L’European Digital Identity Wallet (EUDI Wallet) è il pacchetto tecnologico che l’Europa intende rendere obbligatorio entro il 24 dicembre 2026. Si tratta, in sostanza, di un’applicazione digitale pensata per farci portare con noi in tutto il continente le nostre identità e credenziali—dal codice fiscale alla patente, passando per il titolo di studio. L’obiettivo è superare l’attuale zoo di sistemi frammentati (come SPID e CIE) offrendo interoperabilità e, almeno teoricamente, la possibilità di mostrare solo un attributo specifico (ad esempio, ‘sono maggiorenne’) senza esporre il dato completo (come la data di nascita). La narrazione ufficiale ruota attorno al concetto di ‘self-sovereign identity’, ovvero il cittadino come sovrano dei propri dati. Però, dietro questa splendida promessa di controllo personale, si annidano nodi legali e tecnici che meritano un’analisi chirurgica. L’architettura del sistema coinvolge almeno tre attori principali: il ‘wallet provider’ (lo Stato o l’ente che distribuisce l’app), l”attestatore di attributi’ (l’ente che emette le credenziali, tipo l’università o la banca), e la ‘relying party’ (il soggetto che verifica l’identità, come un hotel o un e-commerce). Se in teoria il flusso è ben controllato e ‘privacy-preserving’, i problemi sorgono nei dettagli che questo schema semplifica. La domanda cruciale, e quella che fa sudare i giuristi, è: chi è il titolare del trattamento dei dati? La risposta, purtroppo, non è un semplice ‘lui’ o ‘lei’, ma un complesso ‘dipende’. Ogni attore ha un ruolo distinto, ma le politiche di conservazione e il potenziale di tracciamento dei dati sono un campo minato. La commistione tra i requisiti del GDPR e l’eIDAS 2.0 solleva interrogativi fondamentali sulla titolarità, sui metadati e sul tracciamento dei nostri percorsi digitali.

🇬🇧 Summary in English

The European Digital Identity Wallet (EUDI Wallet) is set to become an EU standard, mandatory for member states by December 24, 2026. At its core, it’s a digital application designed to allow citizens to carry and share essential personal attributes—everything from their tax code to their driver’s license—seamlessly across the continent. The promise is revolutionary: to finally ditch the fragmented mess of existing identity systems (think SPID or various proprietary credentials) and offer both cross-border interoperability and ‘selective minimization’—the ability to prove a fact (like ‘I am over 18’) without revealing the underlying data (like the actual birth date). The official line is one of empowerment: ‘self-sovereign identity,’ positioning the citizen as the master of their own data. However, beneath this glossy veneer of personal control, a host of legal and technical quagmires lurk, demanding a closer, critical look. The system operates across three key players: the ‘wallet provider’ (the state or entity distributing the app), the ‘attribute issuer’ (the entity generating the verifiable credentials, e.g., a university or a bank), and the ‘relying party’ (the subject verifying the identity, like a hotel or an online store). While the framework seems architecturally robust and ‘privacy-preserving,’ the real trouble surfaces in the fine print. The biggest sticking point is legal accountability: who owns the data processing responsibility? The answer is messily complex. Each involved actor—the wallet provider, the issuer, and the verifier—has distinct roles, but their data retention policies and the potential for tracking our digital movements are major tripwires. The intersection of GDPR requirements and eIDAS 2.0 raises deep questions about data ownership, metadata collection, and the permanence of our digital trails.

Leggi l’articolo originale su Agenda Digitale →

Fonte: Agenda Digitale | Argomento: Cybersecurity

#tecnologia #innovazione #technews