AGCOM conferma la validità dei sistemi di identità digitale solo per le operazioni di MNP e sostituzione delle SIM

04/10/2023

1. Introduzione

È stato richiesto all’AGCOM, da parte di un operatore, di effettuare una valutazione in merito alla necessità di acquisire copia dei documenti di identità e del codice fiscale dell’utente, in fase di nuova attivazione SIM, sostituzione SIM o di richiesta di MNP, nel caso in cui il cliente proceda in tali operazioni utilizzando il proprio SPID o la propria carta di Identità elettronica.

L’AGCOM nella riunione tenutasi in Commissione per le Infrastrutture e le reti del 27 settembre 2023, ha riconosciuto l’utilizzo dei sistemi di identità digitale SPID, CIE e CNS (previsti dall’art. 64 del CAD) nell’ambito delle procedure di sostituzione o cambio delle SIM e della Mobile Number Portability (MNP), regolate dalla delibera n. 86/21/CIR.

Come riportato nel Comunicato Stampa dell’AGCOM del 4 ottobre 2023 [1], l’Autorità sintetizza così il suo parere:

lo SPID, la CIE e la carta nazionale dei servizi (CNS), di cui alla Legge 11 settembre 2020, n.120, costituiscono strumenti di identificazione personale efficaci e sicuri che garantiscono la validazione di tutte le informazioni inerenti sia il documento di identità sia del codice fiscale;
l’utilizzo di tali nuovi strumenti consente una sicura identificazione del soggetto e si configura come valida alternativa alla raccolta video/fotografica dei relativi documenti (carta di identità e codice fiscale) da parte di ciascun singolo operatore;
la possibilità di utilizzare SPID, CIE o CNS nelle procedure di mobilità o attivazione/cambio SIM, non necessita di una preventiva modifica in tal senso delle disposizioni della delibera n. 86/21/CIR, bensì appare sufficiente integrare le modalità attuative della delibera in questione mediante una revisione dell’Accordo quadro per
l’applicazione delle norme riguardanti la MNP del 9 maggio 2022;
nessun commento può essere espresso sull’applicazione di tali strumenti se non previsti dalla normativa primaria.

2. Considerazioni

Il tema principale posto all’esame dell’Autorità, ovvero l’attivazione della SIM per un nuovo Cliente, non è trattato in maniera esplicita nel parere fornito, crediamo correttamente poiché il riconoscimento dell’utente è regolamentato dalla normativa primaria. Senza entrare nel merito, è tuttavia necessario evidenziare che l’utilizzo dei su citati metodi di identità digitale, per le richieste (di utenti già clienti dell’operatore [2]) di migrazione tra gestori (Mobile Number Portability), SIM aggiuntive e di sostituzione/cambio SIM sono già disciplinati, sin dal 2017, dall’art. 1 co. 46 della Legge 124/2017 (1) che demanda ad un Decreto del Ministero dell’Interno, le specifiche delle misure da adottare per l’identificazione indiretta o da remoto.

Il Decreto Ministeriale è stato emanato dal Ministero dell’Interno il 28/12/2018 (GU Serie Generale n.31 del 6-2-2019) e prevede, in sintesi, tre metodi di identificazione:
1. con metodo indiretto tramite SPID,
2. con metodo indiretto tramite CIE e CNS,
3. identificazione a vista da remoto.

Negli Allegati A e B del DM, sono dettagliatamente descritte le procedure di identificazione da adottare a cura degli operatori, per i casi di migrazione, SIM aggiuntive o sostituzione/cambio SIM, a secondo i 3 metodi individuati ove, per i metodi 1 e 2 (identificazione con SPID, CIE e CNS), non è previsto l’invio della scansione del documento (fronte/retro) come, viceversa, previsto per il metodo (n. 3) dell’identificazione a vista da remoto.

In tema di identificazione indiretta tramite video riconoscimento da remoto, possiamo citare anche l’art. 38 co 6-bis della Legge di conversione n. 120/2020 del Decreto Semplificazione 76/2020, che ha dato una interpretazione del su citato art. 1, comma 46, della legge 4 agosto 2017, n. 124:

6-bis. L’articolo 1, comma 46, della legge 4 agosto 2017, n. 124, si interpreta nel senso che le misure di identificazione in via indiretta o da remoto del cliente già adottate dagli operatori di telefonia mobile, sia in caso di nuova attivazione che di migrazione di S.I.M. card già attivate, basate su sistemi di registrazione audio-video che garantiscano, anche ai fini di giustizia, la corretta e completa acquisizione dei dati necessari al riconoscimento dell’utente, la genuinità della ripresa e il rispetto delle norme a tutela della riservatezza dei dati personali, effettuate sotto la responsabilità del medesimo operatore, sono ritenute compatibili con le previsioni, gli obiettivi ed i requisiti di cui all’articolo 55 (ora 98 undetricies [3]), comma 7, del codice di cui al decreto legislativo 1° agosto 2003, n. 259.

L’interpretazione del suddetto art. 1, riguardo la valenza dell’identificazione da remoto, è stata poi recepita dal vigente comma 2 dell’art. 98 undetricies (2) che ha sostituito l’art. 55 del CCE (sostituzione apportata dall’art. 1 del D.Lgs. novembre 2021, n. 207).

Per quanto sopra evidenziato, possiamo tentare di fornire una interpretazione circa l’attivazione di una SIM per un nuovo cliente. Non essendo disciplinata nella normativa sopra citata, per l’identificazione è applicabile stricto sensu:
• il riconoscimento diretto (presso la struttura commerciale dell’operatore), oppure
• il video riconoscimento da remoto,
quindi con acquisizione delle informazioni anagrafiche e della riproduzione del documento di riconoscimento fornito.

Per altro verso, invece, nei casi di migrazione, di SIM aggiuntiva o di sostituzione/cambio SIM, al fine di garantire “la corretta acquisizione dei dati necessari al riconoscimento dell’utente”, è consigliabile acquisire anche la tracciatura del metodo di identificazione digitale utilizzato (i.e. se tramite SPID, CIE o CNS) e, per l’identificazione tramite SPID, anche il nome del gestore utilizzato dal cliente; informazioni, ovviamente, aggiuntive ai consueti dati anagrafici del Cliente, che dovranno essere messi a disposizione del Centro elaborazioni dati del Ministero dell’Interno (ETNa), come previsto dall’art. 98 undetricies co. 1 (2).

3. Conclusioni

Con il suo ultimo parere in materia, l’AGCOM conferma il principio secondo cui la norma necessita di essere continuamente supervisionata per consentirle di essere conforme con l’avanzare delle nuove tecnologie. L’identificazione diretta oppure indiretta tramite video riconoscimento, previste dalla norma primaria, appare non più coerente con le opportunità offerte al giorno d’oggi dall’identità digitale, soprattutto se si considera che i nuovi strumenti sono già disciplinati per i processi di MNP.

Adottare al momento il parere dell’Autorità per utilizzare lo SPID, la CIE e la carta nazionale dei servizi (CNS) anche per le nuove attivazioni di SIM non appare, tuttavia, conforme con la normativa primaria. Si auspica, in tal senso, un intervento del Legislatore per tenere in debita considerazione l’illustre parere dell’Autorità ed allineare così la normativa primaria e secondaria sull’argomento.

Riferimenti

[1] Link Comunicato stampa AGCOM
https://www.agcom.it/documents/10179/31723786/Comunicato+stampa+04-10-2023+1696424306316/aecfd8e0-74f1-4fe3-a00a-ddede4f02db4?version=1.1 [2] Art. 1 comma 46 Legge 124/201
Al fine di semplificare le procedure di migrazione tra operatori di telefonia mobile e le procedure per l’integrazione di SIM card aggiuntive o per la sostituzione di SIM card richieste da utenti già clienti di un operatore, con decreto del Ministro dell’interno, di concerto con il Ministro dello sviluppo economico, da adottare entro sei mesi dalla data di entrata in vigore della presente legge, sono previste misure per l’identificazione in via indiretta del cliente, anche utilizzando il sistema pubblico dell’identità digitale previsto dall’articolo 64 del codice dell’amministrazione digitale, di cui al decreto legislativo 7 marzo 2005, n. 82, e successive modificazioni, in modo da consentire che la richiesta di migrazione e di integrazione di SIM card e tutte le operazioni ad essa connesse possano essere svolte per via telematica.
Dall’attuazione delle disposizioni previste dal presente comma non devono derivare nuovi o maggiori oneri a carico della finanza pubblica. [3] Art. 98 undetricies D.Lgs. n. 259/2003
1. Ogni impresa è tenuta a rendere disponibili, anche per via telematica, al centro di elaborazione dati del Ministero dell’interno gli elenchi di tutti i propri abbonati e di tutti gli acquirenti del traffico prepagato della telefonia mobile, che sono identificati prima dell’attivazione del servizio, al momento della consegna o messa a disposizione della occorrente scheda elettronica (SIM)
Le predette imprese, anche per il caso di nuova attivazione e di migrazione di SIM card già attivate, adottano tutte le necessarie misure affinché venga garantita l’acquisizione dei dati anagrafici riportati su un documento di identità’ nonché del tipo, del numero e della riproduzione del documento presentato dall’acquirente ed assicurano il corretto trattamento dei dati acquisiti, anche da remoto o in via indiretta purché vengano garantiti la corretta acquisizione dei dati necessari al riconoscimento dell’utente ed il rispetto delle norme a tutela della riservatezza dei dati personali.
L’Autorità giudiziaria ha facoltà di accedere per fini di giustizia ai predetti elenchi in possesso del centro di elaborazione dati del Ministero dell’interno.
2. L’obbligo di identificazione di cui al comma 1 non si applica alle schede elettroniche (S.I.M.) utilizzate per la fornitura di servizi di tipo “internet delle cose”, installate senza possibilità di essere estratte all’interno degli oggetti connessi e che, anche se disinstallate, non possono essere utilizzate per effettuare traffico vocale, inviare SMS o fruire del servizio di connessione a internet.