Il Tribunale Amministrativo Regionale del Lazio- Roma annullava l'art. 10, comma 3, lettera a) del Decreto del Presidente del Consiglio dei Ministri del 24/10/2014, impugnato in primo grado da alcune associazioni rappresentative delle imprese nei settori tecnologici.

Il regolamento impugnato definiva le caratteristiche del sistema pubblico per la gestione dell'identità digitale dei cittadini e imprese (SPID).

In particolare, veniva contestato il requisito di un capitale sociale minimo di 5 milioni di euro per l'accreditamento dei gestori dell'identità digitale, con la conseguenza di introdurre un ingiustificato sbarramento per l'accesso al mercato di riferimento.

La Presidenza del Consiglio dei Ministri impugna la decisione di primo grado, ma il Consiglio di Stato rigetta l'appello.

Con la sentenza richiamata, la Sezione IV del Collegio ha condiviso e fatto propri gli argomenti del giudice amministrativo di primo grado, che ha ritenuto il requisito fissato con una disposizione di rango regolamentare sproporzionato rispetto al fine voluto dalla legge, con l'effetto di introdurre un limite privo di ragionevolezza.

Anche in virtù del fatto che, a differenza delle "identità digitali forti" che sono state disciplinate direttamente dalla legge, si contrappongono le "identità digitali deboli" come quelle collegate al sistema SPID, «che vengono utilizzate dagli operatori on line per l’accesso a servizi digitali non pubblici (e-mail, social network, e–commerce), utilizzando una sostanzialmente una password eventualmente insieme ad altre credenziali d’accesso».

Lo stesso decreto impugnato prevede l'adozione di regolamenti per definire le regole tecniche e le modalità attuative per la realizzazione dello SPID, nonché le modalità di accreditamento dei soggetti e le procedure necessarie.

DECRETO DEL PRESIDENTE DEL CONSIGLIO DEI MINISTRI 24 ottobre 2014

Definizione delle caratteristiche del sistema pubblico per la gestione dell'identità digitale di cittadini e imprese (SPID), nonché dei tempi e delle modalità di adozione del sistema SPID da parte delle pubbliche amministrazioni e delle imprese.

Art. 10 - Accreditamento dei gestori dell'identità digitale

1. Le modalità di richiesta di accreditamento sono definite nei regolamenti attuativi adottati dall'Agenzia ai sensi dell'art. 4, che possono contenere ulteriori criteri per l'accreditamento delle pubbliche amministrazioni. 2. A seguito dell'accoglimento della richiesta, l'Agenzia stipula apposita convenzione secondo lo schema definito nell'ambito dei regolamenti di cui all'art. 4 e dispone l'iscrizione del richiedente nel registro SPID, consultabile in via telematica. 3. Al fine di ottenere l'accreditamento gli interessati devono: a) avere forma giuridica di società di capitali e un capitale sociale non inferiore a cinque milioni di euro;

b) garantire il possesso, da parte dei rappresentanti legali, dei soggetti preposti all'amministrazione e dei componenti degli organi preposti al controllo, dei requisiti di onorabilità richiesti ai soggetti che svolgono funzioni di amministrazione, direzione e controllo presso banche ai sensi dell'art. 26 del decreto legislativo 1° settembre 1993, n. 385;

c) dimostrare la capacità organizzativa e tecnica necessaria per svolgere l'attività di gestione dell'identità digitale; d) utilizzare personale dotato delle conoscenze specifiche, dell'esperienza e delle competenze necessarie per i servizi da fornire. In particolare, il personale addetto alla realizzazione e gestione del sistema informatico deve possedere, in relazione alle attività da svolgere, la competenza gestionale, l'appropriata conoscenza e padronanza delle procedure operative e di sicurezza, nonché delle regole tecniche da applicare. Il gestore provvede al periodico aggiornamento professionale del personale;

e) comunicare all'Agenzia i nominativi e il profilo professionale dei soggetti responsabili delle specifiche funzioni individuate nei regolamenti attuativi adottati dall'Agenzia ai sensi dell'art. 4; f) essere in possesso della certificazione di conformità del proprio sistema di gestione per la sicurezza delle informazioni ad essi relative, alla norma ISO/IEC 27001, rilasciata da un terzo indipendente a tal fine autorizzato secondo le norme vigenti in materia;

g) trattare i dati personali nel rispetto del decreto legislativo 30 giugno 2003, n. 196;

h) essere in possesso della certificazione di qualità ISO 9001,

successive modifiche o norme equivalenti. 4. Le lettere a) e b) del comma 3 non si applicano alle pubbliche amministrazioni che chiedono l'accreditamento al fine di svolgere l'attività di gestore dell'identità digitale. 5. L'Agenzia procede, d'ufficio o su segnalazione motivata di soggetti pubblici o privati, a controlli volti ad accertare la permanenza della sussistenza dei requisiti previsti dal presente decreto. Se, all'esito dei controlli, accerta la mancanza dei requisiti richiesti per l'iscrizione nel registro SPID, decorso il termine fissato per consentire il ripristino degli stessi, l'Agenzia, con provvedimento motivato notificato all'interessato, può adottare le azioni previste dall'art. 12.