Per anni le imprese hanno chiesto ai clienti la stessa cosa: una copia del documento d’identità, il codice fiscale, una firma, un certificato, una delega. Ogni volta da capo. Ogni volta raccogliendo più dati del necessario e affidandosi spesso a documenti inviati via e-mail, controlli manuali e archivi difficili da aggiornare.
Il Wallet europeo, o anche Portafoglio Europeo di Identità Digitale, nasce per cambiare questo modello.
Non sarà soltanto una nuova applicazione per accedere ai servizi online. Sarà uno strumento europeo per conservare e condividere dati identificativi, attestati di attributi, titoli, licenze, autorizzazioni e documenti, con la possibilità di dimostrare soltanto ciò che serve per una determinata operazione.
Per le imprese la questione non è, quindi, soltanto tecnologica. È organizzativa, commerciale e legale.
La domanda da porsi non è “quando arriverà il wallet?”. E: quando i nostri processi saranno pronti ad accettarlo?
Indice
Le due date da segnare in agenda
Il regolamento (UE) 2024/1183 ha introdotto nel regolamento eIDAS il quadro europeo dei portafogli di identità digitale (regolamento (UE) 2024/1183).
24 novembre 2026 → Stati membri
La prima scadenza riguarda gli Stati membri: ciascuno dovrà mettere a disposizione almeno un Portafoglio Europeo di Identità Digitale entro 24 mesi dall’entrata in vigore degli atti di esecuzione tecnici previsti dal regolamento. Considerata l’entrata in vigore degli atti di esecuzione adottati nel novembre 2024.
24 novembre 2027 → determinate imprese private
La seconda scadenza riguarda determinate imprese private. I prestatori che, per legge o per contratto, devono utilizzare l’autenticazione forte dell’utente per l’identificazione online dovranno accettare il wallet, su richiesta volontaria dell’utente, entro 36 mesi dall’entrata in vigore degli stessi atti di esecuzione.
Sono interessati, in particolare, settori quali banche e servizi finanziari, trasporti, energia, sanità, sicurezza sociale, acqua potabile, servizi postali, infrastrutture digitali, istruzione e telecomunicazioni. Il regolamento esclude dall’obbligo le microimprese e le piccole imprese nei casi previsti dalla disciplina (art. 5-septies del regolamento (UE) 2024/1183).
Per le imprese, dunque, il 24 novembre 2027 non è una data valida indistintamente per tutti. È il termine ordinario per i soggetti privati rientranti nell’ambito applicativo dell’obbligo. Un’impresa che scelga di adottare volontariamente il wallet, oppure che operi in un settore soggetto a regole ulteriori, potrebbe dover intervenire prima.
E il termine non significa che l’adeguamento possa iniziare il 23 novembre 2027. Significa che, entro quella data, il servizio dovrebbe essere già in grado di funzionare.
Non è una carta d’identità nel telefono
Il wallet europeo consente all’utente di conservare, gestire e convalidare dati di identità personale e attestati elettronici di attributi, oltre a firmare con firma elettronica qualificata o apporre sigilli elettronici qualificati.
La differenza rispetto a una copia digitale del documento è sostanziale.
Una copia comunica tutto ciò che il documento contiene. Il wallet dovrebbe consentire di comunicare soltanto ciò che serve per lo specifico servizio.
Per verificare che un cliente sia maggiorenne, l’impresa potrebbe ricevere la conferma del requisito senza conoscere la data di nascita. Per verificare che un professionista possieda una determinata abilitazione, potrebbe essere sufficiente ricevere l’attestato dell’attributo, senza acquisire l’intero documento d’identità. Per verificare i poteri di rappresentanza di una società, il sistema potrebbe restituire il dato necessario all’operazione senza costringere l’utente a trasmettere visure, deleghe e documenti separati.
Non si passa semplicemente dalla copia cartacea alla copia digitale. Si passa dalla raccolta indiscriminata di documenti alla verifica selettiva dei requisiti.
Il ruolo dell’impresa: parte facente affidamento
L’impresa che utilizzerà il wallet per offrire un servizio sarà una “parte facente affidamento sulla certificazione”. Non potrà quindi limitarsi a integrare un pulsante nel proprio sito.
Dovrà registrarsi nello Stato membro in cui è stabilita, indicare la propria identità, i dati di contatto, l’uso previsto del wallet e i dati che intende richiedere agli utenti. Non potrà chiedere informazioni diverse da quelle indicate nella registrazione e dovrà identificarsi nei confronti dell’utente.
Dovrà inoltre verificare l’autenticità e la validità dei dati di identificazione e degli attestati ricevuti. La responsabilità della verifica non scompare perché il dato proviene da un’infrastruttura europea.
Questo avrà una conseguenza precisa: la richiesta di dati non potrà più essere lasciata alla discrezionalità dell’operatore che gestisce il singolo onboarding.
L’impresa dovrà decidere a monte:
• quale requisito è necessario per ciascun servizio;
• quale attributo deve essere richiesto;
• per quale finalità;
• chi è autorizzato a richiederlo;
• per quanto tempo può essere conservato;
• cosa accade se l’attestato è scaduto, revocato o non verificabile.
Il wallet renderà visibile una domanda che molte organizzazioni non hanno ancora formalizzato: quali dati servono davvero per concludere questa operazione?
La minimizzazione dei dati diventa una realtà operativa
Il regolamento collega il wallet ai principi di controllo dell’utente, divulgazione selettiva, separazione dei dati e tracciabilità delle transazioni. L’utente dovrà poter vedere con quali soggetti ha interagito e quali dati ha condiviso; potrà chiedere la cancellazione dei dati ricevuti e segnalare una richiesta apparentemente illecita o sospetta all’autorità di protezione dei dati.
Per l’impresa questo significa che non sarà sufficiente aggiornare l’informativa privacy. Occorrerà ridisegnare i flussi di dati.
L’azienda dovrà essere in grado di dimostrare perché ha richiesto un determinato attributo, perché lo ha conservato e per quale periodo. Dovrà inoltre evitare di trasformare il wallet in una nuova fonte di raccolta indiscriminata.
Chiedere l’intero documento quando sarebbe sufficiente la verifica della maggiore età, della residenza, di una licenza o di un potere di rappresentanza non sarà soltanto inefficiente. Potrà essere contrario alla logica della minimizzazione e alla finalità stessa del wallet.
Quali imprese devono muoversi prima
L’obbligo ordinario di accettazione riguarda le imprese private che sono tenute, per legge o per contratto, a utilizzare l’autenticazione forte dell’utente per l’identificazione online. La disciplina richiama, tra gli altri, i settori dei trasporti, dell’energia, delle banche, dei servizi finanziari, della sicurezza sociale, della sanità, dell’acqua potabile, dei servizi postali, delle infrastrutture digitali, dell’istruzione e delle telecomunicazioni.
Le microimprese e le piccole imprese sono escluse nei casi previsti dal regolamento. L’esclusione, però, non impedisce l’adozione volontaria del wallet e non elimina la necessità di verificare eventuali obblighi derivanti da normative settoriali o da rapporti contrattuali.
Le piattaforme online di dimensioni molto grandi che richiedono l’autenticazione degli utenti dovranno accettare e agevolare l’uso del wallet quando l’utente lo richieda, sempre nel rispetto dei dati minimi necessari per il servizio.
Per tutte le altre imprese, l’adozione potrà essere volontaria. Ma il vantaggio competitivo potrebbe essere rilevante: onboarding più rapido, minori controlli manuali, migliore affidabilità degli attributi e maggiore facilità nelle operazioni transfrontaliere.
Il piano di adeguamento non può iniziare dalla tecnologia
La prima attività non è acquistare un software. È fare un inventario.
- Mappare i processi di identificazione. L’impresa dovrebbe censire onboarding dei clienti, accesso alle aree riservate, apertura di rapporti, gestione dei fornitori, selezione del personale, firma dei contratti, verifica di licenze, qualifiche e poteri di rappresentanza.
- Costruire un catalogo degli attributi. Per ogni servizio occorre indicare il requisito da verificare e il dato minimo necessario. “Identità completa” non è un requisito sufficiente: bisogna capire se servono età, residenza, cittadinanza, qualifica, licenza o potere di rappresentanza.
- Definire le richieste autorizzate. L’impresa dovrebbe predisporre una matrice che colleghi servizio, finalità, base giuridica, attributo richiesto, soggetti autorizzati, periodo di conservazione e procedura di cancellazione.
- Coinvolgere legal, privacy, sicurezza e IT. Il wallet non è un progetto del solo reparto informatico. Ogni richiesta di attributi ha una finalità giuridica, una base di trattamento, un rischio di sicurezza e una conseguenza sull’esperienza del cliente.
- Rivedere i contratti con i fornitori. Identity provider, servizi fiduciari, cloud provider e integratori tecnologici dovranno essere valutati per autenticazione, conservazione, revoca, gestione degli incidenti, audit, subfornitura e cessazione del servizio.
- Preparare la gestione delle anomalie. Un sistema pronto non verifica soltanto l’attestato valido. Deve gestire attestati scaduti o revocati, dati discordanti, identità non corrispondenti, wallet indisponibili e utenti che scelgono strumenti alternativi.
- Documentare le operazioni. L’impresa dovrà poter dimostrare quale richiesta ha formulato, quali dati ha ricevuto, quale verifica ha eseguito e perché la conservazione era necessaria.
- Formare il personale. L’operatore che chiede una copia del documento “per abitudine” può vanificare la minimizzazione progettata dal sistema. La formazione dovrà riguardare sia il funzionamento tecnico sia i limiti giuridici delle richieste.
La vera scadenza è organizzativa
Il 24 novembre 2026 riguarda la disponibilità del wallet da parte degli Stati. Il 24 novembre 2027 riguarda, in via ordinaria, l’accettazione da parte di determinate imprese private.
Ma la scadenza più importante per un’azienda è quella interna: il giorno in cui il consiglio di amministrazione, la direzione, il reparto IT, il DPO e le funzioni legali dovranno essere in grado di rispondere a quattro domande semplici.
Quali dati chiediamo? Perché li chiediamo? Chi li verifica? Per quanto tempo li conserviamo?
Se l’impresa non sa ancora rispondere, il problema non è il wallet. È il processo di gestione dell’identità digitale.
Tre cose da ricordare
Il wallet europeo non sarà una nuova modalità di login. Sarà una nuova infrastruttura per verificare identità e attributi, condivisione selettiva dei dati e firma digitale.
Il 24 novembre 2026 è la scadenza di riferimento per la disponibilità del wallet da parte degli Stati; il 24 novembre 2027 è la scadenza ordinaria per l’accettazione da parte dei prestatori privati obbligati all’autenticazione forte, con le esclusioni previste per microimprese e piccole imprese.
Per le imprese prepararsi significa mappare i processi, ridurre le richieste superflue, adeguare i sistemi, formare il personale e documentare ogni verifica.
La nuova realtà digitale non premierà chi raccoglie più informazioni. Premierà chi saprà dimostrare di aver bisogno di meno dati, con maggiore affidabilità e maggiore controllo.
