Privacy
Ogni autenticazione SPID (Sistema Pubblico di identità Digitale) non è un semplice “login” paragonabile all’inserimento di username e password su un sito qualunque. È una transazione federata, regolata da norme tecniche e giuridiche, nella quale più soggetti si scambiano messaggi firmati digitalmente per attestare l’identità dell’utente, verificare il livello di autenticazione richiesto e consentire l’accesso al servizio.
Dietro il pulsante Entra con SPID si snoda un’infrastruttura basata su regole precise che derivano dal Codice dell’Amministrazione Digitale, dal DPCM 24 ottobre 2014, dai regolamenti e le regole tecniche AgID, dal GDPR, dal Codice Privacy e, sullo sfondo europeo, dal regolamento eIDAS. Il risultato è che ogni accesso lascia tracce tecniche, ma non tutte le tracce hanno lo stesso significato e non tutti i soggetti vedono le stesse informazioni.
Il punto centrale è questo: SPID registra gli eventi necessari a dimostrare che un’autenticazione è avvenuta, chi l’ha richiesta, verso quale servizio era diretta, con quale esito e con quale livello di sicurezza. Non registra, almeno presso l’Identity Provider (IdP), tutto ciò che l’utente fa dopo essere entrato nel portale.
