Entro la fine del 2026, ogni Stato membro dell'UE sarà tenuto a offrire ai cittadini un portafoglio di identità digitale, un'app per smartphone pensata per contenere tutto, dalle patenti di guida ai diplomi alla prova dell'età. È uno dei progetti di infrastruttura digitale più ambiziosi del blocco fino ad oggi, che tocca circa 450 milioni di persone in 27 sistemi nazionali. Ma mentre la scadenza del lancio si avvicina, i gruppi per i diritti digitali sollevano una domanda pungente: l'UE può davvero costruirlo senza trasformarlo in uno strumento di sorveglianza?

Cos'è il portafoglio di identità digitale dell'UE e chi deve offrirlo

Il portafoglio europeo di identità digitale, spesso abbreviato in EUDI Wallet, è il risultato di un regolamento dell'UE che aggiorna il precedente quadro del blocco per l'identificazione elettronica. L'obiettivo è chiaro sulla carta: dare a ogni cittadino un'unica app sicura per conservare documenti ufficiali e condividere solo lo specifico dato di cui un servizio ha effettivamente bisogno. Vuoi dimostrare di avere più di 18 anni per acquistare qualcosa online? Il portafoglio è progettato per confermare quel fatto senza rivelare la tua data di nascita, il tuo indirizzo o il tuo nome legale completo.

Ciascuno dei 27 Stati membri dell'UE è obbligato a rendere disponibile un portafoglio ai propri residenti entro la scadenza del 2026, e ci si aspetterà sempre più che aziende private e servizi pubblici lo accettino come forma valida di identificazione. Ciò significa che banche, operatori di telecomunicazioni, portali sanitari e agenzie governative potrebbero tutti, alla fine, fare affidamento sulla stessa credenziale digitale per verificare l'identità di qualcuno. L'ampiezza di tale ambizione è esattamente ciò che preoccupa i critici: 27 implementazioni nazionali separate, tutte bisognose di interoperare senza intoppi e in modo sicuro, su una tempistica fissa.

Perché i gruppi per i diritti digitali dicono che le tutele non sono pronte

La promessa centrale del portafoglio è la privacy fin dalla progettazione: minimizzazione dei dati, divulgazione selettiva e controllo dell'utente su ciò che viene condiviso. Le organizzazioni per i diritti digitali dicono che quella promessa e la realtà tecnica non coincidono ancora. La loro preoccupazione si concentra sul fatto che le regole di fondo e le specifiche tecniche che disciplinano il modo in cui gli Stati membri implementano il portafoglio sono ancora in fase di finalizzazione, proprio mentre la scadenza si avvicina. Quando 27 paesi stanno ciascuno costruendo o adattando i propri sistemi nazionali a un quadro condiviso, lacune nell'applicazione, test di sicurezza incoerenti e pratiche disomogenee di protezione dei dati rappresentano un rischio reale.

C'è anche la questione di cosa succede quando il portafoglio attraversa le frontiere. Una credenziale rilasciata in un paese deve essere considerata affidabile e verificata da una parte affidataria in un altro, il che richiede una complessa rete di fiducia tecnica e responsabilità legale. Se tali tutele transfrontaliere vengono affrettate o sono incomplete, il sistema costruito per proteggere i dati personali potrebbe finire per creare nuovi punti ciechi in cui non è chiaro chi sia responsabile di una fuga di dati, di un uso improprio dei dati o di un tentativo di tracciamento non autorizzato.

Come un portafoglio centralizzato potrebbe diventare un honeypot per il tracciamento

L'ironia che i critici continuano a sottolineare è questa: uno strumento esplicitamente progettato per limitare il tracciamento e la profilazione potrebbe, se implementato male, fare l'opposto. Ogni volta che un portafoglio viene usato per provare un attributo identitario, che si tratti di un controllo dell'età, di una qualifica professionale o di uno status di residenza, c'è una transazione che teoricamente potrebbe essere registrata da qualche parte. Se emittenti, parti affidatarie o servizi intermediari conservano i record di queste richieste di verifica, i modelli di comportamento diventano visibili: quali servizi qualcuno usa, con quale frequenza e quando. Un portafoglio pensato per ridurre la traccia dei dati personali potrebbe invece generarne una nuova e centralizzata, soprattutto se l'architettura tecnica non separa rigorosamente gli emittenti dai verificatori o se i registri di controllo vengono conservati più a lungo del necessario.

Questa è la stessa tensione di fondo che emerge in qualsiasi grande sistema di dati centralizzato: più il set di dati è prezioso e completo, più diventa attraente come obiettivo. I repository centralizzati di informazioni personali sensibili hanno un historial di diventare esattamente ciò di cui mettono in guardia i ricercatori di sicurezza, un singolo punto di guasto. La violazione di Bank of Baroda è un utile promemoria di questa dinamica su scala minore: anche istituzioni ben dotate di risorse che custodiscono registri sensibili possono subire incidenti che espongono dati personali ben oltre quanto previsto. Un sistema di identità digitale che abbraccia 450 milioni di persone, costruito attraverso 27 diverse implementazioni nazionali, aumenta considerevolmente la posta in gioco.

Cosa possono fare gli europei attenti alla privacy prima del lancio del 2026

L'adozione del portafoglio sarà probabilmente graduale, e il suo uso per un dato servizio non è necessariamente obbligatorio ovunque, almeno non immediatamente. Questo dà alle persone il tempo di prestare attenzione. Leggere come la tua implementazione nazionale gestisce la conservazione dei dati e la condivisione transfrontaliera prima di registrarti vale lo sforzo. Ove possibile, usare le funzionalità di divulgazione selettiva del portafoglio invece di condividere documenti completi quando una prova più semplice è sufficiente è un modo diretto per limitare la tua esposizione. E indipendentemente da come si evolverà il portafoglio, trattare qualsiasi credenziale legata alla tua identità, digitale o fisica, come qualcosa da proteggere con una forte sicurezza dell'account e la consapevolezza di dove risiedono i tuoi dati rimane una pratica sana.

Cosa significa questo per te

Se vivi nell'UE, questo lancio probabilmente toccherà la tua vita quotidiana entro il prossimo anno o due, che tu stia verificando la tua età per un acquisto online o accedendo a un portale governativo. I rischi per la privacy del portafoglio di identità digitale dell'UE non sono un motivo per evitare del tutto il sistema, poiché l'obiettivo di fondo, dare alle persone più controllo sui propri dati, è davvero buono. Ma il divario tra quell'obiettivo e l'attuale stato delle tutele transfrontaliere significa che gli utenti non dovrebbero presumere che le protezioni della privacy siano automaticamente a prova di errore solo perché il sistema è stato progettato con la privacy in mente.

Il messaggio pratico è semplice: resta informato su come il portafoglio del tuo paese gestisce i tuoi dati, usa le opzioni di divulgazione minima ogni volta che il portafoglio lo consente e tratta le tue credenziali di identità digitale con la stessa cautela che applicheresti a qualsiasi documento personale sensibile. I sistemi costruiti per servire centinaia di milioni di persone raramente azzeccano ogni tutela dal primo giorno, ed essere un utente precoce informato e cauto è la migliore protezione che hai mentre l'UE risolve le problematiche rimanenti.