{"id":42282,"date":"2021-02-28T09:34:34","date_gmt":"2021-02-28T08:34:34","guid":{"rendered":"https:\/\/www.intesa.it\/il-contesto-normativo-della-self-sovereign-identity\/"},"modified":"2021-03-15T16:35:02","modified_gmt":"2021-03-15T15:35:02","slug":"il-contesto-normativo-della-self-sovereign-identity","status":"publish","type":"post","link":"https:\/\/oldintesa.etinet.net\/en\/il-contesto-normativo-della-self-sovereign-identity\/","title":{"rendered":"Self Sovereign Identity: the Regulatory Environment"},"content":{"rendered":"

[et_pb_section bb_built=”1″ admin_label=”section” _builder_version=”3.0.71″ module_id=”post-blog-intesa”][et_pb_row admin_label=”row” use_custom_width=”on” width_unit=”off” background_repeat_1=”no-repeat” background_repeat_2=”no-repeat” _builder_version=”3.0.71″ background_size=”initial” background_position=”top_left” background_repeat=”repeat”][et_pb_column type=”4_4″][et_pb_post_title _builder_version=”3.17.6″ title_line_height=”1.5em” categories=”off” comments=”off” featured_image=”off” author=”off” border_style=”solid” date_format=”j F Y” \/][et_pb_text _builder_version=”3.17.6″ background_size=”initial” background_position=”top_left” background_repeat=”repeat”]<\/p>\n

A chat with: Giuseppe Mariani, Chief Operating Officer at Intesa<\/h2>\n

In this increasingly interconnected world, digital services are bound to increase exponentially over the next few years, along with the companies offering them, and the people using them. The speed and frequency with which we share our personal data with entities in the private and public sector, often without a second thought, is growing as well.<\/strong> We are, consequently, losing control over who has access to information on us. A very topical and sensitive issue.<\/strong> Those in the field of digital innovation and security are now rightfully focusing on it.<\/p>\n

The \u201cSelf Sovereign Identity\u201d (SSI) digital-identity model<\/a> may provide a lasting solution to the often spurtive and indiscriminate sharing of our personal information. How might this innovation become incorporated into Italian and European regulations?<\/strong><\/p>\n

We asked Giuseppe Mariani, Chief Operating Officer with Intesa (IBM Group).<\/strong><\/p>\n

\"\"<\/p>\n

What is the current state of the art of Self Sovereign Identity in Italy and in the world?<\/h3>\n

The innovative potential offered by a widespread use of these options becomes clear when we consider the characteristics of Distributed Ledger Technology as applied to digital identities, and when we look at specific applications of this digital-identity model.
Keep in mind that in today’s high-tech world, people are completely interconnected. They share their personal information at unprecedented speeds. This will likely continue as 5G, IOT, open banking, and other innovations continue to be implemented.
The Self Sovereign Identity model represents an extraordinary opportunity<\/strong> to design innovative modalities for managing our information. This in turn represents savings in terms of time and expense, along with other advantages associated with decentralising and automating certain operational phases.<\/strong>
By the same token, in order for this scenario to take shape in the real world, the environment itself needs to mature in terms of governance<\/strong>, interoperability, scalability, and regulation, thereby creating an organic and stable framework<\/strong> in which to promote DLT and digital identity.<\/p>\n

How might SSI be integrated into the Italian and European regulatory framework?<\/h3>\n

An important starting point that bears mentioning in this context is Regulation no. 910\/2014 of the European Parliament and Council regarding electronic identification<\/strong> and fiduciary services for electronic transactions in the internal market (known as \u201ceIDAS\u201d), which dates back to 23 July 2014. That regulation introduced the fundamental principle of electronic identification: it must be available, secure, and reliable throughout the internal market and in the member states.<\/strong> The regulation identifies electronic identification as \u201cthe process through which one uses personal identifiers in an electronic format\u201d, with its purpose being to provide a legal framework predicated on \u201ctechnological neutrality\u201d<\/strong>, whilst at the same time ensuring a standard level of reliability across the European Union.
This has opened the door to some important opportunities to use Self Sovereign Identity models<\/strong>, such as current options to use eIDAS nodes to issue an assertion based on verifiable credentials, and the option to use notified (in Italy, SPID and CID) eIDAS electronic identifiers and qualified certificates (or seals) to issue verifiable credentials.<\/p>\n

What is the EU doing to streamline the adoption of SSI?<\/h3>\n

The EU is basically working on two fronts:
The first is the EU EBSI (European Blockchain Services Infrastructure) working group<\/strong>, which identified four scenarios in which it can be used, one of which is European Self Sovereign Identity. The launch of the European Self Sovereign Identity framework (eSSIF)<\/strong> dates back to 2019, and is set to be implemented between 2021-2022, with the goal of:
– Facilitating cross-border interactions through the use of SSI models;
– Making SSI initiatives developed on a national level inter-operable;
– Constructing an identity layer on EBSI;
– Safeguarding European democratic principles whilst implementing the SSI models.
The second is the eIDAS amended directive<\/strong>. Beginning in July of 2020, the Commission launched a public-comment period on the updated regulations on electronic identification, and fiduciary services for electronic transactions in the internal market (the eIDAS Regulation). The updates aim to improve efficacy<\/strong>, whilst extending the benefits into the private sector, and promoting reliable digital identifies for all Europeans<\/strong>. The ultimate goal is to create a secure and interoperable European digital identity.
Taken together, these initiatives will pave the way for this identity-management model to be implemented.<\/p>\n

Is the SSI model GDPR-compliant? Are there any issues?<\/h3>\n

Since GDPR is focused on the protection of data-subject personal data, those rights definitely align with the Self Sovereign Identity model<\/strong> because it likewise vests individuals\/users with total control over their information.
Additionally, both GDPR and SSI aim to ensure the free circulation of personal data<\/strong> within the single market, establishing (\u201cby design\u201d) a specific level of trust and independence for its transactions.
Finally, some of the GDPR\u2019s founding principles<\/strong>, including access control, data portability, and minimisation, are completely in line with the key elements of SSI<\/strong>, further bolstering the positive user-centric viewpoint typical to this identity model.<\/p>\n

What are the main advantages of this digital-identity model, and how does it interact with the SPID identity?<\/h3>\n

SSI is predicated on certain key principles<\/strong>, including control<\/strong> (individuals must be able to control their data, and have the option to update them, or hide them), access<\/strong> (individuals must have access to all data relating to their identity), transparency<\/strong> (systems and algorithms used to administer and manage digital identities must be open and transparent), data portability<\/strong> (information and services on an identity must be transportable and shall not be kept by one third party alone), consent<\/strong> (individuals must consent to the use of their identity), minimisation<\/strong> (information disclosure must be strictly tailored to the need).
The SSI model should not be viewed as an alternative to SPID.<\/strong> The relationship between this identity model compared to the federated ones (as SPID could be in Italy) may lead to interesting synergies that allow for SPID-type fiduciary services to be used to optimise the development of an SSI ecosystem.<\/p>\n

What is the timeframe for seeing the first tangible implementations of an SSI model? Are any applications already available?<\/h3>\n

There are a number of variables to take into account when you are talking about identity management.<\/strong> Both in Italy and in the rest of Europe, regulators have without a doubt homed in on this issue. There are major investments by the national and supra-national authorities planned in the digital sphere. According to the latest report out of the Milan Polytechnic’s Digital Identity Observatory, there are, in fact, a host of SSI and Decentralized ID projects under development in both the public and private sector.<\/strong> In the period running from January 2016 to May 2020 alone, there were about 60 active projects<\/strong> (of which 59 were blockchain-based and one which was not). Of these 60, 37% are focussed on issues of general identity, and 33% on authentication issues. Finance and the public administration are two of the segments we would cite where these projects are being applied.<\/strong>
In terms of the type of design most frequently cited, and which might be deemed at this point to be at an advanced pilot stage, we can name two key areas: disclosing one’s identity to access public services, and disclosing one’s identity and information which is financial in nature (for example, one\u2019s risk profile) with a financial institution.
It is within this second category that CeTIF\u2019s O-KYC project<\/a> is taking shape, which sees Intesa playing a part as project coordinator and developer.<\/p>\n

[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section]<\/p>\n","protected":false},"excerpt":{"rendered":"

The \u201cSelf Sovereign Identity\u201d (SSI) digital-identity model may provide a lasting solution to the often spurtive and indiscriminate sharing of our personal information. How might this innovation become incorporated into Italian and European regulations?<\/p>\n","protected":false},"author":36,"featured_media":42782,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_et_pb_use_builder":"on","_et_pb_old_content":"

[et_pb_section bb_built=\"1\" admin_label=\"section\" _builder_version=\"3.0.71\" module_id=\"post-blog-intesa\"][et_pb_row admin_label=\"row\" use_custom_width=\"on\" width_unit=\"off\" background_repeat_1=\"no-repeat\" background_repeat_2=\"no-repeat\" _builder_version=\"3.0.71\" background_size=\"initial\" background_position=\"top_left\" background_repeat=\"repeat\"][et_pb_column type=\"4_4\"][et_pb_post_title _builder_version=\"3.17.6\" title_line_height=\"1.5em\" categories=\"off\" comments=\"off\" featured_image=\"off\" author=\"off\" border_style=\"solid\" date_format=\"j F Y\" \/][et_pb_text _builder_version=\"3.17.6\" background_size=\"initial\" background_position=\"top_left\" background_repeat=\"repeat\"]<\/p>

Due chiacchiere con\u2026 Giuseppe Mariani, Chief Operating Officer di Intesa<\/h2>

In un mondo sempre pi\u00f9 interconnesso, i servizi digitali sono destinati a crescere numericamente in modo esponenziale nei prossimi anni, cos\u00ec come le aziende che li offrono e le persone che ne usufruiscono. Di conseguenza aumentano anche la velocit\u00e0 e la frequenza con cui - spesso senza rifletterci troppo - condividiamo i nostri dati personali<\/strong> con aziende private ed enti pubblici, perdendo di fatto il controllo di chi ha accesso alle informazioni che ci riguardano. Un tema importantissimo e delicato<\/strong>, su cui si sta giustamente spostando l\u2019attenzione di chi si occupa di innovazione digitale e sicurezza.<\/p>

Il modello di identit\u00e0 digitale \u201cSelf Sovereign Identity\u201d (SSI)<\/a> potrebbe essere la soluzione definitiva al problema della condivisione \u201cspasmodica\u201d e non selettiva delle nostre informazioni personali. Come potrebbe inserirsi questa innovazione nella normativa in vigore in Italia e in Europa?<\/strong><\/p>

Ne abbiamo parlato con Giuseppe Mariani, Chief Operating Officer di Intesa (Gruppo IBM)<\/strong>.<\/p>

Qual \u00e8 lo stato dell\u2019arte della Self Sovereign Identity in Italia e nel mondo?<\/em><\/h3>

Le caratteristiche delle Distributed Ledger Technology applicate alle identit\u00e0 digitali e l\u2019esame di alcuni possibili applicazioni di questo modello di digital identity rendono chiaro il potenziale innovativo che la diffusione di queste soluzioni potrebbe avere. Nel mondo tecnologico di oggi le persone sono interconnesse e condividono le proprie informazioni personali ad una velocit\u00e0 senza precedenti, che probabilmente continuer\u00e0 a crescere con l\u2019adozione di 5G, IoT, open banking e altre innovazioni.
Il modello della Self Sovereign Identity rappresenta una straordinaria opportunit\u00e0<\/strong> per progettare modalit\u00e0 innovative nella gestione delle nostre informazioni, con importanti ricadute positive in termini di tempi, costi e vantaggi<\/strong> connessi alla possibilit\u00e0 di decentralizzare e automatizzare determinate fasi operative.
Tuttavia, affinch\u00e9 questo scenario possa acquisire concretezza e consolidarsi \u00e8 necessario che maturi il contesto in relazione alla governance<\/strong>, all\u2019interoperabilit\u00e0, alla scalabilit\u00e0 e alla regolamentazione, per creare un quadro organico e stabile<\/strong> in cui promuovere le applicazioni DLT e identit\u00e0 digitale.<\/p>

Come si potrebbe inserire la SSI all\u2019interno nel contesto regolamentare nazionale ed europeo?<\/em><\/h3>

Un punto di partenza importante che merita di essere citato, in questo contesto, \u00e8 il Regolamento 910\/2014 del Parlamento Europeo e del Consiglio in materia di identificazione elettronica<\/strong> e servizi fiduciari per le transazioni elettroniche nel mercato interno (c.d. eIDAS), datato 23 luglio 2014. Tale regolamento ha introdotto il principio, fondamentale, dell\u2019identificazione elettronica, che deve essere fruibile, sicura e affidabile in tutto il mercato interno e gli Stati membri.<\/strong> Il regolamento definisce l\u2019identificazione elettronica come \u201cil processo per cui si fa uso di dati di identificazione personale in forma elettronica\u201d, e il suo scopo \u00e8 quello di fornire un quadro giuridico basato sul principio della \u201cneutralit\u00e0 tecnologica\u201d<\/strong>, garantendo al contempo un livello di affidabilit\u00e0 uniforme nell\u2019Unione Europea.
Questo contesto apre gi\u00e0 importanti possibilit\u00e0 per poter sfruttare i modelli Self Sovereign Identity<\/strong>, come quella di utilizzare i nodi eIDAS attuali per emettere un'asserzione basata su verifiable credential e la possibilit\u00e0 di utilizzare i mezzi di identificazione elettronica eIDAS notificati (quindi SPID e CIE per l\u2019Italia) e i certificati (o sigilli) qualificati per rilasciare verifiable credentials.<\/p>

\"\"<\/p>

Cosa sta facendo l\u2019UE per favorire l\u2019adozione della SSI?<\/em><\/h3>

Le direttrici su cui l\u2019UE sta lavorando sono sostanzialmente due.
La prima \u00e8 il tavolo UE EBSI (European Blockchain Services Infrastructure)<\/strong>, che ha individuato quattro casi in cui pu\u00f2 essere utilizzato, uno dei quali \u00e8 proprio quello della European Self Sovereign Identity. Gi\u00e0 nel corso del 2019 \u00e8 stata avviata un\u2019iniziativa sulla European Self Sovereign Identity framework (eSSIF)<\/strong>, che verr\u00e0 implementata nel corso del biennio 21\/22 con l\u2019intento di:
- facilitare l\u2019interazione cross border attraverso l\u2019uso di modelli SSI;
- rendere interoperabili le iniziative SSI sviluppate a livello nazionale;
- costruire un identity layer su EBSI.
- preservare valori democratici europei nell\u2019implementazione di modelli di SSI.<\/p>

La seconda direttrice \u00e8 la revisione eIDAS<\/strong>: a luglio 2020 la Commissione ha avviato una consultazione pubblica sulla revisione delle norme in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno, il regolamento eIDAS. La revisione mira a migliorare l'efficacia<\/strong>, estendere i vantaggi al settore privato e promuovere identit\u00e0 digitali affidabili<\/strong> per tutti gli europei e creare un'identit\u00e0 digitale europea sicura e interoperabile.
Entrambe queste iniziative faranno da volano per l\u2019adozione di questo modello di gestione dell\u2019identit\u00e0.<\/p>

Il modello SSI \u00e8 compatibile con la GDPR? Ci sono criticit\u00e0?<\/em><\/h3>

Sicuramente, essendo il GDPR incentrato sul diritto alla protezione dei propri dati personali da parte degli interessati, tale diritto \u00e8 coerente con il modello Self Sovereign Identity<\/strong> in quanto essa stessa conferisce agli individui\/utenti il pieno controllo sulle proprie informazioni.
Inoltre sia il GDPR che la SSI hanno come obiettivo quello di garantire il libero movimento dei dati personali<\/strong> all\u2019interno del mercato unico europeo creando, by design, un determinato livello di fiducia e autonomia attorno alle transazioni.
Infine alcuni dei principi fondamentali del GDPR<\/strong>, quali il controllo l\u2019accesso, la portabilit\u00e0 e la minimizzazione, sono assolutamente in linea con gli elementi chiave della SSI<\/strong>, mutuando ulteriormente la prospettiva utente-centrica tipica di questo modello di identit\u00e0.<\/p>

Quali sono vantaggi principali di questo modello di identit\u00e0 digitale e come si relazione con l\u2019identit\u00e0 SPID?<\/em><\/h3>

La SSI si basa su alcuni principi chiave<\/strong>, tra cui il controllo<\/strong> (gli individui devono poter controllare le loro informazioni e avere la possibilit\u00e0 di aggiornarle o nasconderle), l\u2019accesso<\/strong> (gli individui devono avere accesso a tutti i dati relativi alle loro identit\u00e0), la trasparenza<\/strong> (i sistemi e gli algoritmi utilizzati per amministrare e gestire le identit\u00e0 digitali devono essere aperti e trasparenti), la portabilit\u00e0<\/strong> (le informazioni e i servizi relativi all'identit\u00e0 devono essere trasportabili e non devono essere detenuti da un unico soggetto terzo), il consenso<\/strong> (gli individui devono acconsentire all'uso delle loro identit\u00e0), la minimizzazione<\/strong> (la divulgazione dell\u2019informazione deve essere limitata al minimo necessario).
Il modello della SSI non dev\u2019essere per\u00f2 visto come alternativo a SPID<\/strong>: il rapporto tra questo modello di identit\u00e0 rispetto a dei modelli federati, come appunto pu\u00f2 essere SPID in Italia, pu\u00f2 conoscere sinergie interessanti che consentirebbero di utilizzare i servizi fiduciari tipo SPID per favorire lo sviluppo di un ecosistema SSI.<\/p>

Qual \u00e8 l\u2019orizzonte temporale per vedere le prime adozioni concrete di un modello di SSI? Esistono gi\u00e0 delle progettualit\u00e0 applicative in quest\u2019ambito?<\/em><\/h3>

Sulle tematiche legate alla gestione dell\u2019identit\u00e0 ci sono molte variabili da tenere in considerazione<\/strong>. Sia in Italia che negli altri paesi europei sicuramente c\u2019\u00e8 attenzione a livello regolamentare e normativo, ed esistono piani significativi di investimento in digitale da parte delle autorit\u00e0 nazionali e sovranazionali. Secondo l\u2019ultimo report dell\u2019Osservatorio Digital Identity del Politecnico di Milano, sicuramente esistono una serie di progetti SSI e Decentralized ID che sono stati sviluppati sia in ambito privato che pubblico<\/strong>: nel periodo che va da gennaio 2016 a maggio 2020 si possono contare circa 60 progetti attivi<\/strong> (59 blockchain based ed 1 no). Di questi 60, il 37% sono focalizzati su tematiche di general identity e il 33% su tematiche di autenticazione. Tra i settori<\/strong> in cui questi progetti sono applicati spiccano il finance e quello della PA<\/strong>.
Per quanto riguarda le progettualit\u00e0 in corso pi\u00f9 frequentemente citate e che gi\u00e0 possono considerarsi a uno stadio avanzato pilota ci sono due ambiti fondamentali: la condivisione dell\u2019identit\u00e0 per accesso a servizi pubblici e la condivisione dell\u2019identit\u00e0 e delle informazioni di carattere finanziario (per esempio del profilo di rischio) in ambito financial institution.
\u00c8 in questo secondo ambito che si inserisce il progetto O-KYC di CeTIF<\/a><\/strong>, che vede Intesa coinvolta nel coordinamento e nello sviluppo.<\/p>

[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section]<\/p>","_et_gb_content_width":"","footnotes":""},"categories":[],"tags":[488,612],"class_list":["post-42282","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","tag-digital-identity","tag-interview"],"acf":[],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/oldintesa.etinet.net\/en\/wp-json\/wp\/v2\/posts\/42282","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/oldintesa.etinet.net\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/oldintesa.etinet.net\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/oldintesa.etinet.net\/en\/wp-json\/wp\/v2\/users\/36"}],"replies":[{"embeddable":true,"href":"https:\/\/oldintesa.etinet.net\/en\/wp-json\/wp\/v2\/comments?post=42282"}],"version-history":[{"count":3,"href":"https:\/\/oldintesa.etinet.net\/en\/wp-json\/wp\/v2\/posts\/42282\/revisions"}],"predecessor-version":[{"id":42796,"href":"https:\/\/oldintesa.etinet.net\/en\/wp-json\/wp\/v2\/posts\/42282\/revisions\/42796"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/oldintesa.etinet.net\/en\/wp-json\/wp\/v2\/media\/42782"}],"wp:attachment":[{"href":"https:\/\/oldintesa.etinet.net\/en\/wp-json\/wp\/v2\/media?parent=42282"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/oldintesa.etinet.net\/en\/wp-json\/wp\/v2\/categories?post=42282"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/oldintesa.etinet.net\/en\/wp-json\/wp\/v2\/tags?post=42282"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}