Regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio del 23 luglio 2014 in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno e che abroga la direttiva 1999/93/CE
Testo vigente
Art. 4 Principio del mercato interno
1. Non sono imposte restrizioni alla prestazione di servizi fiduciari nel territorio di uno Stato membro da parte di un prestatore di servizi fiduciari stabilito in un altro Stato membro per motivi che rientrano negli ambiti di applicazione del presente regolamento.
2. I prodotti e i servizi fiduciari conformi al presente regolamento godono della libera circolazione nel mercato interno.
Art. 5 Pseudonimi nelle transazioni elettroniche
Fatti salvi le norme specifiche del diritto dell’Unione o nazionale che impongono agli utenti di identificarsi o gli effetti giuridici che il diritto nazionale attribuisce agli pseudonimi, l’uso di pseudonimi scelti dall’utente non è vietato.
Capo II. Identificazione elettronica
Sezione 1. Portafoglio europeo di identità digitale
Art. 5 bis Portafogli europei di identità digitale
1. Al fine di garantire che tutte le persone fisiche e giuridiche nell’Unione abbiano un accesso transfrontaliero sicuro, affidabile e senza soluzione di continuità a servizi pubblici e privati, mantenendo nel contempo il pieno controllo dei loro dati, ciascuno Stato membro fornisce almeno un portafoglio europeo di identità digitale entro 24 mesi dalla data di entrata in vigore degli atti di esecuzione di cui al paragrafo 23 del presente articolo e all’articolo 5 quater, paragrafo 6.
2. I portafogli europei di identità digitale sono forniti in almeno uno dei modi seguenti:
a) direttamente da uno Stato membro;
b) su incarico di uno Stato membro;
c) indipendentemente da uno Stato membro pur essendo riconosciuti da quest’ultimo.
3. Il codice sorgente dei componenti software dell’applicazione dei portafogli europei di identità digitale è caratterizzato da una licenza open source. Gli Stati membri possono prevedere che, per motivi debitamente giustificati, il codice sorgente di componenti specifici diversi da quelli installati sui dispositivi degli utenti non sia divulgato.
4. I portafogli europei di identità digitale consentono all’utente, in modo intuitivo, trasparente e tracciabile da quest’ultimo, di:
a) richiedere, ottenere, selezionare, combinare, conservare, cancellare, condividere e presentare in modo sicuro, con il controllo esclusivo dell’utente, dati di identificazione personale e, se del caso, in combinazione con attestati elettronici di attributi, necessari per l’autenticazione delle parti facenti affidamento sulla certificazione online e, se del caso, in modalità offline, al fine di accedere ai servizi pubblici e privati, garantendo nel contempo che sia possibile la divulgazione selettiva dei dati;
b) generare pseudonimi e conservarli in modo cifrato e locale all’interno del portafoglio europeo di identità digitale;
c) autenticare in modo sicuro il portafoglio europeo di identità digitale di un’altra persona e ricevere e condividere dati di identificazione personale e attestati elettronici di attributi in modo sicuro tra i due portafogli europei di identità digitale;
d) accedere a un registro di tutte le transazioni effettuate mediante il portafoglio europeo di identità digitale attraverso un pannello di gestione comune che consente all’utente di:
i) visualizzare un elenco aggiornato delle parti facenti affidamento sulla certificazione con le quali l’utente ha stabilito una connessione e, se del caso, tutti i dati scambiati;
ii) chiedere facilmente che una parte facente affidamento sulla certificazione cancelli i dati personali a norma dell’articolo 17 del regolamento (UE) 2016/679;
iii) segnalare facilmente la parte facente affidamento sulla certificazione all’autorità nazionale di protezione dei dati competente qualora sia ricevuta una richiesta di dati personali presumibilmente illecita o sospetta;
e) firmare mediante firme elettroniche qualificate o apporre sigilli mediante sigilli elettronici qualificati;
f) scaricare, nella misura in cui ciò sia tecnicamente possibile, i dati dell’utente, gli attestati elettronici di attributi e le configurazioni;
g) esercitare il diritto dell’utente alla portabilità dei dati.
5.
In particolare, i portafogli europei di identità digitale:
a) sostengono protocolli e interfacce comuni:
i) per il rilascio di dati di identificazione personale, attestati elettronici qualificati e non qualificati di attributi o certificati qualificati e non qualificati al portafoglio europeo di identità digitale;
ii) per le parti facenti affidamento sulla certificazione ai fini della richiesta e della convalida dei dati di identificazione personale e degli attestati elettronici di attributi;
iii) per la condivisione e la presentazione alle parti facenti affidamento sulla certificazione di dati di identificazione personale, attestati elettronici di attributi o dati correlati divulgati selettivamente online e, se del caso, in modalità offline;
iv) affinché l’utente possa consentire l’interazione con il portafoglio europeo di identità digitale e visualizzare un marchio di fiducia UE per i portafogli di identità digitale;
v) per garantire in modo sicuro l’onboarding dell’utente utilizzando mezzi di identificazione elettronica a norma dell’articolo 5 bis, paragrafo 24;
vi) per l’interazione tra i portafogli europei di identità digitale di due persone, al fine di ricevere, convalidare e condividere dati di identificazione personale e attestati elettronici di attributi in modo sicuro;
vii) per l’autenticazione e l’identificazione delle parti facenti affidamento sulla certificazione mediante l’attuazione di meccanismi di autenticazione a norma dell’articolo 5 ter;
viii) affinché le parti facenti affidamento sulla certificazione verifichino l’autenticità e la validità dei portafogli europei di identità digitale;
ix) per chiedere a una parte facente affidamento sulla certificazione la cancellazione dei dati personali a norma dell’articolo 17 del regolamento (UE) 2016/679;
x) per segnalare una parte facente affidamento sulla certificazione all’autorità nazionale di protezione dei dati competente in caso di ricezione di una richiesta di dati presumibilmente illecita o sospetta;
xi) per la creazione, mediante dispositivi per la creazione di firme elettroniche qualificate o sigilli elettronici qualificati, di sigilli elettronici qualificati o firme elettroniche qualificate;
b) non forniscono ai prestatori di servizi fiduciari che forniscono attestati elettronici di attributi alcuna informazione sull’uso di tali attestati elettronici;
c) garantiscono che l’identità delle parti facenti affidamento sulla certificazione possa essere autenticata e identificata mediante l’attuazione di meccanismi di autenticazione a norma dell’articolo 5 ter;
d) soddisfano i requisiti di cui all’articolo 8 per quanto riguarda il livello di garanzia elevato, in particolare in relazione ai requisiti per il controllo e la verifica dell’identità e alla gestione e autenticazione dei mezzi di identificazione elettronica;
e) nel caso di attestato elettronico di attributi con politiche di divulgazione incorporate, attuano il meccanismo appropriato per informare l’utente che la parte facente affidamento sulla certificazione o l’utente del portafoglio europeo di identità digitale che richiede tale attestato elettronico di attributi ha il permesso di accedervi;
f) garantiscono che i dati di identificazione personale, disponibili dal regime di identificazione elettronica nell’ambito del quale è fornito il portafoglio europeo di identità digitale, rappresentino in modo univoco la persona fisica, la persona giuridica o la persona fisica che le rappresenta e siano associati a tale portafoglio europeo di identità digitale;
g) offrono a tutte le persone fisiche la possibilità di firmare mediante firme elettroniche qualificate per impostazione predefinita e gratuitamente.
Fatto salvo il primo comma, lettera g), gli Stati membri possono prevedere misure proporzionate per garantire che l’uso gratuito di firme elettroniche qualificate da parte di persone fisiche sia limitato a scopi non professionali.
6. Gli Stati membri informano gli utenti, senza indebito ritardo, di eventuali violazioni della sicurezza che potrebbero aver compromesso in tutto o in parte il loro portafoglio europeo di identità digitale o i relativi contenuti e, in particolare, se il loro portafoglio europei di identità digitale è stato sospeso o revocato a norma dell’articolo 5 sexies.
7. Fatto salvo l’articolo 5 septies, gli Stati membri possono prevedere, conformemente al diritto nazionale, funzionalità aggiuntive dei portafogli europei di identità digitale, compresa l’interoperabilità con i mezzi nazionali di identificazione elettronica esistenti. Tali funzionalità aggiuntive sono conformi al presente articolo.
8. Gli Stati membri prevedono meccanismi di convalida gratuiti per:
a) garantire che sia possibile verificare l’autenticità e la validità dei portafogli europei di identità digitale;
b) consentire agli utenti di verificare l’autenticità e la validità dell’identità delle parti facenti affidamento sulla certificazione registrate a norma dell’articolo 5 ter.
9. Gli Stati membri provvedono affinché la validità del portafoglio europeo di identità digitale possa essere revocata nelle circostanze seguenti:
a) su esplicita richiesta dell’utente;
b) qualora la sicurezza del portafoglio europeo di identità digitale sia stata compromessa;
c) alla morte dell’utente o alla cessazione dell’attività della persona giuridica.
10. I fornitori dei portafogli europei di identità digitale garantiscono che gli utenti possano facilmente richiedere assistenza tecnica e segnalare problemi tecnici o qualsiasi altro incidente che abbia un impatto negativo sull’uso del portafoglio europeo di identità digitale.
11. I portafogli europei di identità digitale sono forniti nell’ambito di un regime di identificazione elettronica il cui livello di garanzia è elevato.
12. I portafogli europei di identità digitale garantiscono la sicurezza fin dalla progettazione.
13. I portafogli europei di identità digitale sono emessi, utilizzati e revocati gratuitamente a tutte le persone fisiche.
14. Gli utenti hanno il pieno controllo dell’uso del loro portafoglio europeo di identità digitale e dei dati in esso contenuti. Il fornitore del portafoglio europeo di identità digitale non raccoglie informazioni relative all’uso del portafoglio europeo di identità digitale che non sono necessarie per la prestazione dei servizi del portafoglio europeo di identità digitale, né combina i dati di identificazione personale o gli altri dati personali conservati nel portafoglio europeo di identità digitale o relativi al suo uso con i dati personali provenienti da altri servizi offerti da tale fornitore o da servizi di terzi che non sono necessari per la prestazione dei servizi del portafoglio europeo di identità digitale, a meno che l’utente non l’abbia richiesto espressamente. I dati personali relativi alla fornitura del portafoglio europeo di identità digitale sono tenuti logicamente separati dagli altri dati detenuti dal fornitore del portafoglio europeo di identità digitale. Se il portafoglio europeo di identità digitale è fornito da soggetti privati conformemente al paragrafo 2, lettere b) e c), del presente articolo, si applicano, mutatis mutandis, le disposizioni di cui all’articolo 45 nonies, paragrafo 3.
15. L’uso dei portafogli europei di identità digitale è facoltativo. L’accesso ai servizi pubblici e privati e al mercato del lavoro nonché la libertà d’impresa non sono in alcun modo limitati o resi svantaggiosi per le persone fisiche o giuridiche che non utilizzano i portafogli europei di identità digitale. Resta possibile accedere ai servizi pubblici e privati con altri mezzi di identificazione e autenticazione esistenti.
16. Il quadro tecnico del portafoglio europeo di identità digitale:
a) non consente ai fornitori di attestati elettronici di attributi o a qualsiasi altra parte, dopo il rilascio dell’attestato di attributi, di ottenere dati che consentano di tracciare, collegare o correlare le transazioni o il comportamento dell’utente o di venirne in altro modo a conoscenza, salvo esplicita autorizzazione dell’utente;
b) rende possibili tecniche di tutela della vita privata che impediscono i collegamenti, laddove l’attestato di attributi non richieda l’identificazione dell’utente.
17. Il trattamento di dati personali effettuato dagli Stati membri o per loro conto da organismi o parti responsabili della fornitura dei portafogli europei di identità digitale come mezzo di identificazione elettronica è effettuato nel rispetto di misure di protezione dei dati adeguate ed efficaci. Si deve dimostrare la conformità al regolamento (UE) 2016/679 di tale trattamento. Gli Stati membri possono introdurre disposizioni nazionali per specificare ulteriormente l’applicazione di tali misure.
18.
Gli Stati membri notificano alla Commissione, senza indebito ritardo, informazioni riguardanti:
a) l’organismo responsabile dell’elaborazione e del mantenimento dell’elenco delle parti facenti affidamento sulla certificazione registrate che si avvalgono dei portafogli europei di identità digitale a norma dell’articolo 5 ter, paragrafo 5, e l’ubicazione di tale elenco;
b) gli organismi responsabili della fornitura dei portafogli europei di identità digitale a norma dell’articolo 5 bis, paragrafo 1;
c) gli organismi responsabili di garantire che i dati di identificazione personale siano associati al portafoglio europeo di identità digitale a norma dell’articolo 5 bis, paragrafo 5, lettera f);
d) il meccanismo che consente la convalida dei dati di identificazione personale di cui all’articolo 5 bis, paragrafo 5, lettera f), e dell’identità delle parti facenti affidamento sulla certificazione;
e) il meccanismo di convalida dell’autenticità e della validità dei portafogli europei di identità digitale.
La Commissione mette a disposizione del pubblico le informazioni notificate a norma del presente comma attraverso un canale sicuro, in forma firmata o sigillata elettronicamente e adatta al trattamento automatizzato.
19. Fatto salvo il paragrafo 22 del presente articolo, l’articolo 11 si applica, mutatis mutandis, al portafoglio europeo di identità digitale.
20. L’articolo 24, paragrafo 2, lettera b) e lettere da d) a h), si applica, mutatis mutandis, ai fornitori dei portafogli europei di identità digitale.
21. I portafogli europei di identità digitale sono resi accessibili per l’uso da parte delle persone con disabilità, in condizioni di parità con gli altri utenti, conformemente alla direttiva (UE) 2019/882 del Parlamento europeo e del Consiglio3.
22. Ai fini della fornitura dei portafogli europei di identità digitale, i portafogli europei di identità digitale e i regimi di identificazione elettronica nell’ambito dei quali sono forniti non sono soggetti ai requisiti di cui agli articoli 7, 9, 10, 12 e 12 bis.
23. Entro il 21 novembre 2024 la Commissione, mediante atti di esecuzione, stabilisce un elenco di norme di riferimento e, se necessario, stabilisce specifiche e procedure applicabili ai requisiti di cui ai paragrafi 4, 5, 8 e 18 del presente articolo relativamente all’attuazione del portafoglio europeo di identità digitale. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
24. La Commissione, mediante atti di esecuzione, stabilisce un elenco di norme di riferimento e, se necessario, stabilisce specifiche e procedure per facilitare l’onboarding degli utenti nel portafoglio europeo di identità digitale tramite mezzi di identificazione elettronica conformi al livello di garanzia elevato o mezzi di identificazione elettronica conformi al livello di garanzia significativo unitamente a ulteriori procedure di onboarding a distanza che, insieme, soddisfano i requisiti del livello di garanzia elevato. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Art. 5 ter Parti facenti affidamento sulla certificazione dei portafogli europei di identità digitale
1. Qualora intenda avvalersi dei portafogli europei di identità digitale per la fornitura di servizi pubblici o privati mediante interazione digitale, la parte facente affidamento sulla certificazione si registra nello Stato membro in cui è stabilita .
2. La procedura di registrazione è efficace sotto il profilo dei costi e proporzionata al rischio. La parte facente affidamento sulla certificazione fornisce almeno:
a) le informazioni necessarie per autenticarsi nei portafogli europei di identità digitale, che comprendono almeno:
i) lo Stato membro in cui la parte facente affidamento sulla certificazione è stabilita; e
ii) il nome della parte facente affidamento sulla certificazione e, se del caso, il suo numero di registrazione quale appare in un documento ufficiale, unitamente ai dati di identificazione di tale documento ufficiale;
b) i dati di contatto della parte facente affidamento sulla certificazione;
c) l’uso previsto dei portafogli europei di identità digitale, compresa una indicazione dei dati che la parte facente affidamento sulla certificazione deve richiedere agli utenti.
3. Le parti facenti affidamento sulla certificazione non chiedono agli utenti di fornire dati diversi da quelli di cui all’indicazione fornita a norma del paragrafo 2, lettera c).
4. I paragrafi 1 e 2 lasciano impregiudicato il diritto dell’Unione o nazionale applicabile alla prestazione di servizi specifici.
5. Gli Stati membri rendono pubbliche online le informazioni di cui al paragrafo 2, in forma firmata o sigillata elettronicamente e adatta al trattamento automatizzato.
6. Le parti facenti affidamento sulla certificazione registrate a norma del presente articolo informano senza indugio gli Stati membri in merito alle modifiche delle informazioni fornite nella registrazione a norma del paragrafo 2.
7. Gli Stati membri prevedono un meccanismo comune che consente l’identificazione e l’autenticazione delle parti facenti affidamento sulla certificazione, secondo quanto previsto all’articolo 5 bis, paragrafo 5, lettera c).
8. Qualora intendano avvalersi dei portafogli europei di identità digitale, le parti facenti affidamento sulla certificazione si identificano nei confronti dell’utente.
9. Le parti facenti affidamento sulla certificazione sono responsabili dell’esecuzione della procedura di autenticazione e di convalida dei dati di identificazione personale e degli attestati elettronici di attributi richiesti dai portafogli europei di identità digitale. Le parti facenti affidamento sulla certificazione non rifiutano l’uso di pseudonimi se l’identificazione dell’utente non è richiesta dal diritto dell’Unione o nazionale.
10. Gli intermediari che agiscono per conto delle parti facenti affidamento sulla certificazione sono considerati parti facenti affidamento sulla certificazione e non conservano dati sul contenuto della transazione.
11. Entro 21 novembre 2024 la Commissione, mediante atti di esecuzione relativi all’attuazione dei portafogli europei di identità digitale di cui all’articolo 6 bis, paragrafo 23, stabilisce specifiche e procedure tecniche per i requisiti di cui ai paragrafi 2, 5 e da 6a 9 del presente articolo. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Art. 5 quater Certificazione dei portafogli europei di identità digitale
1. La conformità dei portafogli europei di identità digitale e dei regimi di identificazione elettronica nell’ambito dei quali sono forniti ai requisiti di cui all’articolo 5 bis, paragrafi 4, 5 e 8, al requisito della separazione logica di cui all’articolo 5 bis, paragrafo 14, e, se del caso, alle norme e alle specifiche tecniche di cui all’articolo 5 bis, paragrafo 24, è certificata da organismi di valutazione della conformità designati dagli Stati membri.
2. La certificazione della conformità dei portafogli europei di identità digitale ai requisiti di cui al paragrafo 1 del presente articolo, o di parti di essi, che sono pertinenti in materia di cibersicurezza, è effettuata in conformità dei sistemi europei di certificazione della cibersicurezza adottati a norma del regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio4 e menzionati negli atti di esecuzione di cui al paragrafo 6 del presente articolo.
3. Gli Stati membri istituiscono sistemi nazionali di certificazione secondo i requisiti stabiliti negli atti di esecuzione di cui al paragrafo 6 del presente articolo per i requisiti di cui al paragrafo 1 del presente articolo che non sono pertinenti in materia di cibersicurezza e per i requisiti di cui al paragrafo 1 del presente articolo che sono pertinenti in materia di cibersicurezza nella misura in cui i sistemi di certificazione della cibersicurezza di cui al paragrafo 2 del presente articolo non contemplino, o contemplino solo parzialmente, tali requisiti di cibersicurezza, anche per tali requisiti. Gli Stati membri trasmettono i loro progetti di sistemi nazionali di certificazione al gruppo di cooperazione per l’identità digitale europea istituito a norma dell’articolo 46 sexies, paragrafo 1 (“gruppo di cooperazione”). Il gruppo di cooperazione può formulare pareri e raccomandazioni.
4. La certificazione a norma del paragrafo 1 è valida fino a cinque anni, a condizione che sia effettuata una valutazione di vulnerabilità ogni due anni. Qualora sia individuata una vulnerabilità a cui non è posto rimedio ‘in modo tempestivo, la certificazione è annullata.
5. La conformità ai requisiti di cui all’articolo 5 bis relativi ai trattamenti dei dati personali può essere certificata a norma del regolamento (UE) 2016/679.
6. Entro il 21 novembre 2024 la Commissione, mediante atti di esecuzione, stabilisce un elenco di norme di riferimento e, se necessario, stabilisce specifiche e procedure applicabili alla certificazione dei portafogli europei di identità digitale di cui ai paragrafi 1, 2 e 3 del presente articolo. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
7. Gli Stati membri comunicano alla Commissione i nomi e gli indirizzi degli organismi di valutazione della conformità di cui al paragrafo 1. La Commissione mette tali informazioni a disposizione di tutti gli Stati membri.
8. Alla Commissione è conferito il potere di adottare atti delegati, conformemente all’articolo 47, che fissano criteri specifici che gli organismi di valutazione della conformità designati di cui al paragrafo 1 del presente articolo devono soddisfare.
Art. 5 quinquies Pubblicazione di un elenco dei portafogli europei di identità digitale certificati
1. Gli Stati membri informano senza indebito ritardo la Commissione e il gruppo di cooperazione istituito a norma dell’articolo 46 sexies, paragrafo 1, in merito ai portafogli europei di identità digitale che sono stati forniti a norma dell’articolo 5 bis e certificati dagli organismi di valutazione della conformità di cui all’articolo 5 quater, paragrafo 1. Essi informano senza indebito ritardo la Commissione e il gruppo di cooperazione istituito a norma dell’articolo 46 sexies, paragrafo 1, dell’eventuale annullamento di una certificazione e ne indicano i motivi.
2. Fatto salvo l’articolo 5 bis, paragrafo 18, le informazioni fornite dagli Stati membri di cui al paragrafo 1 del presente articolo comprendono almeno:
a) il certificato e la relazione di valutazione della certificazione del portafoglio europeo di identità digitale certificato;
b) una descrizione del regime di identificazione elettronica nell’ambito del quale è fornito il portafoglio europeo di identità digitale;
c) il regime di vigilanza applicabile e informazioni sul regime di responsabilità per quanto riguarda la parte che fornisce il portafoglio europeo di identità digitale;
d) l’autorità o le autorità responsabili del regime di identificazione elettronica;
e) disposizioni per la sospensione o la revoca del regime di identificazione elettronica o dell’autenticazione oppure di parti compromesse dell’uno o dell’altra.
3. Sulla base delle informazioni pervenutele a norma del paragrafo 1, la Commissione redige, pubblica nella Gazzetta ufficiale dell’Unione europea e mantiene, in un formato leggibile meccanicamente, un elenco dei portafogli europei di identità digitale certificati.
4. Uno Stato membro può presentare alla Commissione una richiesta di eliminazione, dall’elenco di cui al paragrafo 3, di un portafoglio europeo di identità digitale e del regime di identificazione elettronica nell’ambito del quale è fornito.
5. Qualora le informazioni fornite a norma del paragrafo 1 subiscano modifiche, lo Stato membro fornisce alla Commissione informazioni aggiornate.
6. La Commissione tiene aggiornato l’elenco di cui al paragrafo 3 pubblicando nella Gazzetta ufficiale dell’Unione europea le corrispondenti modifiche dell’elenco entro un mese dalla ricezione di una richiesta a norma del paragrafo 4 o di informazioni aggiornate a norma del paragrafo 5.
7. Entro il 21 novembre 2024 la Commissione, mediante atti di esecuzione relativo all’attuazione dei portafogli europei di identità digitale di cui all’articolo 5 bis, paragrafo 23, stabilisce i formati e le procedure applicabili ai fini dei paragrafi 1, 4 e 5 del presente articolo. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Art. 5 sexies Violazione della sicurezza dei portafogli europei di identità digitale
1.
In caso di violazione o parziale compromissione dei portafogli europei di identità digitale forniti a norma dell’articolo 5 bis, dei meccanismi di convalida di cui all’articolo 5 bis, paragrafo 8, o del regime di identificazione elettronica nell’ambito del quale sono forniti i portafogli europei di identità digitale, tale da pregiudicare la loro affidabilità o l’affidabilità di altri portafogli europei di identità digitale, lo Stato membro che ha fornito i portafogli europei di identità digitale sospende senza indebito ritardo la fornitura e l’uso di portafogli europei di identità digitale.
Se giustificato dalla gravità della violazione della sicurezza o della compromissione di cui al primo comma, lo Stato membro ritira i portafogli europei di identità digitale senza indebito ritardo.
Lo Stato membro informa di conseguenza gli utenti interessati, i punti di contatto unici designati a norma dell’articolo 46 quater, paragrafo 1, le parti facenti affidamento sulla certificazione e la Commissione.
2. Qualora non sia posto rimedio alla violazione della sicurezza o alla compromissione di cui al paragrafo 1, primo comma, del presente articolo entro tre mesi dalla sospensione, lo Stato membro che ha fornito i portafogli europei di identità digitale ritira i portafogli europei di identità digitale e ne revoca la validità. Lo Stato membro informa di conseguenza gli utenti interessati, i punti di contatto unici designati a norma dell’articolo 46 quater, paragrafo 1, le parti facenti affidamento sulla certificazione e la Commissione in merito alla revoca.
3. Una volta posto rimedio alla violazione della sicurezza o alla compromissione di cui al paragrafo 1, primo comma, del presente articolo, lo Stato membro fornitore ripristina la fornitura e l’utilizzo dei portafogli europei di identità digitale e informa senza indebito ritardo gli utenti interessati e le parti facenti affidamento sulla certificazione, i punti di contatto unici designati a norma dell’articolo 46 quater, paragrafo 1, e la Commissione.
4. La Commissione pubblica senza indebito ritardo le corrispondenti modifiche dell’elenco di cui all’articolo 5 quinquies nella Gazzetta ufficiale dell’Unione europea.
5. Entro il 21 novembre 2024 la Commissione, mediante atti di esecuzione, stabilisce un elenco di norme di riferimento e, se necessario, stabilisce specifiche e procedure applicabili alle misure di cui ai paragrafi 1, 2 e 3 del presente articolo. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Art. 5 septies Ricorso transfrontaliero ai portafogli europei di identità digitale
1. Qualora gli Stati membri richiedano l’identificazione e l’autenticazione elettroniche per accedere a servizi online prestati da un organismo del settore pubblico, essi accettano anche i portafogli europei di identità digitale forniti conformemente al presente regolamento.
2. Qualora a norma del diritto dell’Unione o nazionale le parti private facenti affidamento sulla certificazione che forniscono servizi, ad eccezione delle microimprese e delle piccole imprese quali definite all’articolo 2 dell’allegato della raccomandazione 2003/361/CE della Commissione5, siano tenute a utilizzare l’autenticazione forte dell’utente per l’identificazione online, o qualora l’identificazione forte dell’utente per l’identificazione online sia richiesta per obbligo contrattuale, anche nei settori dei trasporti, dell’energia, delle banche, dei servizi finanziari, della sicurezza sociale, della sanità, dell’acqua potabile, dei servizi postali, dell’infrastruttura digitale, dell’istruzione o delle telecomunicazioni, tali parti private facenti affidamento sulla certificazione accettano, entro 36 mesi dalla data di entrata in vigore degli atti di esecuzione di cui all’articolo 5 bis, paragrafo 23, e all’articolo 5 quater, paragrafo 6, e solo su richiesta volontaria dell’utente, anche i portafogli europei di identità digitale forniti conformemente al presente regolamento.
3. Qualora i fornitori delle piattaforme online di dimensioni molto grandi di cui all’articolo 33 del regolamento (UE) 2022/2065 del Parlamento europeo e del Consiglio6 richiedano l’autenticazione degli utenti per l’accesso ai servizi online, essi accettano e agevolano anche l’uso dei portafogli europei di identità digitale forniti conformemente al presente regolamento per l’autenticazione degli utenti, esclusivamente su richiesta volontaria dell’utente e nel rispetto dei dati minimi necessari per lo specifico servizio online per il quale è richiesta l’autenticazione.
4. In collaborazione con gli Stati membri, la Commissione facilita l’elaborazione di codici di condotta in stretta cooperazione con tutti i pertinenti portatori di interessi, compresa la società civile, per contribuire all’ampia disponibilità e utilizzabilità dei portafogli europei di identità digitale che rientrano nell’ambito di applicazione del presente regolamento nonché per incoraggiare i prestatori di servizi a ultimare l’elaborazione dei codici di condotta.
5. Entro 24 mesi dall’introduzione dei portafogli europei di identità digitale la Commissione valuta la domanda di portafogli europei di identità digitale, nonché la loro disponibilità e utilizzabilità, tenendo conto di criteri quali l’adozione da parte degli utenti, la presenza transfrontaliera dei prestatori di servizi, gli sviluppi tecnologici, l’evoluzione dei modelli di utilizzo e la domanda dei consumatori.
Sezione 2. Regimi di identificazione elettronica
Art. 6 Riconoscimento reciproco
1.
Ove il diritto o la prassi amministrativa nazionale richiedano l’impiego di un’identificazione elettronica mediante mezzi di identificazione e autenticazione elettroniche per accedere a un servizio prestato da un organismo del settore pubblico online in uno Stato membro, i mezzi di identificazione elettronica rilasciati in un altro Stato membro sono riconosciuti nel primo Stato membro ai fini dell’autenticazione transfrontaliera di tale servizio online, purché soddisfino le seguenti condizioni:
a) i mezzi di identificazione elettronica sono rilasciati nell’ambito di un regime di identificazione elettronica compreso nell’elenco pubblicato dalla Commissione a norma dell’articolo 9;
b) il livello di garanzia dei mezzi di identificazione elettronica corrisponde a un livello di garanzia pari o superiore al livello di garanzia richiesto dall’organismo del settore pubblico competente per accedere al servizio online in questione nel primo Stato membro, sempre che il livello di garanzia di tali mezzi di identificazione elettronica corrisponda al livello di garanzia significativo o elevato;
c) l’organismo del settore pubblico competente usa il livello di garanzia significativo o elevato in relazione all’accesso a tale servizio online.
Tale riconoscimento ha luogo non oltre 12 mesi dalla data in cui la Commissione pubblica l’elenco i di cui alla lettera a), primo comma.
2. Un mezzo di identificazione elettronica rilasciato nell’ambito di un regime di identificazione elettronica compreso nell’elenco pubblicato dalla Commissione a norma dell’articolo 9 e che corrisponde al livello di garanzia basso può essere riconosciuto dagli organismi del settore pubblico ai fini dell’autenticazione transfrontaliera del servizio prestato online da tali organismi.
Art. 7 Ammissibilità alla notifica dei regimi di identificazione elettronica
Un regime di identificazione elettronica è ammesso alla notifica ai sensi dell’articolo 9, paragrafo 1, purché soddisfi tutte le seguenti condizioni:
a) i mezzi di identificazione elettronica nell’ambito del regime di identificazione elettronica sono rilasciati:
i) dallo Stato membro notificante;
ii) su incarico dello Stato membro notificante; o
iii) a titolo indipendente dallo Stato membro notificante e sono riconosciuti da tale Stato membro;
b) i mezzi di identificazione elettronica nell’ambito del regime di identificazione elettronica possono essere utilizzati per accedere almeno a un servizio che è fornito da un organismo del settore pubblico e che richiede l’identificazione elettronica nello Stato membro notificante;
c) il regime di identificazione elettronica e i mezzi di identificazione elettronica rilasciati conformemente alle sue disposizioni soddisfano i requisiti di almeno uno dei livelli di garanzia stabiliti nell’atto di esecuzione di cui all’articolo 8, paragrafo 3;
d) lo Stato membro notificante garantisce che i dati di identificazione personale che rappresentano unicamente la persona in questione siano attribuiti, conformemente alle specifiche tecniche, norme e procedure relative al pertinente livello di garanzia definito nell’atto di esecuzione di cui all’articolo 8, paragrafo 3, alla persona fisica o giuridica di cui all’articolo 3, punto 1, al momento in cui è rilasciata l’identificazione elettronica nell’ambito di detto regime;
e) la parte che rilascia i mezzi di identificazione elettronica nell’ambito di detto regime assicura che i mezzi di identificazione elettronica siano attribuiti alla persona di cui alla lettera d) del presente articolo conformemente alle specifiche, norme e procedure tecniche relative al pertinente livello di garanzia definito nnell’atto di esecuzione di cui all’articolo 8, paragrafo 3;
f) lo Stato membro notificante garantisce la disponibilità dell’autenticazione online, per consentire alle parti facenti affidamento sulla certificazione stabilite nel territorio di un altro Stato membro di confermare i dati di identificazione personale che hanno ricevuto in forma elettronica. Per le parti facenti affidamento sulla certificazione diverse dagli organismi del settore pubblico, lo Stato membro notificante può definire i termini di accesso a tale autenticazione. Quando l’autenticazione transfrontaliera è effettuata in relazione a un servizio online prestato da un organismo del settore pubblico, essa è fornita a titolo gratuito. Gli Stati membri non impongono alcun requisito tecnico specifico sproporzionato alle parti facenti affidamento sulla certificazione che intendono effettuare tale autenticazione, qualora tali requisiti impediscano o ostacolino notevolmente l’interoperabilità dei regimi di identificazione elettronica notificati;
g) almeno sei mesi prima della notifica di cui all’articolo 9, paragrafo 1, lo Stato membro notificante fornisce agli altri Stati membri, ai fini dell’articolo 12, paragrafo 5, una descrizione di tale regime conformemente alle modalità procedurali stabilite dagli atti di esecuzione adottati a norma dell’articolo 12, paragrafo 6;
h) il regime di identificazione elettronica soddisfa i requisiti definiti nell’atto di esecuzione di cui all’articolo 12, paragrafo 8.
Art. 8 Livelli di garanzia dei regimi di identificazione elettronica
1. Un regime di identificazione elettronica notificato a norma dell’articolo 9, paragrafo 1, specifica livelli di garanzia basso, significativo e/o elevato per i mezzi di identificazione elettronica rilasciati nell’ambito di detto regime.
2. I livelli di garanzia basso, significativo e elevato soddisfano rispettivamente i seguenti criteri:
a) il livello di garanzia basso si riferisce a mezzi di identificazione elettronica nel contesto di un regime di identificazione elettronica che fornisce un grado di sicurezza limitato riguardo all’identità pretesa o dichiarata di una persona ed è caratterizzato in riferimento a specifiche, norme e procedure tecniche a esso pertinenti, compresi controlli tecnici, il cui scopo è quello di ridurre il rischio di uso abusivo o alterazione dell’identità;
b) il livello di garanzia significativo si riferisce a mezzi di identificazione elettronica nel contesto di un regime di identificazione elettronica che fornisce un grado di sicurezza significativo riguardo all’identità pretesa o dichiarata di una persona ed è caratterizzato in riferimento a specifiche, norme e procedure tecniche a esso pertinenti, compresi controlli tecnici, il cui scopo è quello di ridurre significativamente il rischio di uso abusivo o alterazione dell’identità;
c) il livello di garanzia elevato si riferisce a un mezzo di identificazione elettronica nel contesto di un regime di identificazione elettronica che fornisce riguardo all’identità pretesa o dichiarata di una persona un grado di sicurezza più elevato dei mezzi di identificazione elettronica aventi un livello di garanzia significativo ed è caratterizzato in riferimento a specifiche, norme e procedure tecniche a esso pertinenti, compresi controlli tecnici, il cui scopo è quello di impedire l’uso abusivo o l’alterazione dell’identità.
3.
Entro il 18 settembre 2015, tenendo conto delle norme internazionali pertinenti e fatto salvo il paragrafo 2, la Commissione, mediante atti di esecuzione, definisce le specifiche, norme e procedure tecniche minime in riferimento alle quali sono specificati i livelli di garanzia basso, significativo e elevato dei mezzi di identificazione elettronica.;
Le suddette specifiche, norme e procedure tecniche minime sono fissate facendo riferimento all’affidabilità e alla qualità dei seguenti elementi:
a) della procedura di controllo e verifica dell’identità delle persone fisiche o giuridiche che chiedono il rilascio dei mezzi di identificazione elettronica;
b) della procedura di rilascio dei mezzi di identificazione elettronica richiesti;
c) del meccanismo di autenticazione mediante il quale la persona fisica o giuridica usa i mezzi di identificazione elettronica per confermare la propria identità a una parte facente affidamento sulla certificazione;
d) dell’entità che rilascia i mezzi di identificazione elettronica;
e) di qualsiasi altro organismo implicato nella domanda di rilascio dei mezzi di identificazione elettronica; e
f) delle specifiche tecniche e di sicurezza dei mezzi di identificazione elettronica rilasciati.
Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Art. 9 Notifica
1. Lo Stato membro notificante rende note alla Commissione le informazioni seguenti e, senza indugio, qualsiasi loro successiva modifica:
a) una descrizione del regime di identificazione elettronica, con indicazione dei suoi livelli di garanzia e della o delle entità che rilasciano i mezzi di identificazione elettronica nell’ambito del regime;
b) il regime di vigilanza e il regime di informazioni sulla responsabilità applicabili per quanto riguarda:
i) la parte che rilascia i mezzi di identificazione elettronica; e
ii) la parte che gestisce la procedura di autenticazione;
c) l’autorità o le autorità responsabili del regime di identificazione elettronica;
d) informazioni sull’entità o sulle entità che gestiscono la registrazione dei dati unici di identificazione personale;
e) una descrizione di come sono soddisfatti i requisiti definiti negli atti di esecuzione di cui all’articolo 12, paragrafo 8;
f) una descrizione dell’autenticazione di cui all’articolo 7, lettera f);
g) disposizioni per la sospensione o la revoca del regime di identificazione elettronica notificato o dell’autenticazione oppure di parti compromesse dell’uno o dell’altra.
2. La Commissione pubblica nella Gazzetta ufficiale dell’Unione europea, senza indebito ritardo, un elenco dei regimi di identificazione elettronica notificati a norma del paragrafo 1 congiuntamente alle informazioni fondamentali su tali regimi.
3. La Commissione pubblica nella Gazzetta ufficiale dell’Unione europea le modifiche dell’elenco di cui al paragrafo 2 entro un mese dalla ricezione delle notifiche.
4. Uno Stato membro può presentare alla Commissione una richiesta di eliminazione del regime di identificazione elettronica da esso notificato dall’elenco di cui al paragrafo 2. La Commissione pubblica nella Gazzetta ufficiale dell’Unione europea le corrispondenti modifiche dell’elenco entro un mese dalla data di ricezione della richiesta dello Stato membro.
5. La Commissione può, mediante atti di esecuzione, definire le circostanze, i formati e le procedure delle notifiche a norma del paragrafo 1. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Art. 10 Violazione della sicurezza dei regimi di identificazione elettronica
1. In caso di violazione o parziale compromissione del regime di identificazione elettronica notificato ai sensi dell’articolo 9, paragrafo 1, o dell’autenticazione di cui all’articolo 7, lettera f), con limitazione dell’affidabilità dell’autenticazione transfrontaliera di tale regime, lo Stato membro notificante senza indugio sospende o revoca tale autenticazione transfrontaliera o le sue parti compromesse e ne informa gli altri Stati membri e la Commissione.
2. Una volta posto rimedio alla violazione o alla compromissione di cui al paragrafo 1, lo Stato membro notificante ristabilisce l’autenticazione transfrontaliera e informa senza indugio gli altri Stati membri e la Commissione.
3.
Qualora non sia posto rimedio alla violazione o alla compromissione di cui al paragrafo 1 entro tre mesi dalla sospensione o dalla revoca, lo Stato membro notificante notifica agli altri Stati membri e alla Commissione il ritiro del regime di identificazione elettronica.
La Commissione pubblica senza indebito ritardo le corrispondenti modifiche dell’elenco di cui all’articolo 9, paragrafo 2, nella Gazzetta ufficiale dell’Unione europea.
Art. 11 Responsabilità
1. Lo Stato membro notificante è responsabile per i danni causati, con dolo o per negligenza, a qualsiasi persona fisica o giuridica in seguito al mancato adempimento dei suoi obblighi di cui all’articolo 7, lettere d) e f), in una transazione transfrontaliera.
2. La parte che rilascia i mezzi di identificazione elettronica è responsabile di danni causati con dolo o per negligenza a qualsiasi persona fisica o giuridica in seguito al mancato adempimento dell’obbligo di cui all’articolo 7, lettera e), in una transazione transfrontaliera.
3. La parte che gestisce la procedura di autenticazione è responsabile di danni causati con dolo o per negligenza a qualsiasi persona fisica o giuridica per non avere garantito la corretta gestione dell’autenticazione di cui all’articolo 7, lettera f), in una transazione transfrontaliera.
4. I paragrafi 1, 2 e 3 si applicano conformemente alle norme nazionali in materia di responsabilità.
5. I paragrafi 1, 2 e 3 lasciano impregiudicata la responsabilità conformemente al diritto nazionale delle parti di una transazione in cui sono utilizzati mezzi di identificazione elettronica che rientrano nel regime di identificazione elettronica notificato a norma dell’articolo 9, paragrafo 1.
Art. 11 bis Corrispondenza dell’identità a livello transfrontaliero
1. Quando fungono da parti facenti affidamento sulla certificazione per i servizi transfrontalieri, gli Stati membri garantiscono una corrispondenza univoca dell’identità delle persone fisiche che utilizzano mezzi di identificazione elettronica notificati o i portafogli europei di identità digitale.
2. Gli Stati membri prevedono misure tecniche e organizzative per garantire un livello elevato di protezione dei dati personali utilizzati per la corrispondenza dell’identità e per prevenire la profilazione degli utenti.
3. Entro il 21 novembre 2024 la Commissione stabilisce un elenco di norme di riferimento e, se necessario, stabilisce specifiche e procedure applicabili ai requisiti di cui al paragrafo 1 del presente articolo mediante atti di esecuzione. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Art. 12 Interoperabilità
1. I regimi nazionali di identificazione elettronica notificati a norma dell’articolo 9, paragrafo 1, sono interoperabili.
2. È istituito un quadro di interoperabilità ai fini del paragrafo 1.
3. Il quadro di interoperabilità risponde ai seguenti criteri:
a) mira a essere neutrale dal punto di vista tecnologico e non comporta discriminazioni tra specifiche soluzioni tecniche nazionali per l’identificazione elettronica all’interno di uno Stato membro;
b) segue, ove possibile, le norme europee e internazionali;
c) facilita l’applicazione della tutela della vita privata e della sicurezza fin dalla progettazione;
d)
4. Il quadro di interoperabilità è composto da:
a) un riferimento ai requisiti tecnici minimi connessi ai livelli di garanzia di cui all’articolo 8;
b) una mappatura dei livelli di garanzia nazionali dei regimi di identificazione elettronica notificati in base ai livelli di garanzia di cui all’articolo 8;
c) un riferimento ai requisiti tecnici minimi di interoperabilità;
d) un riferimento a un insieme minimo di dati di identificazione personale necessari a rappresentare in modo univoco una persona fisica o giuridica, una persona fisica che rappresenta un’altra persona fisica o una persona giuridica disponibile nell’ambito dei regimi di identificazione elettronica;
e) norme di procedura;
f) disposizioni per la risoluzione delle controversie; e
g) norme di sicurezza operativa comuni.
5. Gli Stati membri effettuano valutazioni tra pari dei regimi di identificazione elettronica che rientrano nell’ambito di applicazione del presente regolamento e che devono essere notificati a norma dell’articolo 9, paragrafo 1, lettera a).
6. Entro il 18 marzo 2025 la Commissione, mediante atti di esecuzione, fissa le modalità procedurali necessarie per le valutazioni tra pari di cui al paragrafo 5 del presente articolo, al fine di promuovere un elevato livello di fiducia e di sicurezza, commisurato al grado di rischio esistente. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
8. Entro il 18 settembre 2025, al fine di garantire condizioni uniformi di esecuzione del requisito di cui al paragrafo 1 del presente articolo, la Commissione, fatti salvi i criteri di cui al paragrafo 3 del presente articolo e tenendo conto dei risultati della cooperazione fra gli Stati membri, adotta atti di esecuzione sul quadro di interoperabilità quale definito al paragrafo 4 del presente articolo. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
9. Gli atti di esecuzione di cui a paragrafi 7 e 8 sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Art. 12 bis Certificazione dei regimi di identificazione elettronica
1. La conformità ai requisiti di cibersicurezza di cui al presente regolamento dei regimi di identificazione elettronica da notificare, compresa la conformità ai pertinenti requisiti di cibersicurezza di cui all’articolo 8, paragrafo 2, per quanto riguarda i livelli di garanzia dei regimi di identificazione elettronica, è certificata dagli organismi di valutazione della conformità designati dagli Stati membri.
2. La certificazione ai sensi del paragrafo 1 del presente articolo è effettuata nell’ambito di un pertinente sistema di certificazione della cibersicurezza a norma del regolamento (UE) 2019/881, o di parti di esso, nella misura in cui il certificato di cibersicurezza o parti di esso contemplino tali requisiti di cibersicurezza.
3. La certificazione di cui al paragrafo 1 è valida per un periodo massimo di cinque anni, a condizione che sia effettuata una valutazione delle vulnerabilità ogni due anni. Qualora sia individuata una vulnerabilità a cui non è posto rimedio entro tre mesi dall’individuazione, la certificazione è annullata.
4. Fatto salvo il paragrafo 2, gli Stati membri possono, conformemente a tale paragrafo, chiedere a uno Stato membro notificante informazioni supplementari sui regimi di identificazione elettronica, o su parti di essi, certificati.
5. La valutazione tra pari dei regimi di identificazione elettronica di cui all’articolo 12, paragrafo 5, non si applica ai regimi di identificazione elettronica, o a parti di essi, certificati conformemente al paragrafo 1 del presente articolo. Gli Stati membri possono utilizzare un certificato o una dichiarazione di conformità, rilasciati conformemente a un pertinente sistema di certificazione o a parti di esso, ai requisiti non relativi alla cibersicurezza di cui all’articolo 8, paragrafo 2, per quanto riguarda il livello di garanzia dei regimi di identificazione elettronica.
6. Gli Stati membri comunicano alla Commissione i nomi e gli indirizzi degli organismi di valutazione della conformità di cui al paragrafo 1. La Commissione mette tali informazioni a disposizione di tutti gli Stati membri.
Art. 12 ter Accesso a componenti hardware e software
Se i fornitori di portafogli europei di identità digitale e gli emittenti di mezzi di identificazione elettronica notificati che agiscono a titolo commerciale o professionale e utilizzano i servizi di piattaforma di base definiti all’articolo 2, punto 2, del regolamento (UE) 2022/1925 del Parlamento europeo e del Consiglio7 ai fini della fornitura, agli utenti finali, di servizi del portafoglio europeo di identità digitale e di mezzi di identificazione elettronica, o nello svolgimento di tale attività, sono utenti commerciali ai sensi dell’articolo 2, punto 21, di tale regolamento, i gatekeeper consentono loro, in particolare, l’effettiva interoperabilità, nonché l’accesso, ai fini dell’interoperabilità, allo stesso sistema operativo e alle stesse componenti hardware o software. Tale interoperabilità effettiva e tale accesso sono consentiti a titolo gratuito e indipendentemente dal fatto che le componenti hardware o software che sono disponibili per il gatekeeper, o da esso utilizzati, al momento della fornitura di tali servizi, siano parte del sistema operativo, ai sensi dell’articolo 6, paragrafo 7, del regolamento (UE) 2022/1925. Il presente articolo non pregiudica l’articolo 5 bis, paragrafo 14, del presente regolamento.
Capo III. Servizi fiduciari
Sezione 1. Disposizioni generali
Art. 13 Responsabilità e onere della prova
1.
Fatti salvi il paragrafo 2 del presente articolo e il regolamento (UE) 2016/679, i prestatori di servizi fiduciari sono responsabili dei danni causati, con dolo o per negligenza, a qualsiasi persona fisica o giuridica in seguito a un mancato adempimento degli obblighi ai sensi del presente regolamento. Qualsiasi persona fisica o giuridica che abbia subito un danno materiale o immateriale a seguito di una violazione del presente regolamento da parte di un prestatore di servizi fiduciari ha il diritto di chiedere un risarcimento conformemente al diritto dell’Unione e nazionale.
L’onere di dimostrare il dolo o la negligenza di un prestatore di servizi fiduciari non qualificato ricade sulla persona fisica o giuridica che denuncia il danno di cui al primo comma.
Si presume il dolo o la negligenza da parte di un prestatore di servizi fiduciari qualificato, salvo che questi dimostri che il danno di cui al primo comma si è verificato senza suo dolo o sua negligenza.
2. Se i prestatori di servizi fiduciari informano debitamente e preventivamente i loro clienti delle limitazioni d’uso dei servizi da essi forniti e se tali limitazioni sono riconoscibili da parte di terzi, non sono responsabili dei danni che derivano dall’utilizzo di servizi oltre i limiti indicati.
3. I paragrafi 1 e 2 si applicano conformemente alle norme nazionali in materia di responsabilità.