La consultazione pubblica è attiva dal 7 agosto al 6 settembre 2019 . Questa categoria raccoglie i commenti al testo delle Linee Guida per la realizzazione di un modello di R.A.O. pubblico, disponibile per la consultazione pubblica.
Salve,
Notavo che tra le informazioni anagrafiche al punto 3.3 ed in particolare in "ulteriori informazioni anagrafiche" al sub 3 si indica:
3. ulteriori informazioni anagrafiche:
• numero seriale della Tessera Sanitaria o del tesserino del Codice Fiscale in corso di validità;
• nazione di nascita;
• nazione del domicilio fisico.
Faccio presente che per gli italiani residenti all'estero era previsto, su richiesta dell'interessato presso l'ADE, il rilascio del solo "certificato di attribuzione del codice fiscale" e non del tesserino di C.F. .. parlo di esperienza personale come italiano residente nella Repubblica di San Marino, che ha interloquito con l'Agenzia delle Entrate di Rimini...
Non è il caso di precisare tra gli ulteriori documenti comunque anche il Certificato di Attribuzione del C.F. vista la sua validità legale?
Inoltre il codice fiscale diviene un elemento chiave nel successivo paragrafo 3.5 "Processo di riconoscimento" per associare il token cifrato con il codice fiscale (3.5.3).
Vista poi la "delicatezza" legata all'invio della metà della passphrase in modalità digitale, non sarebbe più opportuno che gli utenti interessati utilizzino prioritariamente un indirizzo di domicilio digitale certificato che l'indirizzo di posta elettronica "ordinaria"?
In fondo il domicilio digitale è un poco come il luogo reale dove mi viene inviata in genere posta fisica raccomandata.. non è più sicuro?
Idem per il punto 3.6.b
----
Al punto 3.5 si declina Processo di riconoscimento:
"L’operatore compila nel sistema una scheda anagrafica con i dati dell’utente di cui al par. 3.3.
Il sistema:
1. salva la scheda anagrafica nel formato di interscambio concordato generando il token in chiaro; ..."
Poi al punto 3.8 "L’IdP utilizza i dati dell’utente di cui al par. 3.3 per compilare la scheda anagrafica.."
E' il verbo "compilare" che forse è inadeguato per un processo che deve essere automatico come recita il paragrafo 3.10 "L’IdP deve porre in essere tutte le attività necessarie al fine di interoperare con il sistema di cui al par. 3.4."
----
Al capitolo 4
4.1 Obiettivi
Definizione di uno standard condiviso, chiaro e sicuro per il formato dei dati utili al rilascio di una identità SPID a fronte di un avvenuto riconoscimento del futuro titolare dell’identità presso uffici pubblici.
E chi ha già la propria identità digitale con un IdP la mantiene comunque per come è o dovrà procedere ad una nuova re-immissione secondo la procedura delle presenti linee guida?
Ricordo di avere fatto richiesta di SPID direttamente rivolgendomi ad un IdP.
Mi viene quindi da pensare che L’ICRequestData (Identity Creation Request Data) per chi ha già una ID rilasciata dall'IdP non abbia questo set di dati presso il RAO.
E' così o questo è già il processo di interoperabilità in essere?
Se così non fosse , prevedete un interscambio "inverso" tra l'IdP ed il RAO per le identità già rilasciate?
Se si come avete pensato di regolamentare le responsabilità dei dati raccolti dall'IdP? (vedi punti 3.9 e 3.10).
---
GrazieSalve,
Di seguito si riportano le osservazioni suddivise sulla base dei paragrafi del documento AgID “Linee Guida per la realizzazione di un modello di R.A.O. pubblico”versione del 7 agosto 2019 .
1. Le Linee Guida
n.a.
2. Riferimenti e sigle
All’interno del paragrafo 2.1 rubricato “Riferimenti Normativi” sarebbe opportuno annoverare anche il Regolamento europeo 679/2016 (GDPR) in quanto il soggetto R.A.O. (pubblico o privato) effettua trattamento di dati personali.
Si suggerisce inoltre di esplicitare all’interno delle LL.GG. le modalità con le quali viene raccolto il consenso dell’utente al trattamento dei dati.
3. Modello di R.A.O. pubblico
"3.1 Comunicazione all’Agenzia**
n.a.
**2 Modalità di riconoscimento
n.a.
3.3 Dati dell’utente
All’interno del presente paragrafo relativo ai dati che l’utente è obbligato a fornire affinché la pratica di riconoscimento possa essere espletata, il requisito “estremi del documento d’identità utilizzato ai fini dell’identificazione in corso di validità” potrebbe essere meglio espresso invertendo il periodo: “estremi del documento d’identità in corso di validità utilizzato ai fini dell’identificazione”.
Nelle “ ulteriori informazioni anagrafiche” , si noti che il tesserino del Codice Fiscale non presenta numero seriale. Si consiglia inoltre di specificare l’obbligatorietà dei dati presenti nella sezione “ulteriori informazioni anagrafiche” e di prevedere anche la raccolta della data di scadenza della Tessera Sanitaria.
3.4 Sistema
n.a.
3.5 Processo di riconoscimento
n.a.
3.6 Modelli di riferimento
Sono previsti due modelli di riferimento che i R.A.O. pubblici possono mettere a disposizione dell’utente:*
a) L’operatore può informare l’utente della possibilità di scegliere il proprio IdP a sportello, in questo caso il token sigillato è inviato all’IdP prescelto;
b) In mancanza della predetta possibilità o in caso di mancata scelta da parte dell’utente, il token sigillato è inviato all’utente via email all’indirizzo di posta elettronica fornito.
Si consiglia di specificare se ogni Pubblica Amministrazione debba diventare R.A.O. di ogni IdP o se può fare delle scelte.
Inoltre, non vengono menzionati contratti e/o convenzioni che dovrebbero intercorrere tra IdP e R.A.O. pubblici.
Inoltre, oltre all’invio della richiesta verso gli IdP, penso andrebbe previsto anche il flusso per la richiesta di eliminazione della stessa, nel caso in cui l’utente cambi idea.
3.7 Rilascio dell’identità digitale da parte dell’IdP
n.a.
3.8 Verifiche e rilascio dell’identità
n.a.
3.9 Responsabilità R.A.O. pubblico
È previsto che i R.A.O. pubblici si assumano la responsabilità della corretta verifica dell’identità personale dell’utente e sono tenuti a mantenere nel tempo le evidenze per individuare il singolo operatore che ha effettuato il riconoscimento dell’utente, senza specificare, però, per quanto tempo queste evidenze vadano conservate.
Si consiglia di indicare il periodo di conservazione in 20 anni.
3.10 Responsabilità IdP
È citato l’esonero dall’obbligo previsto dall’art. 7, comma 5, del DPCM 24 ottobre 2014, ma non è chiaro se l’esonero riguarda solo la conservazione della copia del documento di identità o tutti gli obblighi del comma ossia:
copia del log della transazione;
documenti e dati utilizzati per l’associazione e la verifica degli attributi.
3.11 Generazione della passphrase
Potrebbe non essere necessaria questa esclusione. In genere la macchina distingue la O dallo 0.
3.12 Sigillo elettronico
È precisato che l’Agenzia emette due sub CA dedicate rispettivamente per i soggetti individuati come R.A.O. pubblici e per gli IdP, utili alla generazione dei certificati dei sigilli elettronici. Tali sigilli sono utilizzati sia per l’instaurazione di un canale di comunicazione tra i predetti soggetti che per sigillare il token completo.
Non è del tutto chiara la modalità di utilizzo di questi sigilli da parte dell’IdP.
4. Token R.A.O. Pubblico
Si consiglia la sostituzione del campo dell’header x5c contenente il base64 del certificato usato per la firma del token con l’attributo x5u: in questo modo il certificato non viaggia nel token, ma viene recuperato dai soggetti coinvolti da un uri http protetto da muta autenticazione tls.
5. Tabella messaggi token R.A.O. pubblico inviati dall’IdP
n.a.
Grazie,
Cordialmente
INFOCERT S.P.A.
Osservazioni alle Linee Guida Modello R.A.O. pubblico
Par. 1.4 Soggetti destinatari
Si ritiene opportuno chiarire che il modello RAO è per adesione e che le PA aderenti devono dare disponibilità a tutti gli IdP, senza discriminazioni.
Par. 3.2 Modalità di riconoscimento
Vista l’importanza di garantire e preservare il massimo livello di trust associato a SPID nel contesto del modello definito, si ritiene opportuno limitare la possibilità di ricoprire il ruolo di Operatore RAO ai dipendenti pubblici con qualifica di pubblico ufficiale, per i quali le PA si impegnano a fornire adeguata formazione anche del sistema SPID al pari di quanto svolto dai singoli IdP.
3.6 Modelli di riferimento
Si ritiene non opportuno prevedere la scelta del IdP a sportello (Modello A), in quanto appare difficile garantire la libera scelta dell’utente prevista dal quadro normativo SPID (DPCM, Regolamenti e Circolari Agid), anche considerata l’oggettiva difficoltà per l’operatore della PA di conoscere e comunicare al cittadino le differenti offerte messe a disposizione dai singoli IdP.
3.8 Verifiche e rilascio dell’identità
Si suggerisce di chiarire come deve essere trattato l’errore nella compilazione della scheda anagrafica di cui al par.3.3. L’IdP può correggere la scheda, compilata dal Pubblico Ufficiale, senza dare evidenza della modifica al RAO pubblico oppure l’identità deve essere rifiutata e l’IDP deve avviare un nuovo processo di identificazione dell’utente?
3.9 Responsabilità RAO pubblico
Si suggerisce di indicare un tempo per il mantenimento da parte dei RAO pubblici delle evidenze per individuare il singolo operatore che ha effettuato il riconoscimento dell’utente. Il periodo consigliato è di 20 anni.
3.10 Responsabilità IdP
Si suggerisce di chiarire che l’esonero per l’IdP dall’obbligo di cui all’art. 7, comma 5 è limitato esclusivamente alla copia per immagine del documento di identità, mentre rimarrebbe l’obbligo di conservazione della restante documentazione afferente alle verifiche degli attributi, oltre che del token sigillato, per un tempo pari a 20 anni, come indicato all’art. 7, commi 5 e 8 dello stesso DPCM.
Inoltre, al fine di rendere auto-consistente il token conservato dall’IdP, si propone di utilizzare l’attributo issuerInternalReference per la memorizzazione di riferimenti univoci dell’operatore che ha effettuato l’identificazione, rendendolo obbligatorio.