Ventiquattrore Avvocato
la QUESTIONE
Quali misure tecniche e organizzative deve adottare, fin dalla progettazione e per impostazione predefinita, un gestore di identità digitale SPID che operi attraverso una rete distribuita e capillare di sportelli affidati a soggetti terzi (Comuni, farmacie, CAF, associazioni), designati responsabili del trattamento ex art. 28 GDPR, al fine di garantire il rispetto dei principi di minimizzazione dei dati, di limitazione della conservazione, di integrità e riservatezza, nonché degli obblighi di sicurezza e di privacy by design e by default, con riferimento all’accesso e alla conservazione dei dati personali e dei documenti dei titolari di identità digitale da parte degli operatori di sportello?
Regolamento (UE) 2016/679 (GDPR);
D.Lgs. 30 giugno 2003, n. 196 (Codice Privacy);
D.Lgs. 7 marzo 2005, n. 82 (CAD), art. 64;
D.P.C.M. 24 ottobre 2014;
Regolamenti AgID attuativi del D.P.C.M. 24 ottobre 2014: regolamento recante le modalità attuative e regolamento recante le regole tecniche;
D.Lgs. 13 agosto 2010, n. 141;
Soft law e prassi
Linee guida EDPB 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR (adottate il 23 maggio 2023), punto 60;
Linee guida EDPB 4/2019 sull’art. 25 GDPR, versione 2.0 adottata il 20 ottobre 2020 (esistenza e data verificate sul sito EDPB; non richiamate nel provvedimento, citate come riferimento di contesto);
Linee guida del Garante Privacy sulle funzioni crittografiche e conservazione delle password - provvedimento del Garante n. 594 del 7 dicembre 2023, (doc. web n. 9962283).
Il gestore di identità digitale SPID come autonomo titolare del trattamento
La disciplina di settore (art. 64 CAD; D.P.C.M. 24 ottobre 2014; regolamenti AgID sulle regole tecniche e sulle modalità attuative) attribuisce ai gestori di identità digitale (Identity Provider) il compito di identificare i richiedenti, rilasciare le credenziali e gestire il ciclo di vita delle identità. Per i trattamenti connessi a tali attività i gestori fungono da autonomi titolari del trattamento, e sono tenuti ad adottare misure tecniche e organizzative adeguate in base al principio di accountability...
