Con determina n. 318/2019, l’Agenzia per l’Italia Digitale ha dettato le “Linee guida per il rilascio delle identità digitali per uso professionale”; con esse si rende noto che a Spid sono state aggiunte nuove funzionalità utili all’impiego dell’identità digitale nel settore lavorativo. Le pubbliche amministrazioni e i privati potranno, infatti, da oggi verificare l’appartenenza di una persona fisica ad un’organizzazione e/o la sua qualità di professionista mediante l’identità digitale.
Le nuove linee guida Spid emanate da Agid, ai sensi dell’art. 71 del CAD, forniscono agli Identity Provider le indicazioni da seguire per il rilascio delle identità digitali per uso professionale, con cui sarà possibile comunicare mediante SPID, oltre ai dati della persona fisica, anche i dati dell’organizzazione di appartenenza per cui si sta agendo su un servizio messo a disposizione da un service provider. Per identità digitale per uso professionale si definisce, pertanto, un’identità digitale SPID contenente un attributo che dichiara tale appartenenza.
Le identità rilasciate non identificano però lo status persona giuridica, ciò significa che non costituiscono prova dei poteri di rappresentanza di una persona giuridica dei quali una persona fisica è eventualmente in possesso né provano l’appartenenza di un professionista a un determinato ordine professionale o altro elenco qualificato.
E’ possibile tuttavia che il gestore dell’identità digitale (IdP) deleghi all’organizzazione (intendendosi per tale la persona giuridica che stipula un accordo con un IdP al fine del rilascio delle identità digitali in favore di soggetti che agiscono in qualità di dipendenti o, comunque, a nome o per conto dell’organizzazione stessa), l’attività di verifica dell’identità digitale per il rilascio dell’identità digitale uso professionale per la persona giuridica.
Le identità digitali professionali possono essere di due tipi:
- identità digitali professionali della persona fisica che contiene gli attributi della persona fisica cui sono state rilasciate le credenziali di autenticazione;
- identità digitali professionali della persona giuridica che contiene gli attributi della persona giuridica e della persona fisica cui sono state rilasciate le credenziali di autenticazione.
Verifiche prima del rilascio di SPID uso professionale
Al fine di rilasciare l’identità digitale uso professionale della persona fisica, l’IdP è tenuto a verificare l’identità personale della persona fisica richiedente. Si può procedere alla verifica dell’identità anche attraverso un servizio in rete accessibile mediante SPID della medesima persona fisica, purchè le credenziali utilizzate per l’autenticazione siano state rilasciate dallo stesso IdP a cui vengono richieste le credenziali per uso professionale e siano di livello pari o superiore a quelle richieste. Una condizione che non si applica nel caso in cui siano stati stipulati specifici accordi di natura privata fra gli IdP.
Per il rilascio dell’identità digitale uso professionale per la persona giuridica, il gestore dell’identità è tenuto a:
- verificare l’identità personale della persona fisica richiedente secondo le modalità e i controlli previsti dalla normativa vigente in materia di rilascio di SPID per la persona fisica;
- verificare che il richiedente abbia titolo per richiedere l’identità digitale per la persona giuridica con modalità che devono essere approvate prima da AGID.
Per fruire dell’identità digitale uso professionale, l’IdP deve sottoscrivere un contratto con l’organizzazione richiedente; spetta all’IdP verificare l’esistenza della persona giuridica istante, l’identità e i poteri di rappresentanza del firmatario – persona fisica - del contratto.
Utenze di governo e di gestione
E’ possibile disporre di due diversi tipi di privilegi che vanno dall’accesso al sistema di gestione delle identità uso professionale (utenza di governo) a quello di gestione del sistema (utenza di gestione). Uno stesso soggetto abilitato ad un utenza di gestione non potrà però ricevere anche un utenza di governo. Il sistema di gestione sarà predisposto a cura dell’IdP e reso accessibile ai gestori e dovrà garantire la netta separazione dei ruoli.
Rilascio dell’identità
Per ottenere l’identità digitale per uso professionale per la persona giuridica, l’interessato, dopo essere stato autorizzato dall’utente di gestione:
- accede al servizio di rilascio dell’identità reso disponibile dall’IdP su canale protetto su cui inserisce il token di autorizzazione ricevuto, i dati personali e il codice di controllo (un numero di almeno tre cifre scelte dal soggetto che non può essere costituito da tre numeri identici);
- il servizio di rilascio dell’identità dell’IdP, dopo aver ricalcolato il token di autorizzazione con i dati inseriti dall’interessato e averne verificata la corrispondenza con quanto ricevuto dal sistema di gestione provvede a rilasciare l’identità digitale inviando almeno una delle credenziali SPID via sms o email ai recapiti indicati.
In ogni caso, invia all’indirizzo email dichiarato dall’interessato all’utente di governo una comunicazione in cui si informa di aver rilasciato l’identità digitale.
Le linee guida entreranno in vigore il prossimo 1 dicembre 2019.