Identità digitale: standard UE per onboarding a distanza

Con la pubblicazione nella Gazzetta ufficiale dell’Unione europea del Regolamento UE 2026/798, si compie un passo decisivo verso la standardizzazione delle procedure di identificazione digitale a distanza nell’ambito dei portafogli europei di identità digitale. Il provvedimento si inserisce nel solco del Regolamento eIDAS (UE) n. 910/2014, rafforzandone l’attuazione operativa, soprattutto in relazione alla fase di onboarding, considerata particolarmente critica.

Il regolamento introduce un sistema armonizzato che impone l’adozione di mezzi di identificazione elettronica con livello di garanzia almeno “significativo”, integrati da ulteriori verifiche per raggiungere il livello “elevato”. L’obiettivo è assicurare un collegamento affidabile tra identità, dispositivo e portafoglio digitale, riducendo i rischi di frode. Nei casi in cui l’identità sia già certificata con livello elevato, non sono richiesti controlli aggiuntivi. Diversamente, per strumenti non notificati alla Commissione – come l’identificazione via video – è prevista la certificazione da parte di organismi accreditati.

Un allegato tecnico dettaglia i requisiti operativi: gestione del rischio, politiche di sicurezza, modalità di verifica dell’identità, sia assistita sia automatizzata. Particolare rilievo assume l’uso dei dati biometrici, soggetto a principi di minimizzazione, protezione by design e by default e a misure avanzate, tra cui la crittografia.

Il regolamento disciplina, inoltre, la gestione degli incidenti, la continuità operativa e la conservazione delle prove, imponendo ai prestatori di servizi (IPSP) metodologie strutturate di analisi e mitigazione dei rischi. È prevista una responsabilità condivisa anche per i fornitori dei dati. In caso di esito negativo dell’identificazione, devono essere garantiti trasparenza e strumenti di ricorso per l’utente.

Sul piano tecnico, è richiesta la verifica dei documenti tramite tecnologie NFC e sistemi certificati, con parametri rigorosi per limitare errori nei processi automatizzati.

Direttamente applicabile negli Stati membri, il regolamento sarà soggetto a revisioni periodiche per adeguarsi all’evoluzione tecnologica, nel rispetto del GDPR e dei diritti fondamentali.