SPID, CIE e CNS: le tre identità digitali non sono sullo stesso piano

È uno dei blocchi più redditizi nei quesiti di informatica giuridica, e uno dei più maltrattati dalle dispense. La formula ricorrente — "si accede ai servizi della PA con SPID, CIE o CNS" — è vera in senso lato ma nasconde una gerarchia che il testo dell'art. 64 del CAD rende esplicita. Chi la conosce riconosce a colpo d'occhio i distrattori.

Che cos'è, tecnicamente, un'identità digitale

Il Codice dell'amministrazione digitale (D.Lgs. 82/2005) la definisce come la rappresentazione informatica della corrispondenza tra un utente e i suoi attributi identificativi. Non è una credenziale né una tessera: è la relazione certificata tra una persona e i dati che la identificano. Le credenziali e le carte sono i mezzi con cui quella relazione viene verificata.

Strumento	Che cos'è	Chi lo rilascia
SPID Sistema Pubblico di Identità Digitale	Credenziali su tre livelli di sicurezza	Gestori di identità digitale accreditati da AgID (Identity Provider)
CIE Carta d'Identità Elettronica	Documento d'identità con chip, utilizzabile anche come identità digitale	Ministero dell'Interno tramite i comuni
CNS Carta Nazionale dei Servizi	Smart card per l'accesso ai servizi (la tessera sanitaria-CNS è la più diffusa)	Enti emittenti, regioni

La gerarchia che quasi nessuno riporta

Il punto sta nella struttura dell'art. 64. Il comma 2-quater stabilisce che l'accesso ai servizi in rete delle pubbliche amministrazioni che richiedono identificazione informatica avviene tramite SPID e tramite la carta d'identità elettronica. La CNS non compare lì. Compare invece in un comma separato, il 2-nonies, con una formulazione notevolmente più debole: l'accesso «può avvenire anche con la carta nazionale dei servizi».

La disposizione decisiva è il comma 3-bis. «I soggetti di cui all'articolo 2, comma 2, lettera a) — cioè le amministrazioni statali — utilizzano esclusivamente le identità digitali SPID e la carta di identità elettronica ai fini dell'identificazione dei cittadini che accedono ai propri servizi in rete». Per i cittadini, davanti alle PA statali, gli strumenti sono due, non tre. La CNS entra in gioco per imprese e professionisti e per gli altri soggetti dell'art. 2 c. 2 lettere b) e c), a decorrere da date fissate con appositi decreti.

Un quesito che afferma "le amministrazioni statali identificano i cittadini tramite SPID, CIE e CNS indifferentemente" è quindi falso rispetto al testo vigente. È la trappola più frequente della materia.

I tre livelli SPID e il livello che conta

I livelli di garanzia seguono lo schema del regolamento europeo eIDAS (Reg. UE 910/2014): basso, significativo, elevato, corrispondenti a SPID livelli 1, 2 e 3.

Livello 1 (basso) — solo username e password;
Livello 2 (significativo) — password più un secondo fattore, tipicamente un codice temporaneo o l'app;
Livello 3 (elevato) — secondo fattore basato su un dispositivo fisico con certificato.

        Perché il "significativo" è la soglia da ricordare. L'art. 64 c. 2-duodecies stabilisce che la verifica dell'identità digitale con livello di garanzia almeno significativo produce, nelle transazioni elettroniche e per l'accesso ai servizi in rete, gli effetti del documento di riconoscimento equipollente di cui all'art. 35 del D.P.R. 445/2000. Sopra quella soglia l'identità digitale vale come un documento d'identità; sotto, no. La stessa disposizione si applica anche all'identificazione elettronica per l'accesso a servizi erogati tramite canali fisici.
      

Lo stesso comma aggiunge un effetto ulteriore: l'identità digitale verificata con livello almeno significativo attesta gli attributi qualificati dell'utente — abilitazioni, autorizzazioni, stati e qualità personali contenuti in albi, elenchi o registri pubblici. È il fondamento normativo dei "gestori di attributi qualificati".

Identificazione e recapito sono cose diverse

Questa distinzione vale, da sola, diverse risposte corrette. SPID, CIE e CNS servono a stabilire chi sei: sono strumenti di identificazione. Il domicilio digitale serve a stabilire dove la PA ti scrive: è un recapito per le comunicazioni con valore legale. Sono istituti autonomi, con articoli diversi e funzioni diverse, e i quesiti li incrociano di continuo.

Le infrastrutture attorno, e come non confonderle

Sigla	Che cos'è	Articolo CAD
ANPR	Anagrafe nazionale della popolazione residente: la base anagrafica unica	art. 62
PDND	Piattaforma digitale nazionale dati: interoperabilità tra le basi dati delle PA	art. 50-ter
pagoPA	Pagamenti elettronici verso la PA	art. 5
App IO	Punto di accesso telematico ai servizi	art. 64-bis
Piattaforma deleghe	Consente al cittadino iscritto in ANPR di delegare l'accesso ai servizi in rete	art. 64-ter

La confusione più comune è tra PDND (interoperabilità dei dati) e SPC (Sistema pubblico di connettività, che riguarda la connettività). Sono due strati diversi dell'infrastruttura.

Un controllo che è entrato nel Codice di recente

Il comma 3-ter dell'art. 64 impone ai gestori di identità digitale accreditati — qualificati espressamente come gestori di pubblico servizio — di verificare i dati identificativi del richiedente prima del rilascio, consultando gratuitamente l'ANPR, anche tramite la PDND. Le verifiche vanno poi ripetute con cadenza almeno annuale, anche ai fini dell'accertamento dell'esistenza in vita.

La sanzione che i quiz amano

Il 30% che conviene ricordare. L'art. 64-bis c. 1-quinquies stabilisce che la violazione dell'art. 64 c. 3-bis e delle disposizioni sull'accesso telematico costituisce mancato raggiungimento di uno specifico risultato e di un rilevante obiettivo per i dirigenti responsabili, e comporta la riduzione non inferiore al 30 per cento della retribuzione di risultato e del trattamento accessorio collegato alla performance individuale, oltre al divieto di attribuire premi o incentivi nell'ambito delle strutture competenti. È un numero secco, facile da trasformare in quesito.

Due dettagli che passano inosservati

Le PA non pagano le verifiche. Il comma 2-decies: le amministrazioni, in qualità di fornitori dei servizi, usufruiscono gratuitamente delle verifiche rese disponibili dai gestori di identità digitali e dagli attribute provider.
L'elenco dei gestori è pubblico. Comma 2-undecies: i gestori accreditati sono iscritti in un elenco pubblico tenuto da AgID, consultabile anche per via telematica. L'accreditamento è di AgID, non dell'Agenzia per la cybersicurezza — che ha invece assorbito le funzioni di sicurezza informatica.

Il diritto che sta a monte di tutto

L'art. 3-bis c. 01 apre con una formula di principio: chiunque ha il diritto di accedere ai servizi online offerti dai soggetti dell'art. 2 c. 2 tramite la propria identità digitale, anche attraverso il punto di accesso telematico dell'art. 64-bis. Non è una dichiarazione di intenti: è la posizione soggettiva da cui discendono gli obblighi delle amministrazioni e la sanzione dirigenziale vista sopra.

Esercitati sui quesiti del CAD o riprendi il quadro completo dal decalogo del Codice dell'amministrazione digitale.

Fonti. D.Lgs. 7 marzo 2005 n. 82 (Codice dell'amministrazione digitale): art. 3-bis (identità digitale e domicilio digitale), art. 5 (pagoPA), art. 50-ter (PDND), art. 62 (ANPR), art. 64 (sistema pubblico per la gestione delle identità digitali), art. 64-bis (accesso telematico ai servizi), art. 64-ter (piattaforma deleghe). Regolamento (UE) n. 910/2014 (eIDAS), art. 8 par. 2. D.P.R. 28 dicembre 2000 n. 445, art. 35.