La Piattaforma di gestione deleghe. Cosa è e come funziona, a cinque anni dal suo annuncio.

Il 23 aprile 2026 è uscito sulla Gazzetta ufficiale il decreto del Dipartimento della trasformazione digitale (DTD) che dettaglia le modalità di funzionamento della Piattaforma di gestione deleghe (PGD), di cui all’art. 64-ter del Codice dell’amministrazione digitale.

Sono trascorsi oltre 5 anni dal primo annuncio formale della sua istituzione, allora con il nome di SGD – Sistema di gestione deleghe, e, nel frattempo, si sono consolidati gli aspetti di funzionamento tecnico e si è addirittura arrivati a una riscrittura totale dell’articolo di Codice dell’amministrazione digitale che istituisce la piattaforma.

Una breve cronistoria della genesi della Piattaforma è come segue:

• il decreto legge 77 del 31 maggio 2021, uno dei tanti decreti a cavallo fra COVID e PNRR, inserisce nel Codice dell’amministrazione digitale l’articolo 64-ter (estratto PDF) e istituisce il Sistema di gestione deleghe;
• il 30 marzo 2022 compare il primo decreto DTD sulle modalità di funzionamento;
• il decreto legge 19 de 2 marzo 2024, con il suo articolo 20, modifica l’articolo 64-ter e ridisegna le caratteristiche di massima della piattaforma;
• il decreto DTD del 23 febbraio 2026 recepisce le modifiche del 2024 e, oltre a fissare la data di avvio del sistema, aggiorna il decreto del 2022 e approva le specifiche tecniche di funzionamento (a cui sono dedicati gli allegati 4 e 5).

Del decreto legge del 2021, che conteneva anche altre misure di trasformazione digitale, avevo fatto un’analisi a caldo su Linkedin (disponibile anche sul blog: Il decreto semplificazioni 2021 e la trasformazione digitale. Fu vera gloria?). Nell’analisi evidenziavo alcuni aspetti che, nella definizione degli aspetti tecnici di dettaglio, avrebbero meritato attenzione. A distanza di cinque anni può essere interessante vedere “come è andata a finire” e mi riprometto di tornare sul tema prossimamente.

Adesso invece sembra più utile avere un quadro preciso di funzioni, caratteristiche e finalità della piattaforma e conviene analizzare l’assetto normativo attuale. A seguire, quindi, una sintesi dell’articolo 64-ter del Codice dell’amministrazione digitale, del recente decreto del 2026 e dei suoi allegati.

La PGD nel Codice dell’amministrazione digitale

Stando alla lettera del CAD vigente, le caratteristiche principali della Piattaforma di gestione deleghe, contenute nell’articolo 64-ter, sono le seguenti:

• le deleghe sono possibili fra persone iscritte all’ANPR (residenti in Italia o iscritti AIRE, si direbbe);
• si possono delegare fino a due persone;
• la delega riguarda “l’accesso ai servizi in rete erogati dalle pubbliche amministrazioni” e non sono esplicitati limiti o margini di delega né la possibilità di delegare l’accesso a specifici servizi;
• si delega tramite la piattaforma stessa o andando allo sportello comunale;
• la delega è revocabile;
• quando un cittadino si autentica a un servizio online l’IdP (gestore SPID o CIE) verifica sulla piattaforma (cioè, contattando la piattaforma) l’esistenza di deleghe a lui conferite – dell’operazione si occupa il fornitore dell’identità digitale, non il servizio.

La PGD nel decreto DTD 2026.

Art. 1 – Definizioni

Fra le definizioni si segnalano:

• definizione di delega: fa riferimento alla delega ex art. 64-quater (specifica per i servizi online), che include anche quella che deriva da procura generale o speciale, da responsabilità genitoriale, da tutela del minore o dell’interdetto, da curatela o amministrazione di sostegno. Escluse le deleghe professionali a professionisti e intermediari (anche a patronati e centri di assistenza sociale);
• servizi in rete: perimetro ristretto ai servizi rivolti ai cittadini. Sono esclusi i servizi e le funzioni destinate a professionisti – tipo Agenzia delle Entrate e deleghe ai commercialisti? – o lavoratori/dipendenti/collaboratori di organizzazioni per compiti di interesse pubblico o obblighi di legge (il dipendente comunale che opera su qualche portale ministeriale – per quello dovrebbe esistere lo SPID per uso della persona giuridica).

Art. 2 – Oggetto e ambito di applicazione

L’articolo dichiara oggetto e ambito di applicazione del decreto C’è poco da dire.

Art. 3 – Presentazione della delega tramite il portale

Per portale si intende l’interfaccia web della piattaforma a uso del cittadino. I punti salienti sono

• delega da accettare entro 30 giorni;
• la delega può essere attivata tramite piattaforma dal delegante, che si autentica con identità digitale;
• la delega può anche essere attivata tramite piattaforma dal delegato, che carica la delega firmata digitalmente o con altra FEQ o con FEA dal delegante, da un notaio o da altro pubblico ufficiale autorizzato ad autenticare la firma (in questi casi la delega non è registrata automaticamente ma ci sono dei controlli)
• il genitore si “autodelega” per i figli: ci controlli su ANPR (stato di famiglia) e Giustizia (perdita della responsabilità genitoriale); allo stesso modo fa il tutore di minore o chi esercita per altro motivo la responsabilità genitoriale;
• anche tutore dell’interdetto, curatore e amministratore di sostegno possono “autodelegarsi” per contro dell’interdetto, dell’inabilitato o del beneficiario dell’amministrazione di sostegno;
• genitori, tutori ecc. possono anche presentare una delega dove delegato è una terza persona (che, ovviamente, deve accettare);
• oltre che tramite portale la delega si attiva anche tramite app IO;
• non è possibile, di norma, subdelegare.

Art. 4 – Presentazione della delega con l’assistenza remota del gestore della piattaforma

Cittadini ultrasessantacinquenni e invalidi certificati secondo la “legge 104” ricevono l’assistenza remota del gestore della piattaforma (IPZS). L’assistenza remota è attivata dal delegato designato che si autentica con SPID/CIE alla piattaforma e prende un appuntamento a cui devono essere presenti delegante e delegato

Art. 5 – Presentazione della delega tramite il comune di residenza

Nel disegno della piattaforma hanno un ruolo attivo i comuni, enti di prossimità per eccellenza:

• si può presentare la delega anche tramite il comune di residenza (a non più di due cittadini ANPR). Si sottoscrive con firma autografa una richiesta in presenza del dipendente addetto al procedimento e esibendo un documento di identità. In comune può andare anche il procuratore con l’atto di procura generale;
• se il delegante è allettato si presenta il delegato con la documentazione (anche sanitaria) necessaria;
• l’operatore comunale inserisce entro tre giorni la delega nel sistema anche appoggiandosi a quanto già esiste per l’emissione della CIE. Sono quindi gli operatori CIE i candidati primi per operare sulla PGD?
• Questione di gestione documentale: la modulistica da presentare al Comune è rigorosamente cartacea e l’operatore carica in piattaforma la copia per immagine della documentazione cartacea prodotta che, evidentemente, contestualmente dichiara conforme all’originale. Il decreto afferma che viene meno l’obbligo di conservare l’originale analogico (art. 22, c.4 e art. 23-ter del CAD);
• il delegato accetta (entro trenta giorni) tramite piattaforma e il comune ne dà notizia al delegante. Il delegato può anche andare in comune ad accettare per iscritto;
• i moduli per attivare e gestire le deleghe allo sportello comunale sono presenti nell’allegato 3.

Senza attendere i commenti finali: i comuni devono organizzarsi per questa novità (anticipazione: avranno un back-office dedicato).

Art. 6 – Verifica dell’iscrizione dei cittadini nell’ANPR da parte del gestore della piattaforma

Alcuni requisiti di delegante e delegato vanno verificati su ANPR:

• la verifica dell’iscrizione ad ANPR la fa la piattaforma tramite PDND con tempi differenti a seconda di come si presenta la delega.
• tramite PDND/ANPR la piattaforma recupera anche i dati relativi a ID ANPR, date di scadenza del documento di identità e domicilio digitale^[1]La domanda sorge spontanea: in ANPR è annotato, come da previsione normativa, il domicilio digitale oppure no?
• tutti i giorni la piattaforma interroga ANPR per notizie sui deceduti e blocca le deleghe che coinvolgono deceduti;
• la piattaforma usa PDND/ANPR anche per verificare lo stato di genitorialità e i dati sulla decadenza della responsabilità genitoriale (se c’è decadenza rimuove la delega e poi elimina i dati sulla decadenza – principio di minimizzazione del trattamento e limitazione della conservazione, da GDPR).

Art. 7 – Messa a disposizione delle informazioni da parte del Ministero della giustizia e accesso del gestore della piattaforma

Alcune qualità di deleganti e delegati si verificano rispetto ai dati detenuti dal Ministero della giustizia, che, però, non ha ancora attivato servizi di interoperabilità al riguardo:

• la qualità di tutore, curatore, amministratore di sostegno è nota al Ministero della giustizia, così come i provvedimenti che determinano la decadenza / sospensione / perdita della responsabilità genitoriale;
• Il ministero della giustizia (Capo del Dipartimento per l’innovazione tecnologica della giustizia) deve organizzare queste informazioni con proprie specifiche tecniche e poi, dopo tre mesi che ha individuato le specifiche tecniche, rende disponibili tramite PDND i servizi (e-service) necessari;
• tali servizi servono al gestore della piattaforma per le verifiche nominate poco sopra.

Art. 8 – Registrazione della delega nella piattaforma

Ci sono, ovviamente, delle regole (limiti e vincoli) per registrare le deleghe in piattaforma:

• la delega si registra in piattaforma secondo le specifiche tecniche contenute nell’allegato 4 e nell’allegato 5;
• ogni delegato può avere massimo 5 deleghe (come all’assemblea di condominio). Fanno eccezione, ovviamente, i casi in cui si è “delegati” perché genitori, tutori, curatori, amministratori di sostegno ecc. L’intenzione chiara è quella di evitare il delegato professionale, infatti il delegato dichiara di agire a titolo personale, non professionale e senza compenso;
• la piattaforma registra tutte le richieste di utilizzo delle deleghe. Per i tempi di conservazione non si può che fare riferimento al decreto DTD del 2022, che non è chiaro se e in che misura sopravvive: per le deleghe semplici e generali dieci anni dalla scadenza della loro validità, per le evidenze dell’uso delle deleghe 24 mesi dall’utilizzo;
• queste informazioni sono disponibili a delegato e delegante sia tramite piattaforma sia allo sportello comunale;
• le informazioni sono accessibili, motivatamente, all’autorità giudiziaria. Tali accessi sono tracciati nei log;
• il delegante è avvisato dell’uso della delega tramite domicilio digitale o altro recapito dichiarato in fase di attivazione della delega, tranne i casi di genitore, tutore, curatore, amministratore di sostegno (ragionevolmente).

Art. 9 – Utilizzo della delega da parte del delegato

L’articolo illustra le caratteristiche di massima del flusso di utilizzo di una delega:

• quando una persona si collega a un servizio online il servizio chiede se vuole operare per conto di un soggetto delegante;
• se sceglie di operare per conto di un delegante il servizio online interroga la PGD per verificare la sussistenza di una delega valda. Gli allegati 4 e 5 con le specifiche tecniche della piattaforma chiariscono che il servizio online non conosce tutti i deleganti dell’utente autenticato ma quest’ultimo è reindirizzato a una pagina della piattaforma per selezionare il delegante per il quale intende operare e il servizio online, tramite il fornitore dell’identità digitale dell’utente, conosce i dati solo di questo;
• a tendere, il gestore della piattaforma comunica al sistema IT-Wallet i dati relativi alle deleghe registrate in piattaforma in modo che siano usate come attestato elettronico (attributo certificato?). L’attestato contiene anche i poteri esercitabili per conto del soggetto delegante (è il primo accenno a una selettività/gradualità della delega, che però – anticipo – è molto limitata);
• con il comma 5 si arriva al punto forse più nodale della questione: le pubbliche amministrazioni classificano e mantengono aggiornato l’elenco dei propri servizi online. La classificazione consiste in: servizi delegabili a chiunque; servizi delegabili al genitore/tutore del minore; servizi delegabili al tutore dell’interdetto, curatore, amministratore di sostegno) o al procuratore generale o speciale; servizi non delegabili;
• per servizi classificati come delegabili a tutti le amministrazioni devono fare una valutazione di impatto sulla protezione dei dati personali ai sensi del GDPR
• non è specificato dove e come tenere l’elenco classificato di servizi con annesse valutazioni di impatto. Tuttavia, è detto chiaramente che ogni pubblica amministrazione / service provider gestisce in autonomia con regole proprie le regole di accesso del delegato a un servizio. Conviene spiegarlo meglio anche alla luce di quanto contenuto negli allegati: l’IdP SPID/CIE, interrogata la PGD, dice al SP che l’utente è delegato da un delegante in qualità di delegato generico, genitore, tutore ecc. e a quel punto la pubblica amministrazione / service provider sa se farlo accedere a un servizio o meno ed è responsabile “in ordine alle verifica di compatibilità dei servizi in rete con l’accesso in delega e alla determinazione delle conseguenti logiche di autorizzazione, inclusa l’eventuale limitazione delle funzionalità fruibili in delega, coerentemente con le informazioni messe a disposizione dai servizi della piattaforma previste nell’Allegato 5“;
• per la delega di accesso al fascicolo sanitario elettronico, genitori e tutori vari hanno accesso completo, il delegato generico ha accesso a quanto espressamente autorizzato dal delegante e mai ai dati “soggetti a maggior tutela” che, per l’articolo 6 del decreto del Ministero della salute del 7 settembre 2023, sono quelli che riguardano situazioni sanitarie e socio-sanitarie relative a sieropositività, interruzione di gravidanza, violenze sessuali e pedofilia, uso di sostanze stupefacenti, psicotrope o alcol, parto in anonimato, servizi dei consultori familiari

Art. 10 – Durata della delega

L’articolo si occupa di durata, rinnovo e revoca della delega:

• la delega generica è conferita per un tempo limitato, massimo di due anni, poi va rinnovata (anche prima della scadenza e i due anni massimi partono nuovamente dal momento del rinnovo). Il delegante può revocarla in qualsiasi momento (stessi canali dell’attivazione);
• anche il delegato può rinunciare;
• la “delega” di tutori, curatori e amministratori segue la vicenda (durata) della qualità di tutore, curatore, amministratore ecc. Per i procuratori cessa in caso di revoca o estinzione della procura;
• la “delega” del genitore (e, meglio, dell’esercente la responsabilità genitoriale) cessa quando il minore raggiunge la maggiore età e non è più minore;
• la delega è revocata se le verifiche in fase di attivazione falliscono (ma direi che nemmeno viene attivata) o se falliscono le verifiche periodiche sul mantenimento dei requisiti;
• anche l’autorità giudiziaria può revocare la delega (per motivi suoi).

Art. 11 – Caratteristiche tecniche e requisiti di sicurezza

Il decreto rimanda agli allegati tecnici per le questioni di requisiti tecnico-funzionali e di sicurezza:

• l’allegato 4 descrive caratteristiche tecniche (funzioni) e requisiti di sicurezza della piattaforma;
• Il gestore sviluppa la piattaforma con criteri di accessibilità, usabilità, completezza di informazione, chiarezza di linguaggio, affidabilità, semplicità di consultazione, qualità, omogeneità, interoperabilità (come non essere d’accordo: dovrebbe valere per ogni piattaforma/portale, no?);
• l’allegato 5 descrive le specifiche tecniche di integrazione (le API per il dialogo degli attori coinvolti, i flussi di lavoro ecc.);
• gli allegati tecnici sono aggiornati per stare al passo con le evoluzioni con decreto del Capo del Dipartimento della trasfomazione digitale (DTD) e pubblicati sull’apposita sezione del portale (niente di sconvolgente, un decreto del Capo del DTD li sta approvando, un decreto del Capo DTD li aggiornerà);
• il portale avrà un manuale a disposizione degli utenti che spiega anche come funzionano le deleghe (e meno male).

Art. 12 – Messa in funzione e malfunzionamenti

• Il gestore della piattaforma (l’IPZS) prima di metterla in funzione fa i test su tutti i casi d’uso previsti;
• nei successivi tre mesi Identity Provider SPID/CIE devono integrarsi con la piattaforma (pena sanzioni ex art. 18-bis del CAD);
• a regime, il gestore comunica tempestivamente i malfunzionamenti della piattaforma e il suo ripristino (non si specifica cosa succede nei periodi di non funzionamento).

Art. 13 – Trattamento dei dati personali

L’articolo è dedicato a questioni di protezione dei dati personali:

• rispetto ai dati personali il gestore della piattaforma è titolare del trattamento necessario per l’implementazione, la gestione e la manutenzione della piattaforma;
• il comune è titolare del trattamento dei dati per la presentazione della delega allo sportello o il riscontro alle richieste di accesso presso lo sportello comunale;
• altra specificazione ovvia: se il gestore affida a soggetti terzi l’assistenza da remoto per l’attivazione della delega, deve nominarli responsabili del trattamento (meno male che lo specificano e, direi, vale anche per altre attività affidate a terzi).

Art. 14 – Piano graduale di rilascio dei servizi di presentazione della delega

Il penultimo articolo traccia un cronoprogramma o, meglio, ne indica un inizio:

• a partire dal 15 ottobre 2026 la piattaforma entra in funzione con gradualità:
  1. deleghe inserite dal delegante in piattaforma e “deleghe” del genitore;
  2. deleghe inserite dal delegato in piattaforma e deleghe con assistenza remota;
  3. “delega” del tutore dell’interdetto, del curatore e dell’amministratore di sostegno a se stesso o ad altro soggetto (anche da parte di un genitore) e deleghe fatte tramite sportello comunale;
• le date precise saranno pubblicate sul portale (per quelle che coinvolgono dati in possesso del Ministero della giustizia, l’ultimo comma ci ricorda – in perfetto stile Netflix a uso dei distratti – che il gestore deve concordarle con tale ministero e attendere le specifiche tecniche).

Art. 15 – Disposizioni finali

In chiusura non ci sono soprese o cliffhanger di rilievo:

• si specifica che gli allegati sono parte integrante del decreto;
• si ripete la solita clausola di invarianza finanziaria (si spera che due lire per gestire la piattaforma le avessero già previste).

Allegato 1

Contiene le istruzioni per l’attivazione della delega con assistenza remota.

Allegato 2

Presenta il modello di modulo, da compilare a cura di un medico del Servizio sanitario nazionale (anche il Medico di medicina generale, si direbbe), che attesta l’impossibilità del delegante allettato di recarsi in comune per attivare la delega.

Allegato 3

Contiene tutti i moduli per attivare la delega in comune, per tutti i casi previsti e consente qualche ulteriore scoperta/conferma:

• sono presentati modelli di modulo per chiedere l’attivazione della delega allo sportello comunale, nelle versioni per il delegante, per il delegato, per il genitore, per il tutore/curatore/amministratore di sostegno;
• nel percorso di scoperta si consolidano due aspetti:
  • la delega è per tutti i servizi erogati dalla pubblica amministrazione e non per una loro selezione;
  • a parte le eccezioni del fascicolo sanitario elettronico (che fra l’altro, credo, ha ovunque suoi meccanismi di delega già funzionanti), i limiti di delega sono “solo consultazione” o “completa” (presenti solo nel modulo per il delegante, torna che genitore e tutore non possono che avere delega completa, forse per il modulo presentato dal delegato l’opzione è stata dimenticata);
• si conferma che la delega ha una durata limitata e definita (di massimo due anni);
• si conferma che al comune di residenza si presenta il modulo cartaceo con firma autografa^[2]Il modulo analogico con firma autografa del delegante, dopo la copia per immagine e il caricamento in piattaforma da parte del dipendente comunale addetto che, evidentemente, ne attesta la … Continue reading.

Allegato 4

Il primo dei due corposi allegati tecnici contiene il disciplinare tecnico della piattaforma e si può descrivere come segue:

• sono previsti 4 backoffice (cittadini, comuni, operatori di backoffice del gestore, helpdesk) e l’infrastruttura di back-end;
• per i backoffice si ripercorrono le funzioni da mettere a disposizione che seguono le indicazioni del decreto;
• lo stesso avviene per il back-end che garantisce interoperabilità:
  • con ANPR per verifica dei deceduti e dell’iscrizione anagrafica (e direi anche dello stato di famiglia, anche se non menzionato direttamente);
  • con il Ministero della giustizia per la verifica dello stato di tutore/curatore/amministratore di sostegno e la sussistenza della responsabilità genitoriale (ricordo: i servizi lato ministero sono ancora da inventare);
  • con l’INPS per la verifica dei requisiti per l’attivazione con assistenza remota (certificazione di invalidità ai sensi della l.104/1992 o età maggiore di 65 anni, che penso si rilevi da ANPR);
• si descrivono tutti i flussi di lavorazione dei vari tipi di delega gestiti dalla piattaforma (anche nelle more di avere l’interoperabilità con i dati del Ministero della giustizia)
• si descrivono i requisiti di sicurezza (informatica) della piattaforma, tanto misure tecniche quanto misure organizzative.

Allegato 5

Il secondo allegato tecnico contiene il “profilo implementativo per il protocollo di utilizzo di una delega“, cioè dettaglia tutte le interazioni informatiche che si realizzano per creazione e uso di una delega. Anche qui si può proporre una descrizione con sintesi:

• testualmente, in introduzione si legge che l’allegato “definisce un profilo implementativo dei protocolli di scambio tra Service Provider (SP), Identity Provider (IdP) e la Piattaforma Gestione Deleghe (PGD) per l’ottenimento da parte di un SP di una delega di un Utente”;
• l’amministrazione service provider, per far sapere al mondo (e, in particolare, all’IdP SPID/CIE) che offre servizi delegabili tramite PGD, deve fare operazioni iniziali di abilitazione e poi di gestione. La prima sezione dell’allegato è dedicata proprio a “Gestione Abilitazione dei Service Provider”.
• il SP (amministrazione che eroga il servizio online) deve registrarsi alla PGD, tramite l’accesso a specifici endpoint esposti dalla PGD (a partire dall’“endpoint di onboarding”). Per farlo utilizza inizialmente chiavi e altro materiale crittografico e di autenticazione già in uso per la federazione ai sistemi di identità digitale (la PDND è del tutto esclusa);
• una volta inserito nel “registro JWT dei SP abilitati”, il SP deve poi gestire la sua posizione, aggiornarla o anche cessarla (offboarding);
• la seconda parte delle specifiche è dedicata ai protocolli di comunicazione e descrive l’intero flusso che, a regime, prevede tre fasi (v. sequence diagram a pag 67 del PDF):
  1. richiesta di accesso al servizio online per conto di un delegante (che scatena un dialogo fra SP e IdP);
  2. recupero della delega da PGD, che è un’interazione fra PGD e IdP SPID/CIE;
  3. accesso al servizio online, che richiede ancora uno scambio fra SP e IdP (che fornisce i dati del delegante recuperati dalla PGD);
• questi aspetti sono molto tecnici. Si può osservare, di nuovo, che il SP non conosce mai i nomi di tutti i deleganti del delegato perché il processo di selezione dei deleganti avviene nell’ambiente PGD dopo uno scambio di comunicazioni fra utente (suo browser web), IdP SPID/CIE e PGD. Fra l’altro, a guardare il diagramma a pag. 75 del PDF e la successiva descrizione, l’accesso all’elenco dei deleganti richiede un fattore di autenticazione (OTP) ulteriore rispetto all’autenticazione con identità digitale e l’utente autenticato deve autorizzare espressamente la condivisione dei dati presenti in PGD con l’IdP SPID/CIE che poi li trasmette (terza fase) al SP, insieme all’eventuale livello di delega (completa o sola lettura).
• le sezioni successive delle specifiche ribadiscono, fra gli altri aspetti, i limiti delle deleghe da specificare per delegato generico (“sola consultazione” o “completa”) e per l’accesso al fascicolo sanitario elettronico (con più livelli di autorizzazione);
• a pagina 98 del PDF (94 del testo) si ribadisce che è a totale cura del SP elaborare e implementare la logica di autorizzazione all’accesso del delegato al servizio erogato.

Differenze con le regole 2022

A parte il cambio di nome da Sistema a Piattaforma, balzano all’attenzione alcune differenze, anche di fondo, rispetto al prototipo di regole di funzionamento del 2022:

• per le regole 2022 (art. 6, c. 3) si potevano fare deleghe selettive dei servizi delegati con selezione a cura del delegante: tutti i servizi, i servizi di un certo tipo, uno specifico servizio di un service provider, una classe di servizi di un certo SP; per le regole 2026 si delega l’accesso a tutti i servizi (l’unico filtro lo pone il SP che classifica i servizi fra delegabili e non delegabili e il FSE);
• per le regole 2022 la delega allo sportello si chiedeva all’amministrazione che eroga il servizio di interesse; per quelle del 2026, essendo la delega universale, ci si rivolge ai comuni;
• le regole 2022 non nominavano mai la parola “genitore” ma solo “esercente la responsabilità genitoriale”. La questione merita approfondimento, ma sembra che nel 2026 si chieda al genitore di “farsi delegare” dai figli minori per iscriverli a mensa, mentre nel 2022 sembrava sufficiente operare come genitore (la delega alla maniera del 2022 la attivano gli esercenti la responsabilità genitoriale che, detta male, non risultano genitori da una visura anagrafica);
• nel 2022 le regole tecniche di funzionamento erano demandate a un manuale operativo redatto dal gestore della piattaforma in collaborazione con DTD, Garante per la protezione dei dati e Conferenza unificata; nel 2026 le specifiche sono allegate (e aggiornabili dal solo DTD sentito il Garante);
• nel 2022 si era omessa la partecipazione informatica all’ecosistema PGD del Ministero della giustizia che, invece, deve mettere a disposizione i dati su tutori degli interdetti, curatori e amministratori di sostegno e confermare la sussistenza della responsabilità genitoriale (la questione era risolta, almeno per tutori di interdetto, curatori e amministratori di sostegno facendo allegare copia del provvedimento di nomina);
• il decreto 2022 entrava nel merito dei tempi di conservazione dei dati (deleghe e loro utilizzo), il decreto 2026 dispone solo di conservarli.

Facendo invece riferimento anche al testo iniziale dell’articolo 64-ter del CAD, si osserva come, inizialmente, esistenza e portata della delega erano veicolate da un attributo qualificato associato all’identità digitale. Nel funzionamento attuale, invece, tale informazione è recuperata a ogni interazione dalla piattaforma (non che cambi molto, in realtà). Nelle regole attuali è comunque nominato, come veicolo della delega, l’IT-Wallet, che, possiamo dire, è l’evoluzione degli attributi qualificati: tuttavia, nelle specifiche tecniche allegate al decreto non si nomina mai l’IT-Wallet e si descrive il flusso di recupero della delega solo indipendente dal wallet.

Cosa ci attende: adeguamenti tecnici e organizzativi (e qualche nodo da sciogliere?)

Testare e pubblicare la piattaforma a cura dell’IPZS (Istituto Poligrafico e Zecca dello Stato) non basta a far funzionare le deleghe. Non basta nemmeno l’adeguamento dei sistemi degli Identity provider SPID/CIE.

Si può osservare:

• che, stando alle regole tecniche, è necessario che le pubbliche amministrazioni si abilitino, come SP, sulla PGD: è un qualcosa che si fa solo a livello tecnico, non si fa menzione di adesioni amministrative. Del resto, ci sta, visto che il meccanismo di delega così elaborato è qualcosa di molto contiguo all’identità digitale. Infatti, le operazioni informatiche da compiere partono proprio dalla posizione del SP nell’ecosistema SPID/CIE;
• che emerge un aumento di complessità delle abilitazioni da gestire. Pensiamo a chi è federato SPID/CIE singolarmente con fornitori diversi, tutte le federazioni sono da aggiornare;
• che, ancora per le p.a., sono da adeguare i servizi online:
  • come logica applicativa, per adattarsi al flusso che richiede al momento dell’autenticazione, di stabilire se l’utente sta operando per conto suo o di un delegante;
  • come interazione informatica, per aggiornare il dialogo con l’IdP di turno, secondo le specifiche, uguali per tutti, dettate dalle regole tecniche (allegato 5) – sembrerebbe, invece, che i SP non dialoga mai direttamente con la PGD e questo, evidentemente, è un bene perché non di devono costituire nuovi “connettori” ma solo ampliare quelli esistenti;
• che, ancora per la p.a. service provider, c’è un ulteriore adeguamento tecnico-organizzativo:
  • occorre censire e classificare i servizi sulla base del tipo di delegato che può accedere per conto di un delegante;
  • adeguare i software di servizi online di conseguenza, secondo logiche per le quali non esiste uno standard. Va gestita non solo la possibilità di accedere o meno a un servizio in qualità di delegato, ma anche come interpretare la differenza fra il delegato generico che accede in “solo consultazione” o con delega “completa”;
  • valutare cosa fare di eventuali precedenti meccanismi e flussi di delega.

I genitori sono delegati dai bambini?

Resta il dubbio dello “schema giuridico” secondo cui un genitore opera nell’interesse del figlio come delegato. Non mi viene da dire nemmeno “per conto”, perché, a sentimento, mi pare espressione che richieda da parte del minore una certa capacità giuridica che non ha. Forse è solo una convenzione di comodo, visto che il minore (o l’interdetto ecc.) non compie alcuna azione di delega ma, semplicemente, il genitore (tutore ecc.) dichiara la sua qualità alla piattaforma. Una delega per modo di dire quindi.

Dal punto di vista pratico: il genitore deve fare la trafila sulla PGD per confermare di essere genitore? E presentarsi come tale quando accede a un servizio online che comunque è in grado di leggere il suo stato di famiglia? A prima vista sembra un po’ vessatorio e poco aderente al principio “once-only”. Tuttavia, l’operazione può avere un senso, perché il flusso tramite PGD consente sia di intercettare quelle situazioni in cui si esercita la responsabilità genitoriale su un minore che non risulta nello stato di famiglia o vi risulta ma non come figlio, sia di verificare eventuali decadenze della responsabilità genitoriale…

Fatto sta che proprio in queste settimane abbiamo visto il fiorire di tanti servizi online che, finalmente, rilevano lo stato di genitore consultando ANPR tramite PDND (è anche un recente caso d’uso di Developers Italia). Anche qui è da capire quale sia la strada più sostenibile da seguire.

Va anche considerato il fatto che non esistono obblighi in capo ai cittadini di utilizzare la GPD, né, in particolare esiste l’obbligo per i genitori di dichiarare alla GPD il proprio stato di genitore: sembra allora che debbano coesistere le due logiche di funzionamento dei servizi online che coinvolgono bambini.

Non è che davvero si sta delegando l’identità digitale più che l’accesso a un servizio online?

Nel 2021 mi meravigliavo delle semplificazioni giornalistiche che vedevano nella piattaforma la “delega dello SPID“. Avevo anche qualche dubbio su come si potesse consentire di delegare l’accesso a un singolo servizio di una singola p.a. tramite una piattaforma centralizzata.

Adesso, nel 2026, è confermato che la delega ai servizi avviene a livello centralizzato ed è associata nettamente all’identità digitale e al futuro IT-wallet, scelta che può starci, senza dubbio. C’è invece un ripensamento drastico della granularità delle deleghe: il delegante individua massimo due persone che possono accedere a tutti i servizi per conto del delegante; sta poi alle singole amministrazioni valutare a quali servizi consentire accesso al delegato.

Messa così, in effetti, la PGD sembra adatta a sanare – e potrebbe non essere poco – quella diffusa situazione di fatto, tendenzialmente illegale, in cui, per esempio, il genitore anziano affida il suo SPID al figlio che se la cava meglio col computer. Oltre a formalizzare meglio questa situazione, si evitano anche quelle difficoltà logistiche di doppi telefoni o doppie app, telefonate kafkiane per farsi dettare un codice OTP ecc.

Con la PGD strutturata in questo modo, tuttavia, risulta difficile, anzi, risulta impossibile delegare a una persona di fiducia la cura di un unico specifico interesse, perché si delega tutto o niente e anche la scelta di delega “solo in consultazione” e “completa” si ripercuote su tutti i servizi di tutta la pubblica amministrazione italiana.

Conseguentemente, poiché credo che esistano molte situazioni in cui una persona tecnologicamente abile voglia delegare a qualcuno altrettanto tecnologicamente abile, l’accesso a qualche servizio online, direi che la GPD così pensata non può sollevare gli enti che mettono a disposizione servizi online da mantenere gli esistenti meccanismi di delega o elaborarne di nuovi. Per esempio, anche nell’organizzazione familiare può capitare che si deleghi a un parente la gestione dell’imposta di soggiorno di un appartamento a disposizione adibito ad affitti brevi ma non si accetti che questi possa vedere l’estratto conto contributivo INPS o richiedere un’occupazione di suolo pubblico (sono esempi a caso).

Dubbio grande: la PGD è obbligatoria per le amministrazioni?

Un altro dubbio, che potrebbe essere un freno all’adozione e all’implementazione della GPD: l’uso della PGD è obbligatorio per chi eroga servizi online? O, meglio:

• in un servizio online è obbligatorio prevedere meccanismi di delega?
• se si prevedono meccanismi di delega è obbligatorio implementarli tramite PGD?

Il decreto fissa dei termini di adeguamento per gli identity provider SPID/CIE ma non per le pubbliche amministrazioni che operano come service provider. Si è detto che i servizi online delle amministrazioni devono essere adeguati (e non poco) per interagire correttamente con la PGD e, se non c’è un obbligo, forse, fra inerzia, pigrizia e cieca fiducia nel fornitore di turno si persevera nelle modalità di delega tramite documento allegato o si continua a caldeggiare il “passaggio dello SPID”^[3]Tempo fa, ma temo sia ancora così, una Regione dell’avanzato Settentrione d’Italia invitava i genitori ad accedere al Fascicolo sanitario dei figli utilizzando le credenziali CIE … Continue reading e la PGD non è in grado di esprimere i benefici di cui è capace.

Prossimamente

Seguirà un approfondimento, forse più per esercizio di stile che altro, su come i miei dubbi del 2021 siano stati sciolti o meno e, magari, qualche commento ulteriore.

Image by katemangostar on Magnific