Non solo identità digitale: nell’EUDI Wallet entrano diritti, status e qualifiche

Il 15 settembre 2026 la Commissione europea ha presentato il Fair Labour Mobility Package, composto da una comunicazione e cinque proposte legislative. Tra queste, la proposta COM(2026) 980 final, sottoposta alla procedura legislativa ordinaria, propone di istituire il quadro dell’European Social Security Pass (ESSPASS) e di digitalizzare richiesta, rilascio e verifica transfrontaliera dei documenti di sicurezza sociale. Il nuovo quadro si applicherebbe al portable document A1 dodici mesi dopo l’entrata in vigore del futuro regolamento; la European Health Insurance Card (EHIC) e gli altri documenti interessati seguirebbero, in linea generale, tre anni dopo l’entrata in vigore. È quindi essenziale chiarire sin dall’inizio che si tratta, allo stato, di una proposta della Commissione e non di diritto vigente. La novità più interessante, però, non consiste semplicemente nel poter conservare una tessera o un certificato sul telefono. Il passaggio che merita attenzione è più profondo: la prova di una situazione giuridicamente rilevante tende a spostarsi dalla mera esibizione di un documento alla possibilità di verificarne elettronicamente provenienza, integrità e validità attuale.

Sommario: 1. Il documento non scompare: cambia la sua funzione. – 2. Dall’identità alle attestazioni verificabili. – 3. Minimizzazione dei dati e verificabilità non coincidono automaticamente. – 4. L’alternativa fisica è parte dell’architettura, non un residuo del passato.

1. Il documento non scompare: cambia la sua funzione

La proposta definisce il documento di sicurezza sociale come un insieme di dati che attesta la posizione in materia di sicurezza sociale di una persona. Quando è digitale, tale documento è destinato a essere conservato, gestito e condiviso attraverso l’European Digital Identity Wallet (EUDI Wallet) e a essere verificabile elettronicamente.

L’articolo 7 rende concreto questo modello. Le istituzioni competenti dovrebbero emettere i documenti digitali in un formato adatto all’uso nel Wallet; il verificatore dovrebbe poter accertare che il documento provenga da un emittente autorizzato, non sia stato alterato e non sia scaduto o revocato. Una volta effettuata positivamente la verifica, lo Stato membro ospitante non potrebbe richiedere ulteriori prove della sua validità o autenticità, ferme restando le procedure applicabili in caso di dubbio o controversia.

È qui che cambia la prospettiva. Un documento tradizionale incorpora una prova che viene esibita e valutata. Nello schema ESSPASS, quella prova può essere confrontata con un’infrastruttura di fiducia capace di verificarne anche lo stato attuale. La revoca, infatti, non rimane un’informazione separata dal documento: deve poter incidere sul risultato della verifica.

Questo non significa che il Wallet “contenga” il diritto né, tantomeno, che sia la tecnologia a crearlo. I diritti di sicurezza sociale continuano a dipendere dalle norme che li disciplinano e dalle determinazioni delle autorità competenti. Ciò che diviene digitalmente verificabile è la loro rappresentazione probatoria. La distinzione è importante: evita di confondere il piano sostanziale del diritto con quello tecnologico della credenziale che permette di dimostrarne l’esistenza o lo status.

2. Dall’identità alle attestazioni verificabili

Il fenomeno non sembra limitato alla sicurezza sociale. Nello stesso pacchetto, lo Skills Portability Act – COM(2026) 992 final – propone un sistema di attestazioni digitali delle qualifiche costruito ancora una volta intorno all’EUDI Wallet. Le attestazioni dovrebbero essere rilasciate come qualified electronic attestations of attributes oppure come electronic attestations of attributes emesse da, o per conto di, un organismo del settore pubblico responsabile di una fonte autentica. Il sistema prevede inoltre meccanismi di sospensione e revoca e strumenti attraverso i quali verificare l’emittente, l’accreditamento dell’ente che ha rilasciato la qualifica, l’integrità e lo stato della credenziale. La relazione alla proposta chiarisce, coerentemente, che il piano probatorio resta distinto da quello sostanziale: l’attestazione digitale è destinata ad avere lo stesso valore probatorio della corrispondente attestazione cartacea, ma ciò non comporta equivalenza fra qualifiche né un diritto al riconoscimento o all’accesso a una professione regolamentata, che continuano a essere disciplinati dalla direttiva 2005/36/CE.

È un indizio rilevante della direzione intrapresa. L’EUDI Wallet, nato nel quadro europeo dell’identità digitale, assume progressivamente la funzione di punto di accesso ad attestazioni affidabili riguardanti qualità, status e situazioni giuridicamente rilevanti. L’identificazione della persona rimane una funzione essenziale, ma non esaurisce più il modello.

Il regolamento (UE) 2024/1183 aveva già predisposto questa architettura: il Wallet deve permettere all’utente di ottenere, selezionare, conservare, presentare e condividere dati e attestazioni sotto il proprio controllo e garantire la selective disclosure, cioè la possibilità di comunicare soltanto gli attributi necessari. La normativa europea stabilisce inoltre che il suo utilizzo sia volontario e che chi non lo utilizza non debba essere svantaggiato nell’accesso ai servizi.

Si intravede così un’infrastruttura europea della fiducia nella quale non conta soltanto sapere chi sia una persona, ma poter accertare, attraverso fonti riconosciute, quale posizione essa possa dimostrare in un determinato momento.

3. Minimizzazione dei dati e verificabilità non coincidono automaticamente

La capacità di verificare istantaneamente una credenziale può ridurre frodi e verifiche documentali ridondanti, ma introduce una questione tipica dell’informatica giuridica: quali dati occorre mostrare per dimostrare ciò che serve davvero dimostrare?

Il quadro EUDI offre una risposta tecnologico-giuridica importante attraverso la divulgazione selettiva. Se per un determinato servizio è sufficiente accertare uno specifico attributo, l’architettura dovrebbe evitare che il verificatore acquisisca informazioni ulteriori. Il regolamento europeo sull’identità digitale collega espressamente il Wallet al controllo dell’utente e alla minimizzazione dei dati; la proposta ESSPASS, a sua volta, richiama il GDPR e limita il trattamento ai dati necessari per il rilascio dei documenti, la determinazione dei diritti di sicurezza sociale e la verifica della loro validità. Inoltre, i dati personali trattati ai fini della verifica non dovrebbero essere conservati dal verificatore dopo l’operazione, salvo che ciò sia necessario per l’applicazione delle norme europee sul coordinamento dei sistemi di sicurezza sociale o sia altrimenti autorizzato dal diritto dell’Unione o nazionale nel rispetto della disciplina sulla protezione dei dati.

Resta tuttavia un punto decisivo di implementazione. La proposta rimette a successivi atti di esecuzione la definizione di specifiche tecniche e di interoperabilità, inclusi modelli comuni di dati, standard e requisiti di accessibilità, procedure di richiesta, rilascio, revoca e verifica, misure di sicurezza come cifratura e controllo degli accessi, nonché misure organizzative per il trattamento e la protezione dei dati. La reale capacità di applicare la minimizzazione non dipenderà quindi soltanto dall’enunciazione del principio, ma anche dalla granularità con cui saranno costruite le credenziali e dalle informazioni che i diversi verificatori potranno richiedere.

Analogamente, il controllo esercitato dall’utente attraverso l’interfaccia del Wallet non coincide, di per sé, con il consenso quale base giuridica del trattamento ai sensi del GDPR. La scelta tecnica di presentare una credenziale e la liceità giuridica dei successivi trattamenti sono piani collegati, ma non sovrapponibili.

4. L’alternativa fisica è parte dell’architettura, non un residuo del passato

La digitalizzazione prevista dall’ESSPASS non elimina il documento fisico. Su richiesta dell’interessato o del datore di lavoro, l’istituzione competente dovrebbe rilasciare un formato fisico standardizzato e accessibile, corredato da QR code o da altre funzionalità elettroniche di sicurezza. La valutazione d’impatto segnala, più in generale, il rischio di esclusione degli utenti meno attrezzati sul piano digitale; la Commissione richiama espressamente, fra i destinatari delle garanzie di inclusività, persone con disabilità, persone anziane e utenti con competenze digitali limitate.

Anche questo aspetto merita di essere letto oltre la contrapposizione tra carta e digitale. Il punto non è conservare una copia analogica del vecchio modello, ma fare in modo che la verificabilità non diventi una condizione di accesso riservata a chi dispone degli strumenti o delle competenze per utilizzare un Wallet. La parità formale tra canali digitali e alternativi dovrà quindi essere misurata anche nelle prassi: tempi, semplicità delle procedure e possibilità effettiva di esercitare un diritto senza subire uno svantaggio per la mancata utilizzazione del Wallet.

Se il legislatore europeo confermerà questa impostazione, ESSPASS e Skills Portability Act potrebbero segnare un passaggio meno appariscente della semplice “digitalizzazione dei documenti”, ma giuridicamente più interessante. Il documento tende a diventare l’interfaccia di una relazione verificabile tra titolare, soggetto emittente, fonte attendibile e verificatore.

È in questa relazione che dovranno essere osservati i prossimi sviluppi. Perché affidabilità della credenziale, aggiornamento, revoca, interoperabilità e minimizzazione dei dati non sono soltanto caratteristiche tecniche: determinano, in concreto, il modo in cui una persona potrà dimostrare una situazione giuridica e far valere la relativa attestazione oltre i confini nazionali.

Fonti e riferimenti essenziali

• Commissione europea, Fair Labour Mobility Package, 15 settembre 2026 — quadro complessivo del pacchetto e calendario indicativo di attuazione.
• Commissione europea, COM(2026) 980 final, proposta di regolamento relativo alla digitalizzazione del coordinamento dei sistemi di sicurezza sociale, che istituisce un quadro per l’ESSPASS, 15 settembre 2026.
• Procedura legislativa 2026/0271(COD), relativa alla proposta ESSPASS.
• Commissione europea, SWD(2026) 982 final, Impact Assessment Report relativo alla proposta ESSPASS, 15 settembre 2026.
• Commissione europea, COM(2026) 992 final, proposta di regolamento sulla portabilità delle qualifiche e delle competenze (“Skills Portability Act”), 15 settembre 2026; procedura 2026/0274(COD).
• Regolamento (UE) 2024/1183, che modifica il regolamento (UE) n. 910/2014 (eIDAS) per quanto riguarda l’istituzione del quadro europeo relativo a un’identità digitale.
• Direttiva 2005/36/CE relativa al riconoscimento delle qualifiche professionali.
• Regolamento (UE) 2016/679 – GDPR.

Di Massimo Farina
 Professore Associato di Informatica Giuridica presso il Dipartimento di Ingegneria Elettrica e Elettronica (DIEE) dell’Università di Cagliari. Responsabile della protezione dei dati personali (RPD), ai sensi dell’articolo 37 del Regolamento UE 2016/679, dell’Ateneo Cagliaritano e Coordinatore del “ICT4Law&Forensics Lab”. Abilitato alle funzioni di Professore di prima fascia per il settore concorsuale 12 H3 (Filosofia del diritto – GIUR-17/A ). Avvocato del Foro di Cagliari abilitato al patrocinio davanti alle Giurisdizioni Superiori.