[LG-SPID-minori] 5. Rilascio di SPID ai minori

Dall’analisi della normativa vigente emerge l’opportunità che il rilascio dell’identità digitale SPID a favore del minore avvenga previa richiesta da parte di chi esercita la responsabilità genitoriale, ferma restando la facoltà del minore che abbia compiuto quattordici anni di esprimere autonomamente il consenso al trattamento dei propri dati in relazione all’offerta di servizi della società dell’informazione.

Continua a leggere su Docs Italia.

il processo sopra indicato appare
in contrasto con “il minore che ha compiuto i quattordici anni può esprimere il consenso al trattamento dei propri dati personali in relazione all’offerta diretta di servizi della società dell’informazione.”

in contrasto con i diritti di riservatezza del minore 14+ o 16 + nell’accesso a servizi specifici

2 Mi Piace

"Garantire che nessun dato del minore sia fornito ai SP in assenza del consenso del genitore E del minore che ha compiuto almeno quattordici anni. "

Questo obiettivo è diverso da quanto previsto in premessa:
""Garantire che nessun dato del minore sia fornito ai SP in assenza del consenso del genitore O del minore che ha compiuto almeno quattordici anni. "

1 Mi Piace

Di seguito alcune considerazioni.

  1. Riteniamo sia fondamentale che venga introdotto un capitolo dettagliato sulle evidenze che l’IdP è tenuto a conservare (con l’indicazione del periodo di conservazione) sia con riferimento alla fase di rilascio dell’identità del minore sia con riferimento alla fase di utilizzo della stessa (ad es. quali log sono da conservare? anche quelli relativi all’autorizzazione del genitore?);

  2. I primi cinque capoversi del Cap. 5 fanno riferimento alla fase di utilizzo dell’identità del minore una volta che l’ha ottenuta (uso identità da parte del minore a regime). I capoversi successivi (a partire da “L’IdP predispone un servizio…” attengono invece al processo di Enrollment di tale identità del minore. Per una maggiore comprensione, consigliamo fortemente che tali Linee Guida distinguano chiaramente i due processi, fornendo indicazioni più puntuali e pratiche sullo svolgimento dei singoli step;

  3. Riteniamo sia utile specificare chiaramente, atteso che il processo sembra essere eseguito in prima battuta dal genitore, quando debba essere richiesto al minore di presentare il documento di riconoscimento. È il genitore che ha le due alternative di allegare copia del documento del minore che riporta il nominativo del genitore oppure fare una dichiarazione ex DPR 445/2000?

  4. Necessitiamo di indicazioni più specifiche sulle modalità di raccolta della delega e sul suo formato. Inoltre, AgID metterà a disposizione un template?

Verifica del ruolo del “soggetto che esercita la responsabilità genitoriale per la richiesta dell’identità del minore”

La Linea Guida prevede “Se il minore non presenta all’IdP un documento di identità (o il permesso di soggiorno) in cui è riportato il nominativo del genitore, il genitore dichiara, ai sensi dell’art. 46 del decreto del Presidente della Repubblica 28 dicembre 2000, n. 445, la sua qualità rispetto al minore con le modalità indicate dall’IdP.

In prima istanza, si evidenzia la dubbia applicabilità della previsione, in quanto il documento del minore può essere verificato dal Gestore solo successivamente alla richiesta iniziale del genitore. Di conseguenza, al fine di assicurare omogeneità operativa nei vari casi d’uso e semplificare il rilascio delle identità, in coerenza con quanto avviene per il rilascio di PIN della PA a minori (1), si potrebbe prevedere in tutti i casi una dichiarazione ai sensi del d.P.R. 445/2000 (come già previsto seppure in forma residuale). Questa potrebbe essere fatta in sede di richiesta iniziale (quindi sempre in un contesto che prevede una autenticazione SPID di Livello 2) da parte del genitore, che in tal modo ne assumerebbe la responsabilità a tutti gli effetti di legge ai sensi di quanto previsto dall’articolo 76 del citato d.P.R. 445/2000.

Si evidenzia, inoltre, come attualmente il permesso di soggiorno non faccia parte dei documenti utilizzabili per l’identificazione ai fini della richiesta di SPID, in quanto molto più difficilmente riscontrabile sulle fonti. Si propone, quindi, di rimuoverne la previsione.

Concetto di delega del “genitore non richiedente”

Con riferimento a quanto riportato nella Linea Guida “Il genitore fornisce il consenso al trattamento dei dati personali per il rilascio e la gestione dell’identità digitale del minore nonché la delega dell’eventuale genitore non richiedente alla gestione dell’identità del minore da parte del genitore.” Non appare chiara la formulazione e l’intento che essa si prefigge. In particolare, se con la stessa si vuole garantire l’assenso di entrambi i genitori (quello “richiedente” e quello “non richiedente”) alla richiesta di SPID (ed alla sua operatività), si evidenzia come la previsione non appare coerente con quanto indicato sia per il rilascio della Carta di Identità ai minori sia per il già citato rilascio del PIN INPS. L’assenso di entrambi i genitori, infatti, è richiesto in casi specifici e di particolare rilievo rispetto all’autonomia concessa al minore, come nel caso di rilascio di documenti idonei a consentire l’espatrio del minore stesso (Passaporto o Carta di Identità valida per l’espatrio) (2), che non è il nostro caso. Al fine di rendere il processo di rilascio semplice ed efficace, senza appesantire l’esperienza dei Genitori e dei minori, si richiede quindi di rimuovere tale previsione.

Logiche autorizzative da parte del genitore [5. Rilascio SPID ai minori e 6. Fruibilità dei servizi dedicati ai minori]

Al fine di assicurare il miglior presidio nella fase di autorizzazione all’accesso ai servizi in capo al soggetto che esercita la responsabilità genitoriale si potrebbe prevedere che essa non sia di carattere generale ma riferita a specifici servizi o classi di servizi.

In ogni caso, la responsabilità andrebbe posta in capo al Service Provider, prevedendo la gestione del processo autorizzativo tramite l’inserimento di uno specifico attributo nel metadata del servizio, da parte del Service Provider in modo da attivare la notifica push dell’IdP.


Note:
(1) INPS - Ottenere e gestire il PIN

[…] In caso di minore, la richiesta di un PIN può altresì essere presentata in sede da parte di un genitore, mediante la seguente documentazione:

modulo di richiesta di PIN compilato con i dati del minore e sottoscritto dal genitore;

autocertificazione del genitore attestante il possesso della potestà genitoriale;

copia del documento di identità del genitore. […]

(2) Decreto Ministero dell’Interno 23 dicembre 2015 “Modalità tecniche di emissione della Carta d’identità elettronica.” come modificato dal Decreto Ministero dell’Interno 31 gennaio 2019 “Modifica del decreto 23 dicembre 2015, recante modalità tecniche di emissione della carta d’identità elettronica”
e
https://www.comune.roma.it/web/it/scheda-servizi.page?contentId=INF33590
[…]
Per ottenere la carta in versione “non valida per l’espatrio” occorre:
La presenza del minore personalmente allo sportello anagrafico con un documento di riconoscimento, accompagnato almeno da un genitore (o da chi esercita la potestà genitoriale). Se il minore non è in possesso di un documento di identità, è necessaria oltre al genitore la presenza di una persona maggiorenne, munita di documento d’identità valido che in base a fatti concreti (parentela, affinità, vicinato, ecc.) sia in grado di testimoniare l’identità del minore

[…]

Per ottenere la carta in versione “valida per l’espatrio” occorre:

essere cittadino italiano;

presentarsi allo sportello con entrambi i genitori (o con chi ne fa le veci), i quali devono dare assenso all’espatrio, firmando e dichiarando sul modulo l’assenza di motivi ostativi all’espatrio.

Se uno dei due genitori non può presentarsi, l’altro dovrà portare l’assenso scritto del genitore assente (modulo) e con fotocopia del documento di identità. In mancanza di tale assenso occorre l’autorizzazione del giudice tutelare;

[…]

Prevedere unicamente la notifica push potrebbe rappresentare un vincolo tecnologico per gli IdP. Si potrebbero eventualmente considerare delle aperture, alternative alla notifica push, come ad esempio una comunicazione tramite email o altre tipologie di notifica.

  • al momento dell’identificazione del minore, si considera che i documenti da presentare siano quelli previsti dalla norma ed accettati dall’IdP, e si considera che l’identità SPID eventualmente rilasciata al minore abbia gli stessi attributi dell’identità SPID “per maggiorenni”; se l’IdP raccoglie anche gli attributi secondari come numero di telefono ed email del richiedente, come si pongono i vincoli di telefono/email univoca per CF nel caso di minore?
    -Come occorre gestire l’eventualità in cui un IdP abbia rilasciato un’identità SPID ad un minore su richiesta di un genitore (X) e poi, successivamente, il secondo genitore (Y) avvii lo stesso iter di richiesta dell’identità per lo stesso minore? Occorre che l’IdP rifiuti la richiesta in quanto l’identità SPID in questione è già stata rilasciata?
  • “Il genitore fornisce la delega dell’eventuale genitore non richiedente alla gestione dell’identità del minore da parte del genitore”. Se il primo genitore delega il secondo, l’autorizzazione alla gestione dell’identità spetta solamente al delegato? E’ possibile poi prevedere successive nuove deleghe affinchè il secondo possa ri-delegare nuovamente il primo genitore?
  • In alternativa all’utilizzo dei codici di verifica, è possibile che il legame genitore-figlio si attivi ad esempio anche mediante un link con token univoco inviato dall’IdP al minore indicato dal genitore? In questo modo il minore riceve il link per attivare il processo di identificazione e quando l’identità si attiva il legame è completato.