispondenza ente-cittadino che potrebbero, se fosse attivo il domicilio digitale evitare plurime notifiche cartacee che aggravano di molto i bilanci dei vari enti.
In conclusione, sembra vi siano tutti i presupposti perché l’identità digitale possa avviarsi, ma i temi da risolvere sono molti e si dovrà prestare molta attenzione a non ripetere errori passati e far percepire correttamente il vantaggio del servizio per arrivare, questa volta, a una capillare diffusione che è il vero presupposto per la vera partenza di una vera e propria amministrazione digitale.
