Introduzione
Il governo tedesco intende lanciare a gennaio 2027 la wallet digitale statale “d‑you”, un’applicazione per smartphone che consentirà di identificarsi, conservare documenti ufficiali e firmare elettronicamente. La proposta si basa sulla nuova normativa europea eIDAS 2.0, che obbliga ogni Stato membro a fornire ai propri cittadini una wallet digitale.
Quadro normativo
Per attuare l’eIDAS 2.0, la Germania sta preparando il Digitale Identitätengesetz (DIdG). Il disegno di legge è attualmente in fase di discussione al Bundestag, con una votazione prevista entro pochi giorni. Il provvedimento dovrebbe definire le regole di utilizzo della wallet, le modalità di verifica dell’identità e i requisiti di sicurezza per i fornitori.
Le richieste della Deutsche Kreditwirtschaft
La Deutsche Kreditwirtschaft (DK), organo di rappresentanza delle banche e delle casse di risparmio, ha avanzato una serie di richieste di integrazione al disegno di legge. In sintesi, le banche chiedono:
- Una definizione chiara secondo la quale sia sufficiente memorizzare i dati forniti dalla wallet, senza obbligo di conservare una copia cartacea o digitale dell’identificazione.
- Una precisazione sul momento in cui le banche devono accettare una wallet di terze parti, con indicazioni su chi è responsabile in caso di errori tecnici.
- Una disciplina esplicita dei dati messi a disposizione delle banche per la prevenzione delle frodi.
- La distinzione netta tra autenticazione (verifica dell’identità) e autorizzazione (consenso al pagamento).
Senze queste precisazioni, le banche temono di dover richiedere ulteriori prove documentali, vanificando il vantaggio di una apertura di conto rapida e senza carta.
Autenticazione e autorizzazione
Le istituzioni finanziarie sono disposte a utilizzare la wallet come fattore di sicurezza nel banking online, in modo analogo alle attuali app TAN. Tuttavia, la normativa attuale potrebbe costringerle ad accettare la wallet anche in situazioni per le quali non dispongono ancora di prove tecniche adeguate o di una chiara regola di responsabilità. Per questo motivo la DK richiede una “klarstellung” (chiarificazione) che garantisca una solida base tecnica e legale.
Obbligo di accettazione
Le banche non si oppongono all’idea di utilizzare la wallet per i pagamenti, ma rifiutano un’obbligazione legislativa che le costringa a offrire tale servizio. Ogni istituto dovrebbe poter decidere autonomamente quale metodo di autorizzazione dei pagamenti adottare, senza dover integrare la wallet nei seguenti scenari:
- Pagamenti in punto vendita (POS) con carte fisiche o girocard.
- Prelievi di contante.
- Qualsiasi transazione che attualmente non richiede una verifica aggiuntiva.
Riadattare i sistemi esistenti implicherebbe costi elevati, sia dal punto di vista tecnico che giuridico.
Caricamento delle carte di pagamento nella wallet
Le banche riconoscono la possibilità di permettere ai clienti di caricare la propria carta di pagamento nella wallet, come avviene con Apple Pay o Google Pay. Tuttavia, la decisione di offrire questa funzionalità deve rimanere a discrezione di ciascuna banca e deve essere disciplinata da un contratto specifico tra la banca e il fornitore della wallet. La DK richiede un’espressione normativa chiara in tal senso.
Wallet private e ruolo del Ministero digitale
Oltre alla wallet statale, il disegno di legge prevede la possibilità che aziende private offrano proprie soluzioni di identità digitale. Al momento, la decisione finale spetterebbe al Ministero per il Digitale, con la facoltà di modificare le proprie scelte in futuro. Le banche avvertono che tale incertezza crea rischi di pianificazione per gli investitori e chiedono:
- Che le wallet private siano autorizzate direttamente dalla legge, senza dipendere da decisioni amministrative.
- Che le soluzioni esistenti siano protette da eventuali cambi di politica.
- Un calendario chiaro per l’implementazione e la transizione.
Responsabilità in caso di frodi o guasti tecnici
Una questione centrale riguarda la responsabilità in caso di transazioni fraudolente o di malfunzionamenti della wallet. Le banche sostengono che, se una wallet viene utilizzata per l’autenticazione forte del cliente, il fornitore della wallet deve dimostrare:
- Che il processo di autenticazione è avvenuto correttamente.
- Che tutti i log sono stati conservati in modo integri.
- Che non vi siano stati errori imputabili alla wallet stessa.
Inoltre, le banche richiedono il diritto legale di accedere a:
- Protocolli standardizzati e dati di transazione.
- Informazioni sul fornitore della wallet e segnali di rischio.
- La possibilità di rifiutare o sospendere temporaneamente una wallet in caso di vulnerabilità note o problemi di certificazione.
Critiche da parte di esperti e consumatori
Le preoccupazioni non provengono solo dal settore bancario. In una recente audizione del Comitato digitale, esperti di protezione dei dati hanno sottolineato che la wallet al lancio non consentirà l’uso pseudonimo, aprendo la porta a raccolte di dati eccess