La pausa agostana mi ha permesso di riflettere, quasi in “un bilancio di metà anno”, sulla regolamentazione della trasformazione digitale con riguardo all’identità digitale.
Riguardo a questo tema, prima di vedere le concrete misure, occorre svolgere alcune considerazioni su come l’identità digitale sta venendo recepita nella società. È una riflessione importante perché l’intervento regolamentare su questo tema non può essere slegato dalla concreta possibilità per i cittadini di utilizzare l’infrastruttura. Se vi sono difficoltà devono essere risolte.
Identità digitale: a che punto siamo? Obbiettivi raggiunti e prossimi step
Nei mesi appena trascorsi, il legislatore dell’agenda digitale ha agito su due binari, correlati tra loro: da una parte la risposta all’emergenza Covid, proseguendo l’opera avviata circa un anno fa con il primo Decreto Semplificazioni; dall’altra la predisposizione delle misure sulla trasformazione digitale nel PNRR, i cui primi fondi stanno arrivando proprio in questi giorni.
L’emergenza Covid ha determinato una diversità di contesto molto importante rispetto agli interventi degli anni precedenti, tante volte analizzati e commentati su queste pagine: se guardiamo alle riforme del 2016-2017 del CAD – riforme importanti in cui si posero le basi del funzionamento dell’identità digitale, della CIE, del domicilio digitale nel nostro ordinamento – le norme venivano modificate ed approvate ma, nella maggior parte dei casi, non vi era particolare supporto dell’esecutivo (di volta in volta in carica) affinché fossero attuate in tempi brevi; d’altra parte su questi temi non vi erano particolari aspettative dell’opinione pubblica. I temi del dibattito mainstream – quelli dibattuti nei talk show televisivi e sui quotidiani – erano sempre altri.
Pochi (a parte i lettori di Agendadigitale.eu) sapevano realmente cosa indicassero le sigle SPID e CIE.
Lo switch off dell’identità digitale era considerato impossibile, inattuabile, prematuro e, addirittura, in molte occasioni, non molti mesi prima dell’inizio dell’emergenza, si era pensato di dismettere SPID, a favore del sistema CIE o di nuovi – non meglio definiti – sistemi dell’identità digitale.
Identità digitale, la “spinta” del Covid
Con l’emergenza Covid tutto è cambiato radicalmente: di colpo è stato necessario abilitare tutti i cittadini a fruire dei servizi pubblici da remoto e non era pensabile farlo mandandoli allo sportello a richiedere una credenziale diversa per ogni servizio. L’identità digitale era pronta, era nata per questo ed è drammaticamente diventata una priorità reale, un’infrastruttura importantissima a garanzia dei rapporti tra Pubblica Amministrazione e cittadino ma, anche, uno strumento essenziale per i privati costretti a operare nella “nuova normalità” imposta dal Covid. Pensiamo a CAF e associazioni sindacali costretti a remotizzare un numero importantissimo di adempimenti fiscali e confrontati con il tema di utilizzare l’identità digitale come credenziale di identificazione per consentire agli utenti di apporre una firma digitale.
Perché ora rischiamo il “rigetto” dell’identità digitale
È dunque avvenuto un mutamento di contesto e atteggiamento importantissimo riguardo all’identità digitale che è testimoniato dal fatto che oggi è molto difficile trovare qualcuno che non sappia cosa siano SPID o CIE: magari si tratta di cittadini che non la hanno ancora richiesta, ma, a differenza di un anno fa, ora sono consapevoli del tema.
Soprattutto è avvenuto, di colpo, quello switch off che sembrava impossibile, senza però che le Amministrazioni fossero ancora pronte e senza che i cittadini fossero stati preparati e avvisati.
Se riprendo il paragone, che già ho fatto molte volte su queste pagine, dello switch off massivo dalla televisione analogica al digitale terrestre, in cui molti cittadini, anziani e non, con poca familiarità con la tecnologia, pur lamentando di dover imparare le procedure di utilizzo del decoder, è mancata in questo caso del tutto la comunicazione, l’avviso, la gradualità.
È un momento che deve essere gestito con molta attenzione e rispetto per lo sforzo richiesto a cittadini con scarsa familiarità con la tecnologia.
Infatti, come scrivevo poc’anzi, non si è arrivati a questo punto come risultato di una meditata strategia di diffusione dell’identità digitale e degli strumenti di cittadinanza digitale tra la popolazione: è vero il contrario e si rischia il rigetto.
Finché si è “potuto” lo Stato non ha fatto altro che comunicare messaggi “rassicuranti” per cui questi strumenti erano facoltativi, c’era sempre tempo per procurarseli e, comunque, c’erano comunque sistemi diversi dall’identità digitale per usare online i servizi dalla PA.
Si pensi alle iscrizioni online alle scuole ammesse sino a due anni fa con la sola mail ordinaria, al PIN dell’INPS, al PIN dell’Agenzia Entrate, ai vari PIN dei Comuni, ai numerosissimi servizi che online non si potevano affatto fruire, al sostanziale inutilizzo del fascicolo sanitario in molte regioni, ecc.
Spid in crescita, ma si può cantare vittoria?
Stando così le cose, c’è poco da cantar vittoria per gli “eccezionali” dati della diffusione di SPID: essendo l’adozione a tappeto stata forzata, alcuni cittadini non possono che essere “rimasti indietro”, percependo le nuove procedure come complicazioni più che come semplificazioni; probabilmente, in alcuni casi, senza adeguato supporto, l’attuale neo-utente di SPID potrebbe percepire l’identità digitale come una procedura emergenziale legata al Covid, da dismettere una volta che sia ripristinato il servizio in presenza.
Peraltro, data la necessità di rendere disponibili in poco tempo il maggior numero possibile di servizi idonei all’uso dell’identità digitale, in alcuni casi non troppa attenzione è stata data alla semplicità d’uso e, al contempo, si è percorsa la tendenza a privilegiare l’uso delle “app” sia da parte dei gestori dell’identità che da parte dei fornitori dei servizi (a partire dalla stessa app “IO” ma non solo), con la conseguenza che per usare oggi efficacemente l’identità digitale occorre avere una più che buona dimestichezza con lo smartphone ed avere capacità di usare app in multi-tasking sullo stesso (ad esempio, l’app di gestione dell’identità per identificarsi, l’app del servizio richiesto e l’eventuale app di gestione sicura delle password).
Il rischio, insomma, è che l’accelerazione impressa sui servizi basati sull’identità digitale imposta dal Covid, se non governata propriamente, possa creare diseguaglianze e discriminazioni tra chi ha più facilità e dimestichezza nell’accesso ai servizi online e chi, per qualsiasi motivo, trova difficoltà, ad esempio difficoltà a procurarsi o utilizzare i device mobili che tendono ad essere “privilegiati” come sistema di autenticazione.
I nodi di Spid, da correggere
Occorre dunque puntare l’attenzione e gli sforzi a rendere l’identità digitale stabile e semplice, a consolidare i numeri raggiunti.
Attivazioni macchinose
Le procedure di rilascio sono ancora troppo complesse e diverse tra i vari gestori dell’identità e richiedono buone abilità digitali.
Solo pochissimi gestori prevedono un rilascio integrale presso un “point” fisico senza previo espletamento di procedure online e tali punti, con l’eccezione degli uffici postali, sono poco diffusi in molte zone del territorio.
Serve ancora lo smartphone
Per molti servizi SPID (a partire dall’App IO) l’uso dello smartphone è inoltre obbligatorio mentre, a rigore, il requisito normativo per l’identità digitale prevede solo possesso esclusivo (non l’intestazione) di un numero di telefono mobile e non di avere/saper usare uno smartphone. Questo costituisce per molti una ulteriore limitazione. L’uso di uno smartphone richiede una discreta manualità e vista che, ad esempio, cittadini anziani possono non avere, trovando più semplice usare un mouse e uno schermo grande.
Sono inoltre pochi i gestori dell’identità che consentono di usare SPID con un token fisico, in luogo delle app e tale modalità rimane oscura ai più.
La comunicazione riguardo SPID, anche nella recente “campagna di comunicazione” governativa precede spot generici che spiegano sommariamente cosa sia SPID. Occorre invece insegnare ad ottenerla ed usarla.
Il sistema delle deleghe
Tutto questo per dire che, in questo particolare momento, è veramente importante uno sforzo di coordinamento e semplificazione per rendere lo SPID non solo diffuso ma anche facilmente ottenibile ed utilizzabile per tutti, non solo per chi ha familiarità con lo smartphone.
Inps, rivoluzione identità digitale: addio al PIN, sì alla delega per l’accesso
Si dovrebbe operare secondo una logica di neutralità tecnologica, realizzando delle modalità di accesso ai servizi prestati via app anche via web classico.
Una tale soluzione non sembra ancora nei piani governativi.
Il Governo non ha però del tutto trascurato la necessità di razionalizzare il sistema dell’identità digitale e renderlo più familiare alla popolazione.
Anzitutto il sistema delle deleghe, contenuto all’art. 64-ter e seguenti del CAD, come modificati dal Decreto Semplificazioni, per il quale un diverso individuo può essere delegato ad operare con l’identità digitale di un altro cittadino. Il sistema viene pensato per agevolare le operazioni tramite SPID di chi non avesse facilità o possibilità d’uso dell’identità digitale.
Come noto, la presentazione della delega deve rispettare precise modalità, prescritte dall’art.65, comma 1, Codice dell’Amministrazione Digitale. Infatti, si può procedere con istanza e dichiarazione presentata per via telematica e sottoscritte con firma digitale/ elettronica o congiuntamente a copia di documento d’identità. Oppure, ci si può recare agli sportelli delle pubbliche amministrazioni presenti sul territorio che disporranno di apposita modulistica.
Non mancano le perplessità sul fatto che una delega così delicata possa essere attribuita con una semplice copia di documento di identità. La previsione non sembra coerente con la sicurezza del processo di rilascio di SPID, che non può essere rilasciata mediante semplice istanza ex art. 65 e sembrerebbe necessario rafforzarla.
Una volta acquisita la delega al sistema di Gestione, viene generato un attributo qualificato associato all’identità digitale del soggetto delegato. Vale la pena sottolineare che questo stesso attributo vale anche per l’erogazione di servizi in modalità analogica.
Infine, attenzione: affinché suddetto Sistema di gestione deleghe possa concretizzarsi, si attende però ancora il parere del Garante Privacy, necessario in quanto il delegato verrà necessariamente a conoscere un elevato numero di dati personali del delegante.
Spid per i minori
Ulteriore fronte di intervento, che potrebbe diventare molto importante con la ripresa delle scuole, è quello dell’uso di SPID per i minori.
Sono state nel giugno scorso poste in consultazione Linee Guida Agid relativamente a SPID per i minori
Come rileva Luca Bonuccelli su queste pagine, le Linee Guida in consultazione descrivono un sistema in cui l’identità SPID per minori, è, di fatto, gestita dal genitore o tutore legale. Addirittura, entrambi i genitori/tutori (se più di uno) devono essere consenzienti al rilascio dello SPID al minore, con la conseguenza che, se fosse necessari per accedere ai servizi scolastici, alcuni minori potrebbero esserne esclusi se non vi fosse tale consenso.
Sarebbe certamente preferibile un sistema in cui fosse sufficiente il consenso di un solo genitore – come avviene per qualsiasi identità digitale privata, come avviene per la firma di un contratto da parte del minore e – addirittura – come avviene per il rilascio dei documenti di identità non validi per l’espatrio. Non si comprende veramente perché il requisito di SPID sia più elevato. Il sistema dovrebbe poi basarsi su notifiche di utilizzo, in maniera che i genitori siano informati delle attività compiute dal minore, ma non dovrebbe – nei fatti – comportare una sostituzione online del minore. Un sistema SPID per minori così rigido non sembrerebbe infatti di pratica utilità perché troppo “diverso” da qualsiasi altro analogo sistema online. Non verrebbe compreso.
La gestione degli attributi e degli aggregatori SPID
Ulteriori fronti su cui Governo ed Agid sono attesi sono quelli della gestione degli attributi e degli aggregatori SPID.
La gestione degli attributi è un elemento che, a livello normativo è, da sempre, presente nella regolamentazione di SPID ma non mai stata attuata. Nel giugno 2021 Agid ha finalmente avviato la consultazione sulle Linee Guida per i gestori di attributi qualificati che consentiranno di creare la cosiddetta “Attribute Authority”. È uno sviluppo di cui si ha forte necessità perché i servizi in cui c’è maggiore necessità di una verifica ufficiale dell’identità sono quelli in cui oltre all’identità c’è necessità di conferma di qualità e status dell’utente: una qualifica professionale (medico, avvocato, ingegnere, architetto, studente, ecc.), un titolo abilitativo (ad es. la patente), lo stato civile, l’ISEE, i titoli di studio, ecc.
La possibilità di ottenere gli attributi renderà l’identità digitale molto più di una “credenziale”, diventerà uno strumento per svolgere pratiche amministrative in un istante e questo provocherà uno snellimento effettivo della burocrazia e ne incentiverà l’adozione nei servizi privati.
Accanto alle attribute autority occorre notare come Agid sia da molto tempo al lavoro sui c.d. “aggregatori privati”. Sono da tempo attivi invece gli aggregatori pubblici.
Anche gli aggregatori privati sono un urgente necessario completamento del sistema.
Gli aggregatori sono i soggetti (pubblici o privati) che intermediano l’autenticazione tra i gestori dell’identità e quei soggetti di piccole dimensioni che non hanno le risorse o la capacità per divenire in proprio fornitori di servizi SPID: il piccolo comune, il piccolo esercente o la piccola associazione. Al momento attuale i piccoli enti pubblici possono rivolgersi agli aggregatori pubblici mentre non c’è soluzione per i piccoli privati.
Per quel che si sa, Agid sta avendo qualche difficoltà a definire gli aspetti privacy dell’attività degli aggregatori privati ma è passato veramente troppo tempo e la situazione emergenziale Covid rende veramente urgenti questi servizi, che consentirebbero, in questo particolare periodo, di gestire adempimenti e prenotazioni, dove anche i privati hanno necessità di identificazione certa. Il Governo dovrebbe dunque farsi carico di eventuali difficoltà rilevate dall’Agid anche, se necessario, con un intervento regolamentare che consenta agli aggregatori privati di partire.
Comunicazione: si può fare di più
Ulteriore fronte di intervento è quello della campagna di comunicazione cui accennavo prima.
È stata nel luglio scorso avviata dal Dipartimento Trasformazione Digitale una campagna di comunicazione sulle reti RAI e sui social potenziando il sito ufficiale dell’identità digitale.
Sembra ancora però una campagna troppo generica, che non punta a rispondere (almeno negli spot e nei video) ai principali dubbi e preoccupazioni che le fasce di popolazione con più timore o diffidenza verso l’identità digitale solitamente manifestano, non se ne evidenziano i vantaggi in maniera pratica. Ad avviso di chi scrive, si può (e si deve) far di meglio.
Ultimo tema che vorrei evidenziare è l’aspetto transfrontaliero di SPID.
Ho già scritto su queste pagine alcune perplessità sulla proposta di revisione regolamento EIDAS per creare un Digital Wallet europeo.
Conclusioni
Per i motivi che ho scritto, la situazione dell’identità digitale è delicata: siamo ad un punto critico con oltre 23 milioni di identità rilasciate.
Occorre lavorare per consolidare, semplificare ed evolvere.
Un cambiamento radicale, un sistema diverso di identità, una rivoluzione delle procedure rischia di disamorare utenti che abbiano fatto fatica per adottare questo sistema e ne stiano scoprendo solo ora i vantaggi e, dunque, anche il lavoro UE deve andare nel senso di costruire sull’esistente.
