L’Agenzia per l’Italia Digitale (AgID) ha deliberato l’emanazione del regolamento che disciplina l’adesione al sistema pubblico per la gestione dell’identità digitale di cittadini e imprese (SPID) da parte dei soggetti aggregatori.
Il presente regolamento stabilisce le norme e i requisiti che i soggetti pubblici e privati devono rispettare per aderire al sistema SPID in qualità di aggregatori di servizi pubblici o privati. Il procedimento di adesione e di cessazione dell’attività viene delineato in dettaglio.
Gli aggregatori di servizi pubblici o privati, insieme ai gestori dell’identità digitale, i gestori di attributi qualificati, i fornitori dei servizi, e i soggetti da essi aggregati, costituiscono l’insieme aperto di cui all’articolo 64, comma 2-ter del CAD. Queste categorie formano un sistema cooperante che consente loro di comunicare utilizzando meccanismi di interazione, standard tecnologici e protocolli stabiliti dal DPCM 24 ottobre 2014 e dai regolamenti attuativi emanati da AgID.
L’attività tecnica dell’aggregatore può essere svolta attraverso due modelli organizzativi alternativi: nella modalità light, l’aggregatore espleta la propria funzione tramite l’infrastruttura in uso all’aggregato, su cui è stata installata la soluzione fornita dall’aggregatore; nella modalità full, l’aggregatore espleta la propria funzione tramite la propria infrastruttura.
Dopo aver notificato ad AgID gli accordi di cui all’articolo 3, comma 1, lettera e), i soggetti aggregati vengono iscritti in una sezione apposita del Registro SPID. Il soggetto aggregatore svolge il proprio servizio, espletando la funzione tecnica di autenticazione per conto dell’aggregato ed operando come intermediario tra AgID e il soggetto aggregato. Esistono due tipi di aggregatori: gli aggregatori di servizi pubblici e gli aggregatori di servizi privati.
Per poter aderire in qualità di aggregatore, gli interessati devono soddisfare i seguenti requisiti:
- Essere ricompresi nel novero dei soggetti di cui all’art. 2 comma 2 del D.lgs. 82/2005 o avere forma giuridica di società di capitali;
- Garantire il possesso, da parte dei rappresentanti legali, dei soggetti preposti all’amministrazione e dei componenti degli organi preposti al controllo, dei requisiti di onorabilità richiesti ai soggetti che svolgono funzioni di amministrazione, direzione e controllo presso banche ai sensi dell’art. 26 del decreto legislativo 1° settembre 1993, n. 385;
- Disporre, per il risarcimento dei danni causati a qualsiasi persona fisica o giuridica a causa del mancato adempimento degli obblighi inerenti alla propria attività, di una adeguata copertura assicurativa di almeno cinquecentomila euro annui e cinquantamila euro per singolo sinistro;
- Possedere un’organizzazione operativa adeguata in relazione al rispetto delle regole tecniche e dei relativi avvisi, verificabile in fase di collaudo;
- trattare i dati personali nel rispetto del regolamento (UE) 2016/679 e del decreto legislativo 30 giugno 2003, n. 196; 3.
Non possono aderire allo SPID i soggetti aggregatori il cui rappresentante legale, soggetto preposto all’amministrazione o componente di organo preposto al controllo risulta condannato con sentenza passata in giudicato per reati commessi a mezzo di sistemi informatici.