EUDI Wallet: il vocabolario spiegato in modo semplice (PID, QEAA, divulgazione selettiva)

In sintesi: il portafoglio europeo di identità digitale (EUDI Wallet) arriva con il suo vocabolario, spesso in inglese e pieno di sigle. PID, EAA, QEAA, emittente, relying party, divulgazione selettiva: dietro questi termini si nascondono idee semplici. Questo glossario ti fornisce, termine per termine, la definizione chiara di ogni mattone del wallet, per capire di cosa si parla prima di preparare i tuoi percorsi.

‍

Il regolamento eIDAS 2.0, ufficialmente il Regolamento (UE) 2024/1183, istituisce un portafoglio europeo di identità digitale, o EUDI Wallet (European Digital Identity Wallet). Ogni cittadino europeo potrà conservarvi e presentare i propri dati di identità e vari giustificativi, dal proprio smartphone, in tutta l'Unione.

‍

Il problema, quando si scopre l'argomento, è il gergo. I documenti ufficiali e gli articoli tecnici accumulano sigle senza sempre spiegarle. Eppure capire questo vocabolario è il presupposto per sapere cosa cambierà il wallet, concretamente, nei tuoi percorsi di avvio della relazione. Ecco i termini chiave, definiti in modo semplice.

‍

I mattoni del wallet

Il Wallet (portafoglio)

‍

Il Wallet, o portafoglio europeo di identità digitale, è un'applicazione sullo smartphone del cittadino. Funziona come un vero portafoglio fisico: invece di riporvi una carta d'identità, un libretto di circolazione o un tesserino studentesco in plastica, l'utente vi ripone i loro equivalenti digitali, verificabili e firmati.

‍

L'idea centrale è il controllo da parte dell'utente: è lui che decide cosa condividere, con chi e quando. Nulla lascia il portafoglio senza il suo consenso. Il wallet è fornito gratuitamente da ogni Stato membro (o da un'entità da esso incaricata) e deve raggiungere un livello di garanzia elevato (vedi più avanti).

‍

Il PID (Person Identification Data)

‍

Il PID, per Person Identification Data, indica i dati di identità di base della persona: cognome, nome, data di nascita e, secondo i casi, luogo di nascita, nazionalità o identificativo nazionale.

Ciò che rende prezioso il PID è la sua origine: è emesso dallo Stato (o da un'autorità da esso designata), a partire dai registri ufficiali. È l'equivalente digitale, nel wallet, di ciò che oggi prova una carta d'identità nazionale. Il PID è il primo mattone posato nel portafoglio, quello che risponde alla domanda «chi sei?».

‍

L'EAA e la QEAA (attestazioni di attributi)

‍

Una volta stabilita l'identità di base, il wallet può accogliere altri giustificativi. Si chiamano attestazioni elettroniche di attributi, o EAA (Electronic Attestation of Attributes).

‍

Un attributo è una caratteristica precisa della persona: un indirizzo, un titolo di studio, una patente di guida, una qualifica professionale, un diritto a una tariffa ridotta. Una EAA è quindi una prova digitale e verificabile di un attributo, riposta nel wallet accanto al PID.

‍

La QEAA (Qualified Electronic Attestation of Attributes) ne è la versione rafforzata: è un'attestazione qualificata, emessa da un prestatore di servizi fiduciari qualificato, soggetto a requisiti rigorosi e supervisionato. Concretamente, una QEAA offre un valore giuridico e un livello di fiducia rafforzati rispetto a una EAA classica. La distinzione è importante: a seconda dell'uso, un'azienda potrà esigere un'attestazione qualificata anziché una semplice attestazione.

‍

L'emittente (issuer)

‍

L'emittente, o issuer, è l'entità fiduciaria che rilascia il PID o le attestazioni nel wallet. Per il PID è lo Stato o l'autorità da esso designata. Per un'attestazione di titolo di studio sarà, per esempio, l'istituto o il ministero competente; per un giustificativo di indirizzo, l'ente abilitato.

‍

L'emittente si assume la responsabilità dell'esattezza di ciò che rilascia. È lui che appone la firma crittografica sull'attestazione, ciò che la rende verificabile in seguito.

‍

La relying party (parte utilizzatrice)

‍

La relying party, o parte utilizzatrice, è l'azienda o il servizio che riceve e verifica gli attributi presentati dal wallet. È il ruolo che svolgerà la tua organizzazione quando un cliente si presenterà con il suo portafoglio europeo.

‍

Una banca che verifica l'identità di un nuovo cliente, un operatore telecom che controlla l'età e l'indirizzo, un noleggiatore che verifica una patente di guida: sono tutti relying party. Il loro compito non è più raccogliere e scrutare un documento, ma richiedere con precisione gli attributi di cui hanno bisogno, per poi verificare che la prova ricevuta sia autentica.

‍

La divulgazione selettiva (selective disclosure)

‍

È uno dei contributi più concreti del wallet. La divulgazione selettiva (selective disclosure) consiste nel condividere solo l'attributo strettamente necessario, senza rivelare il resto.

‍

L'esempio classico: provare di essere maggiorenne senza rivelare la propria data di nascita esatta. Il wallet risponde «sì, questa persona ha più di 18 anni» senza trasmettere il giorno, il mese e l'anno di nascita. Allo stesso modo, si può provare di risiedere in un dato paese senza comunicare il proprio indirizzo completo.

‍

Questa logica serve direttamente la minimizzazione dei dati: l'azienda riceve solo ciò che le è utile e il cittadino limita la propria esposizione. La prova resta verificata crittograficamente: anche ridotta a un solo attributo, resta affidabile, perché la firma dell'emittente prova l'autenticità e l'integrità del dato condiviso.

‍

Il livello di garanzia elevato (Level of Assurance high)

‍

eIDAS definisce livelli di garanzia per i mezzi di identificazione elettronica, che misurano il grado di fiducia nel fatto che una persona sia davvero chi dichiara di essere. Il portafoglio europeo deve raggiungere il livello più esigente: il livello di garanzia «elevato» (Level of Assurance high).

‍

Questo livello presuppone processi rigorosi di verifica dell'identità al momento della creazione del wallet e requisiti di sicurezza forti. In pratica, una prova di identità proveniente dal portafoglio arriva con un livello di affidabilità molto superiore a quello di una foto di un documento inviata da un cliente.

‍

A ciò si aggiunge l'interoperabilità transfrontaliera: un wallet emesso in uno Stato membro deve essere riconosciuto e verificabile in tutti gli altri. Un cittadino di un paese dell'Unione potrà identificarsi presso un servizio situato in un altro paese, senza ulteriori adempimenti.

‍

Perché questo vocabolario conta per te

‍

Questi termini non sono semplici curiosità normative: delineano il modo in cui i tuoi percorsi di avvio della relazione evolveranno.

‍

Lato azienda, sarai il più delle volte una relying party. Il tuo ruolo consisterà nel richiedere gli attributi giusti (PID, EAA o QEAA a seconda del livello di prova richiesto), verificarne la firma e trattare la risposta. La divulgazione selettiva ti impone di ripensare i tuoi moduli: invece di raccogliere il massimo delle informazioni «per ogni evenienza», richiedi con precisione ciò di cui hai bisogno, né più né meno. È un cambiamento di mentalità oltre che tecnico.

‍

Padroneggiare bene questo vocabolario permette anche di dialogare con gli interlocutori giusti e di inquadrare i tuoi progetti: saper distinguere una EAA da una QEAA, o capire cosa implica il livello di garanzia elevato, evita i malintesi al momento di definire i tuoi requisiti. Per approfondire i passi concreti, vedi la nostra guida eIDAS 2.0: come prepararsi.

‍

Infine, occorre tenere presente una cosa: il wallet fornisce una prova di identità affidabile, ma non risponde da solo a tutte le questioni di rischio. Sapere che un'identità è autentica non dice se il comportamento è sospetto, se il dispositivo è dubbio, se l'azienda di fronte è realmente solvibile, o chi sono i suoi titolari effettivi. Il vocabolario del wallet descrive un mattone di fiducia, da integrare in una catena di controllo più ampia.

‍

In conclusione

‍

Dietro le sigle dell'EUDI Wallet si nascondono nozioni accessibili: il PID per l'identità di base emessa dallo Stato, le EAA e QEAA per le attestazioni di attributi, l'emittente che rilascia e firma, la relying party che riceve e verifica, la divulgazione selettiva per condividere solo il necessario, e il livello di garanzia elevato che garantisce l'affidabilità dell'insieme.

‍

Capire questo vocabolario significa già iniziare a preparare i propri percorsi. Il portafoglio europeo non sostituisce una strategia globale di gestione del rischio: ne diventa un mattone di fiducia, da combinare con il rilevamento della frode, il controllo delle aziende e l'analisi della solvibilità.

‍

Fonti: Regolamento (UE) 2024/1183 dell'11 aprile 2024 (eIDAS 2.0), portafoglio europeo di identità digitale; Commissione europea, European Digital Identity Wallet, Architecture and Reference Framework (ARF).

‍