Dal 24 dicembre 2026 ogni Stato membro dell’Unione europea dovrà mettere a disposizione dei cittadini almeno un EUDI Wallet, il portafoglio europeo di identità digitale. Per le aziende non è solo una novità “da pubblica amministrazione”: significa nuovi modi di identificare clienti, utenti e collaboratori, ma anche nuove responsabilità su privacy, conservazione dei dati e sicurezza dei processi.
La promessa è forte: condividere solo le informazioni strettamente necessarie, in modo più semplice e interoperabile in tutta Europa. Il punto critico è che, dietro questa semplificazione, restano aperte domande molto concrete su chi tratta i dati, quali informazioni vengono registrate, per quanto tempo e con quali basi giuridiche.
Che cos’è l’EUDI Wallet e perché cambia il quadro
L’EUDI Wallet nasce nel perimetro di eIDAS 2.0 e punta a offrire ai cittadini europei uno strumento unico per conservare e presentare attributi di identità verificati. Non solo nome e data di nascita, ma anche informazioni come patente, titoli di studio, codice fiscale o altri attributi rilasciati da soggetti abilitati.
Il cambiamento più rilevante rispetto al panorama attuale è triplice:
- interoperabilità tra Stati membri;
- portabilità degli attributi digitali;
- possibilità, almeno in linea teorica, di condividere solo ciò che serve davvero.
In pratica, un servizio potrebbe aver bisogno di sapere solo se una persona è maggiorenne, senza ricevere l’intera data di nascita. Questo approccio è coerente con il principio di minimizzazione del GDPR e, se ben implementato, può ridurre la circolazione di dati personali superflui.
Per le imprese, però, il wallet non è una semplice “carta d’identità sul telefono”. È un nuovo ecosistema di fiducia digitale in cui entrano in gioco più soggetti, ciascuno con ruoli e responsabilità differenti.
Come funziona l’ecosistema: provider, attestatori e relying party
Per capire dove nascono i rischi, occorre guardare all’architettura del sistema.
Il primo attore è il wallet provider, cioè il soggetto che mette a disposizione l’applicazione del portafoglio digitale. Può essere un ente pubblico o un soggetto privato certificato. È il soggetto che gestisce l’identità iniziale del titolare e la continuità operativa del servizio.
Il secondo attore è l’attestatore di attributi, cioè chi emette una credenziale verificabile. Può essere, a seconda del caso, un’amministrazione, un’università, una banca o un altro soggetto autorizzato a certificare un’informazione.
Il terzo attore è la relying party, il soggetto pubblico o privato che riceve e verifica gli attributi presentati dall’utente. Qui entrano direttamente in gioco le aziende: un e-commerce, un datore di lavoro, una struttura ricettiva, un noleggiatore, un fornitore di servizi online.
È proprio la relying party il punto in cui molte PMI si troveranno coinvolte. Se un’azienda userà il wallet per identificare clienti o acquisire una prova di un requisito, dovrà sapere con precisione quali dati riceve, per quale finalità, dove li conserva e per quanto tempo.
Il nodo centrale: chi è titolare del trattamento?
Una delle questioni più delicate, evidenziate nel dibattito sul rapporto tra EUDI Wallet e GDPR, riguarda la titolarità del trattamento.
La risposta semplice non esiste, perché dipende dal momento e dalla funzione svolta. Il wallet provider è titolare per i trattamenti necessari a erogare il servizio e a gestire l’identità digitale dell’utente. L’attestatore è titolare per l’emissione della credenziale. La relying party è titolare per il trattamento dei dati che riceve e usa per una propria finalità, ad esempio verificare l’età per un contratto o l’idoneità di un documento per l’accesso a un servizio.
Per un’impresa questo significa una cosa molto pratica: usare l’EUDI Wallet non trasferisce automaticamente la responsabilità privacy “a monte”, sullo Stato o sul provider del wallet. Se l’azienda riceve dati personali e li usa nei propri processi, resta pienamente responsabile delle scelte di trattamento che compie.
Privacy by design: la promessa non basta
L’idea del wallet europeo è spesso presentata come un avanzamento naturale della tutela dei dati: meno documenti completi da inviare, meno copie di carte d’identità, più controlli selettivi. Tutto corretto, ma non sufficiente.
La protezione dei dati non dipende solo da quali attributi vengono mostrati. Dipende anche da tutto ciò che il sistema può generare “attorno” alla transazione:
- log tecnici;
- registri di accesso;
- metadati sulle verifiche;
- informazioni su quando, quante volte e verso chi una credenziale è stata presentata.
Anche se il dato principale è minimizzato, i metadati possono rivelare abitudini, relazioni commerciali o comportamenti dell’utente. È un aspetto spesso sottovalutato: si guarda al dato condiviso, ma meno alla traccia che resta.
Per questo il tema non è solo “quali documenti vedo”, ma anche “quali informazioni sul loro utilizzo vengono prodotte e conservate”.
Retention e tracciabilità: il rischio meno visibile
Un altro punto critico riguarda la conservazione dei dati. Ogni attore dell’ecosistema può avere esigenze e regole diverse. Una cosa è verificare un attributo in tempo reale, un’altra è conservarne prova, log, ricevute o evidenze per finalità amministrative, contrattuali o di sicurezza.
Per le aziende il problema è concreto. Se una relying party usa il wallet per una verifica, dovrebbe chiedersi:
- serve davvero conservare il dato ricevuto o basta registrare l’esito della verifica?
- è necessario archiviare il documento o è sufficiente memorizzare che il controllo è stato effettuato con successo?
- i tempi di conservazione sono coerenti con la finalità dichiarata?
In molti casi, la soluzione più prudente e moderna sarà trattenere meno, non di più. Conservare sistematicamente attributi completi solo perché tecnicamente disponibili espone a rischi inutili: maggior impatto privacy, più obblighi di sicurezza, più superficie di attacco in caso di incidente.
Il rapporto tra eIDAS 2.0 e GDPR
Il quadro normativo che si sta delineando non sostituisce il GDPR: lo affianca. eIDAS 2.0 disciplina identità digitale, fiducia e interoperabilità; il GDPR continua a regolare basi giuridiche, trasparenza, minimizzazione, sicurezza, diritti degli interessati e accountability.
Per le imprese questo significa evitare un errore comune: pensare che, se un dato arriva tramite un’infrastruttura europea regolamentata, allora il trattamento sia automaticamente conforme. Non è così.
L’uso dell’EUDI Wallet potrà semplificare i processi di identificazione, ma non elimina la necessità di:
- aggiornare informative privacy;
- valutare basi giuridiche e finalità;
- definire tempi di conservazione;
- limitare gli accessi interni;
- proteggere i dati con misure tecniche e organizzative adeguate.
In altre parole, l’innovazione dell’identità digitale non riduce la compliance: la rende semplicemente più sofisticata.
Cosa significa per la tua azienda
Per una PMI italiana, la domanda giusta non è “useremo o no l’EUDI Wallet?”, ma “in quali processi potrebbe entrare e come ci prepariamo adesso?”.
Ecco le azioni più utili da pianificare nei prossimi mesi.
1. Mappa i punti in cui raccogli documenti o fai verifiche di identità
Onboarding clienti, registrazioni online, controlli anagrafici, accesso a servizi riservati, pratiche HR: sono i primi candidati all’integrazione con il wallet.
2. Riduci la raccolta di copie complete dei documenti
Se in futuro basterà verificare un attributo, continuare a chiedere e archiviare documenti integrali potrebbe diventare difficile da giustificare sotto il profilo GDPR.
3. Rivedi informative e registro dei trattamenti
Se acquisisci dati attraverso il wallet, dovrai descrivere correttamente categorie di dati, finalità, basi giuridiche, destinatari e tempi di retention. Un check di conformità può essere l’occasione giusta per aggiornare il presidio su /servizi/gdpr-2016-679/.
4. Definisci in anticipo cosa conservare e cosa no
La scelta più sicura spesso è conservare l’esito della verifica, non il dato integrale, salvo obblighi specifici o motivazioni solide.
5. Rafforza la sicurezza dei sistemi che riceveranno questi dati
Se i tuoi portali, CRM o gestionali diventeranno punti di accesso a credenziali e attributi verificati, dovranno essere protetti con maggiore attenzione. Questo include controllo degli accessi, segmentazione, logging corretto e procedure di risposta agli incidenti, nell’ambito di un approccio strutturato alla /servizi/sicurezza-informatica/.
6. Verifica backup e continuità operativa
Nuovi processi digitali significano nuova dipendenza dai sistemi. Se i dati delle verifiche o le evidenze operative sono rilevanti per il business, devono rientrare in una strategia affidabile di /soluzioni/remote-backup/.
7. Coinvolgi chi gestisce processi, non solo l’IT
L’EUDI Wallet tocca commerciale, amministrazione, HR, compliance e customer care. Se resta confinato come tema tecnico, il rischio di errori operativi aumenta.
Non è solo una questione tecnologica
Il portafoglio digitale europeo viene spesso raccontato come una semplificazione dell’identità online. In parte lo è. Ma per le aziende sarà soprattutto un passaggio organizzativo: cambieranno i flussi con cui si chiede una prova, si verifica un requisito, si conserva un’evidenza e si dimostra la conformità.
Chi si muove per tempo potrà ottenere benefici reali: meno attrito nei processi, meno copie di documenti, più affidabilità nelle verifiche, migliore esperienza per clienti e utenti. Chi si muoverà tardi rischia invece di adattare i processi in modo improvvisato, aggiungendo complessità invece di ridurla.
La data del 24 dicembre 2026, quindi, non è solo una scadenza istituzionale. È il momento entro cui conviene arrivare con procedure già ripensate, non con domande ancora aperte.
Domande frequenti
L’EUDI Wallet sostituirà subito SPID e CIE?
No. Dalle informazioni disponibili emerge l’introduzione di almeno un wallet nazionale per ciascuno Stato membro entro il 24 dicembre 2026, ma questo non significa una sostituzione immediata e totale dei sistemi oggi in uso.
Se uso l’EUDI Wallet nella mia azienda sono automaticamente conforme al GDPR?
No. Il wallet può aiutare a minimizzare i dati, ma la tua azienda resta responsabile del trattamento che effettua, incluse informativa, base giuridica, sicurezza e tempi di conservazione.
Una PMI deve prepararsi già adesso?
Sì. Anche senza integrazione immediata, è utile rivedere i processi in cui oggi si raccolgono documenti o si fanno verifiche di identità, così da arrivare pronta quando il wallet sarà operativo su larga scala.