Legge federale sui servizi d’identificazione elettronica

Riassunto

Messaggio del 1 giugno 2018 concernente la legge sui servizi d’identificazione elettronica

Situazione iniziale

Per acquistare merci o servizi su Internet è di norma necessario dimostrare la propria identità. Per farlo sono previste oggi diverse procedure, spesso comprendenti un profilo utente e una password. In Svizzera nessuna di queste procedure è tuttavia disciplinata da una legge o può contare sul fatto che la Confederazione ne garantisca la sicurezza e l'affidabilità. Consiglio federale e Parlamento hanno perciò elaborato una legge che disciplina l'identità elettronica riconosciuta dalla Confederazione, la cosiddetta Ie. Contro la legge è stato chiesto il referendum; la votazione si svolgerà il 7 marzo 2021.

Una corretta identificazione in Internet è sempre più importante. Il numero di operazioni effettuate in rete è in costante aumento: si spazia dall'acquisto di biglietti per il trasporto pubblico e le ordinazioni su piattaforme di vendita per corrispondenza, all'utilizzo di servizi statali. La popolazione deve poter usufruire di queste offerte in modo semplice e sicuro. Animato dal desiderio di stabilire regole chiare al riguardo, in occasione della seduta del 1° giugno 2018 il Consiglio federale ha quindi sottoposto al Parlamento un relativo disegno di legge.

Il disegno del Consiglio federale affida allo Stato il compito di verificare e confermare l'identità dell'utente. Lo sviluppo e il rilascio dei supporti tecnologici concreti, in cui saranno registrate le identità digitali, sono tuttavia affidati a fornitori privati, i cosiddetti fornitori di identità.

È inoltre previsto che lo Stato verifichi i fornitori di identità e le soluzioni da loro proposte, nel quadro di una severa procedura di riconoscimento, e li sottoponga a controlli periodici. Tale compito è assolto da un servizio di riconoscimento integrato nel Dipartimento federale delle finanze.

Durante il trattamento e l'utilizzo dell'identità digitale devono essere rispettate le disposizioni vigenti in materia di protezione dei dati. I dati d'identificazione personale possono essere trasmessi a terzi solo una volta ottenuto l'espresso consenso dei clienti a cui appartengono.

Il disegno del Consiglio federale prevede inoltre che l'Ie non possa essere trasferita a terzi e che il suo titolare sia tenuto ad adottare le misure necessarie e ragionevolmente esigibili, date le circostanze, per impedirne l'impiego abusivo.

Deliberazioni

Il Consiglio nazionale esamina per primo la legge nella sessione primaverile del 2019. Una minoranza rosso-verde propone di rinviare l'oggetto al Consiglio federale con l'incarico di elaborare un disegno che sancisca a chiare lettere che il rilascio dell'Ie è un compito statale, eventualmente delegabile a privati mediante un mandato di prestazioni. Il rilascio del passaporto è compito dello Stato - sottolinea la relatrice della minoranza Min Li Marti (S, ZH) - perché dunque prevedere una soluzione diversa per il passaporto elettronico? Non farsi carico di tale compito equivale ad abdicare al proprio ruolo, conclude la deputata. Chi si oppone al rinvio al Consiglio federale rileva tuttavia che il settore privato è più vicino alle esigenze degli utenti e alle tecnologie digitali e che lo Stato è comunque coinvolto nel processo, dato che l'identificazione è assicurata da un'interfaccia facente capo a fedpol. La proposta di rinvio è alla fine respinta con 131 voti contro 53 e 2 astensioni.

Nell'ambito della deliberazione di dettaglio il Consiglio nazionale apporta varie modifiche al disegno. Tra le più significative figura l'introduzione dell'obbligo per i fornitori di identità di rilasciare l'Ie a chiunque adempia le condizioni personali previste dalla legge. Tale modifica viene adottata nonostante la consigliera federale Keller-Sutter abbia sottolineato gli inconvenienti di un obbligo legale di contrarre. Il Consiglio nazionale iscrive inoltre nella legge la possibilità di richiedere l'Ie presso tutti gli enti che rilasciano il passaporto o la carta d'identità. È infine ammessa la comunicazione dei dati a terzi, se questi ultimi li trattano su incarico dei fornitori di identità.

Nella votazione sul complesso il Consiglio nazionale approva il progetto con 128 voti contro 48 e 4 astensioni. Ad eccezione di un deputato, i gruppi socialista ed ecologista votano compatti contro la legge.

Durante la sessione estiva del 2019 è il Consiglio degli Stati ad occuparsi della legge. Anita Fetz (S, BS) propone di rinviarla al Consiglio federale con l'incarico di elaborare un disegno che sancisca espressamente che il rilascio dell'Ie è un compito dello Stato e affidi tale incombenza a un ente pubblico. L'identificazione elettronica dev'essere sicura e affidabile, afferma la consigliera, aggiungendo che, al pari del passaporto rosso, anche l'Ie dev'essere rilasciata dallo Stato. La popolazione nutre del resto nei confronti dello Stato una fiducia maggiore di quella che ripone negli operatori privati. La consigliera federale Keller-Sutter attira tuttavia l'attenzione sul fatto che pressoché nessun Paese ha affidato la gestione dei sistemi Ie allo Stato, giacché questo non è in grado di adeguarsi con la necessaria velocità agli sviluppi tecnologici. Puntualizza inoltre che l'Ie non è un passaporto elettronico, ma un un login qualificato. La proposta di rinvio è quindi respinta con 32 voti contro 7.

Nella deliberazione di dettaglio la Camera si allinea alla posizione della propria Commissione, decidendo di affidare la vigilanza sui fornitori di identità a una commissione indipendente (la COMIe) anziché, come previsto dal disegno del Consiglio federale, a un servizio facente parte dell'Amministrazione federale. L'istituzione di una commissione indipendente è finalizzata a rafforzare la fiducia nell'Ie e la sua reputazione, nonché a rendere maggiormente visibile il ruolo dello Stato. Il Consiglio degli Stati decide inoltre di iscrivere nella legge che il Consiglio federale può incaricare un'unità amministrativa di gestire un proprio sistema per il rilascio di Ie (il disegno del Consiglio federale lo consentiva soltanto se non vi erano fornitori riconosciuti per i livelli di sicurezza più elevati). Per garantire l'accesso all'Ie a un'ampia fascia della popolazione, è poi previsto che la Confederazione possa acquisire partecipazioni in imprese che rilasciano Ie. Il Consiglio degli Stati stralcia inoltre dal disegno il divieto di trasferire l'Ie a terzi e il relativo obbligo di diligenza espressamente previsto per gli utenti. Inasprisce infine le disposizioni concernenti la comunicazione dei dati, stabilendo che i fornitori di identità non possano comunicare i dati a terzi né possano utilizzarli per scopi diversi da quelli previsti.

Nella votazione sul complesso la Camera alta approva il progetto con 33 voti contro 4 e 2 astensioni.

Nel corso della sessione autunnale del 2019 il Consiglio nazionale ribadisce, in linea con il disegno del Consiglio federale, il suo sostegno al divieto di trasferire a terzi l'Ie e al relativo obbligo di diligenza degli utenti. Boccia inoltre l'istituzione di una commissione indipendente: a giudizio della maggioranza, rappresentata da Christa Markwalder (R, BE), oltre a non produrre alcun beneficio concreto, ciò comporterebbe infatti una burocratizzazione e costi più elevati. A differenza del Consiglio degli Stati, che aveva proposto un divieto assoluto, il Consiglio nazionale è inoltre dell'avviso che il trattamento di dati da parte di terzi debba essere permesso a determinate condizioni. In caso contrario sarebbe infatti impossibile assicurare la divisione del lavoro all'interno di un gruppo o l'assistenza ai clienti. Non vi è accordo tra le Camere neppure per quanto concerne le condizioni alle quali un'unità amministrativa è autorizzata a gestire un sistema per il rilascio di Ie. Come il Consiglio federale, il Consiglio nazionale subordina tale possibilità all'assenza di fornitori di identità riconosciuti per i livelli di sicurezza più elevati.

Nel corso della stessa sessione il progetto passa nuovamente al vaglio del Consiglio degli Stati. Pur pronunciandosi a favore di un esplicito obbligo di diligenza degli utenti, la Camera alta ribadisce lo stralcio del divieto di trasferire l'Ie a terzi. Introduce inoltre l'obbligo di prevedere un'alternativa all'Ie per i login e le altre procedure di identificazione elettronica con un basso livello di sicurezza.

Il Consiglio degli Stati propone una soluzione di compromesso anche per quanto concerne il trattamento dei dati. Decide infatti che i terzi possano trattare i dati nella stessa misura prevista per i fornitori di identità. Per il resto la Camera alta riconferma le decisioni prese in precedenza, stabilendo ad esempio che la Confederazione possa incaricare un'unità amministrativa di gestire un sistema per il rilascio di Ie. A differenza del Consiglio nazionale, non subordina tale facoltà a condizioni particolari. Ribadisce inoltre che all'occorrenza la Confederazione può acquisire partecipazioni in imprese che rilasciano Ie e ripropone l'istituzione di un'autorità di vigilanza indipendente.

Poiché permangono divergenze tra i due rami del Parlamento, il Consiglio nazionale torna a occuparsi della legge nel corso della sessione autunnale del 2019, decidendo questa volta di approvare l'istituzione di una commissione di vigilanza indipendente. Si allinea al Consiglio degli Stati anche per quanto concerne l'obbligo di prevedere un'alternativa all'Ie. Pur essendo previsto solo per il livello di sicurezza inferiore, l'obbligo in questione dovrebbe tuttavia applicarsi alla maggioranza delle applicazioni, tra cui in primis gli acquisti online.

Il Consiglio nazionale capitola anche sulla questione del divieto di trasferire a terzi l'Ie, che viene dunque stralciato dalla legge. La decisione è facilitata dal fatto che il Consiglio degli Stati ha precedentemente approvato la previsione degli obblighi di diligenza per gli utenti. A giudizio della maggioranza, tali obblighi implicherebbero comunque la non trasferibilità dell'Ie. La Camera bassa accoglie con favore anche il compromesso del Consiglio degli Stati riguardo al trattamento dei dati da parte di terzi, secondo cui questo è ammesso nella stessa misura consentita a chi rilascia l'Ie. Grazie a tale compromesso divengono possibili la fornitura di servizi da parte di ditte esterne e il trattamento dei dati all'interno di un gruppo.

Restano controverse le condizioni alle quali la Confederazione può acquisire partecipazioni in un fornitore di identità e alle quali il Consiglio federale può incaricare un'unità amministrativa di rilasciare Ie. Le Camere raggiungono infine un'intesa anche a questo riguardo: viene infatti accolta la proposta del Consiglio nazionale, secondo cui la Confederazione può avvalersi di tali facoltà soltanto se le Ie offerte dai privati non permettono di raggiungere gli scopi previsti dalla legge.

Nella votazione finale la legge è adottata dal Consiglio nazionale con 144 voti contro 51 e 2 astensioni, e dal Consiglio degli Stati con 35 voti contro 2 e 8 astensioni. I voti contrari provengono dai gruppi socialista ed ecologista.

(Fonti: Bollettino ufficiale, ATS)

Il 7 marzo 2021 il progetto è stato respinto in votazione popolare dal 64,4 % dei votanti.