L'UE introduce registri e controlli comuni per i diplomi e gli attributi ufficiali in formato elettronico

Gli Stati membri e la Commissione europea devono utilizzare, a partire dal 19 agosto 2026, registri, cataloghi e meccanismi comuni per i certificati elettronici che confermano informazioni ufficiali su una persona o un'organizzazione. Il sistema è destinato alla verifica transfrontaliera di attributi come le qualifiche, i diritti professionali, le licenze o altri dati conservati in registri pubblici e supporterà l'uso dei portafogli europei di identità digitale.

In breve, un certificato elettronico degli attributi conferma un'informazione verificata su una persona o un'organizzazione, come una qualifica, una licenza, un diritto o una qualità ufficiale. La Commissione deve pubblicare un elenco degli organismi pubblici che rilasciano tali certificati o a nome dei quali vengono emessi. Un catalogo europeo descriverà gli attributi, il loro significato, il formato dei dati e le fonti da cui possono essere verificati. Gli Stati membri devono fornire punti elettronici attraverso i quali i fornitori qualificati possono verificare se le informazioni richieste corrispondono ai dati nei registri autentici. La fase del 19 agosto crea l'infrastruttura comune, ma non garantisce che ogni cittadino possa utilizzare immediatamente tutti i certificati in un portafoglio digitale nazionale.

Un attributo è una caratteristica, un diritto o un'informazione associata a una persona fisica o giuridica. Può trattarsi di un diploma, una qualifica professionale, un'età, un indirizzo, un'autorizzazione, una licenza, la qualità di rappresentante di un'azienda o un'altra informazione verificata.

Un certificato elettronico consente di confermare questo attributo in un formato digitale che può essere presentato e verificato. L'utente non deve sempre inviare la copia integrale del diploma, della carta d'identità o del certificato da cui proviene l'informazione.

Ad esempio, una persona potrebbe dimostrare di possedere una certa qualifica senza dover fornire tutti i dati scritti sul suo diploma. In un'altra situazione, potrebbe dimostrare di soddisfare un requisito di età senza dover comunicare la data completa di nascita, se il servizio e l'implementazione tecnica consentono questa verifica limitata.

I certificati saranno collegati all'ecosistema del portafoglio europeo di identità digitale. Il portafoglio è progettato per consentire all'utente di richiedere, ricevere, memorizzare e presentare identità, documenti e attributi elettronici.

Le regole non creano un unico portafoglio gestito centralmente dalla Commissione. Ogni Stato membro deve fornire o riconoscere soluzioni conformi al quadro europeo, e l'uso rimane legato ai servizi implementati a livello nazionale.

A partire dal 19 agosto si applica una fase che riguarda l'infrastruttura necessaria per il riconoscimento e la verifica dei certificati. Sono inclusi l'elenco dei fornitori pubblici, il catalogo degli attributi, il catalogo degli schemi di certificazione e i punti di verifica collegati alle fonti autentiche.

Le fonti autentiche sono registri o sistemi ufficiali in cui le autorità conservano le informazioni di base. Queste possono includere registri di popolazione, istruzione, professioni, aziende, licenze o altre evidenze designate dalla legislazione nazionale.

Gli Stati membri devono notificare alla Commissione gli organismi del settore pubblico che rilasciano certificati elettronici o a nome dei quali vengono emessi. La notifica consente agli utenti e ai servizi di verificare se l'emittente è ufficialmente riconosciuto.

La Commissione deve mantenere e pubblicare l'elenco di questi fornitori. La presenza nell'elenco indica che l'organismo è stato notificato nel sistema, ma non significa che qualsiasi affermazione digitale che utilizza il suo nome sia autentica.

L'autenticità di un certificato deve essere verificata tramite firme, sigilli, certificati e altri meccanismi tecnici. Il sistema deve consentire anche la verifica dello stato del documento, inclusa la possibilità che sia stato revocato.

La revoca può essere necessaria quando l'informazione non è più valida, l'utente richiede l'annullamento, la sicurezza del documento è stata compromessa o la legislazione impone il suo ritiro.

Il meccanismo di revoca deve essere progettato in modo da ridurre la possibilità di monitoraggio ingiustificato dell'utente. La verifica della validità non dovrebbe trasformarsi in un sistema in cui l'emittente apprende automaticamente ogni servizio a cui la persona ha presentato il certificato.

Il catalogo europeo degli attributi descriverà le informazioni che possono essere certificate. Per ogni attributo possono essere indicati il nome, il significato, l'identificatore tecnico, il tipo di dati e le regole di utilizzo.

Un nome comune è importante per l'interoperabilità. Se gli Stati utilizzano termini e formati incompatibili per la stessa qualifica o autorizzazione, un servizio di un altro paese non può interpretare automaticamente l'informazione.

Il catalogo non trasforma automaticamente le qualifiche nazionali in qualifiche identiche e non modifica le regole di riconoscimento professionale. Aiuta i sistemi informatici a comprendere quali informazioni vengono presentate e come possono essere verificate.

Un secondo catalogo descriverà gli schemi di certificazione. Uno schema stabilisce il modo in cui un certo tipo di certificato è emesso, verificato, aggiornato e governato.

Il catalogo può includere informazioni sul modello di fiducia, le responsabilità dei partecipanti, gli standard utilizzati e le versioni successive dello schema. La registrazione di schemi è volontaria, alle condizioni del regolamento.

Gli Stati membri devono creare meccanismi attraverso i quali i fornitori qualificati di servizi di fiducia possano verificare gli attributi nelle fonti autentiche. La verifica può avvenire direttamente o tramite intermediari designati.

Il punto di verifica deve poter confermare se le informazioni presentate corrispondono ai dati nel registro ufficiale e identificare la fonte utilizzata. Le risposte devono poter essere elaborate elettronicamente e fornite in un tempo adeguato.

L'accesso ai registri non è illimitato. Gli Stati possono imporre meccanismi di controllo per prevenire richieste illegali, eccessive o senza legame con l'emissione di un certificato richiesto dall'utente.

Le regole generali sulla protezione dei dati continuano ad applicarsi. Un fornitore non può verificare qualsiasi informazione su una persona solo perché ha accesso tecnico a un punto di verifica.

L'utente deve essere coinvolto nella richiesta e presentazione del certificato. I dati trattati devono essere limitati a ciò che è necessario per il servizio concreto.

I certificati qualificati sono emessi da fornitori che soddisfano requisiti rigorosi del quadro europeo sui servizi di fiducia. Essi beneficiano degli effetti giuridici e del riconoscimento previsti dalla legislazione europea.

Esistono anche certificati emessi da organismi pubblici o a nome di essi, sulla base di registri autentici. Gli Stati membri devono dimostrare che questi organismi offrono un livello di affidabilità e fiducia comparabile ai requisiti pertinenti.

Le norme tecniche includono standard per la sicurezza, l'identificazione dell'emittente, la protezione dell'integrità dei dati e l'interoperabilità con i portafogli digitali. Questi standard mirano a garantire che un certificato emesso in un paese possa essere interpretato e verificato in un altro.

L'applicazione a partire dal 19 agosto non significa che qualsiasi diploma, licenza o certificato esistente diventi automaticamente un certificato elettronico europeo. L'autorità responsabile deve sviluppare il servizio, collegare i registri e rispettare le specifiche tecniche.

La disponibilità varierà tra Stati e tra categorie di attributi. Alcuni registri sono già digitalizzati e interoperabili, mentre altri richiedono modifiche tecniche e amministrative.

Neppure i servizi privati sono obbligati ad accettare immediatamente qualsiasi certificato per qualsiasi transazione. Gli obblighi di accettazione dipendono dal quadro europeo dell'identità digitale, dal tipo di servizio e dal calendario applicabile.

I certificati possono ridurre il numero di copie di documenti inviati via e-mail o caricati ripetutamente su piattaforme. Possono consentire la verifica automatica e la divulgazione di un volume minore di dati.

Il beneficio dipende però dall'implementazione corretta. Un sistema mal configurato potrebbe richiedere più informazioni di quelle necessarie o potrebbe creare rischi di correlazione delle attività dell'utente.

La fase del 19 agosto stabilisce gli strumenti comuni attraverso i quali Stati, fornitori e servizi potranno costruire lo scambio transfrontaliero di attributi verificati. L'uso su larga scala dipenderà dal lancio dei portafogli, dal collegamento dei registri e dallo sviluppo di servizi concreti.