Parliamo di SPID
di Maurizio Cartolano

“Pure questo???” esordì così una anonima frequentatrice di ASit Forum nell’antidiluviano (digitalmente parlando) 2009 dichiarando tutto il proprio sgomento telematico di fronte all’obbligo imposto dalla Legge 2/2009 che così modificava il comma 7 dell’articolo 16 del Decreto Legge 185/2008: [...] “I professionisti iscritti in albi ed elenchi istituiti con legge dello Stato comunicano ai rispettivi ordini o collegi il proprio indirizzo di posta elettronica certificata entro un anno dalla data di entrata in vigore del presente decreto” (che - non per fare i pignoli - ma era una legge e non un decreto).

Di fatto l’introduzione della PEC è stato il primo passo su vasta scala in quel processo di smaterializzazione degli strumenti di comunicazione che hanno sempre contraddistinto i rapporti formali tra cittadino e pubblica amministrazione. In realtà un precedente c’era già stato: l’istituzione di brunettiana memoria della cosiddetta CEC-PAC (comunicazione elettronica certificata – pubblica amministrazione cittadini) gratuita per tutti, ma con due enormi limiti non indifferenti: le CEC-PAC erano uno strumento di comunicazione unicamente tra cittadino e pubblica amministrazione, il che precludeva qualsiasi rapporto tra privati che avrebbero dovuto ricorrere o alla tradizionale “raccomandata con ricevuta di ritorno” o alla nascente PEC, che però non era ancora introdotta in modo diffuso nelle amministrazioni soprattutto locali. Il secondo limite era in uno standard tecnico non coerente che le definizioni della Comunità Europea. Di conseguenza la CEC-PAC è stata una meteora con lo strascico di un costo esorbitante di 50 milioni di euro ripartiti tra ACI e INPS elevati per l’occasione al rango di provider di stato.

Ma se in qualche modo – per ora – si è assestato un sistema di comunicazione formale attraverso la PEC, lo SPID va a strutturare un altro aspetto della relazione con le amministrazioni: la interazione, ovvero l’accesso ai servizi della pubblica amministrazione. SI va dall’iscrizione al nido dei propri figli, alle dichiarazioni fiscali, alle pratiche pensionistiche e, per quello che ci riguarda in questo contesto, l’accesso all’area riservata del CNOAS e dei Consigli regionali dell’Ordine.

La necessità di una identità digitale, ovvero di un sistema che consenta ad una pubblica amministrazione di aver certezza che chi sta accedendo da remoto al proprio sistema sia effettivamente quel cittadino, non è certo una novità e in questo senso le varie amministrazioni pubbliche si sono variamente attrezzate, nella stragrande maggioranza con il rilascio di credenziali di accesso (previa una qualche forma di accreditamento e/o riconoscimento pregresso).

L’INPS per esempio fino al 30 settembre 2021 accreditava gli utenti online attraverso il “PIN INPS” per ottenere il quale occorreva: fare richiesta online, a seguito della quale si otteneva un codice di 8 caratteri alfanumerici, a questi si dovevano aggiungere ulteriori 8 caratteri che sarebbe stati inviati per posta, ottenuta tutta la sequenza al primo accesso si doveva procedere ad una modifica che configurava la nuova password a patto che rispettasse determinate caratteristiche (numero minimo di caratteri, presenza di maiuscole, di numeri non consecutivi e ripetitivi ecc), dopo di che occorreva comunque fare un accesso ogni sei mesi per evitare di ricominciare. Viene spontaneo a questo punto richiamare alla memoria quella “magia” che conteneva la frase “togli il primo numero che hai pensato"…

Analogamente così hanno fatto diverse amministrazioni: comuni, regioni, provincie aziende sanitarie e ovviamente anche gli Ordini e i Collegi, ognuna con un proprio sistema di credenziali il che, oltre alla memorizzazione delle credenziali stesse, ha anche il problema delle modalità di identificazione tutt’altro che univoca tra ente ed ente. Tutto questo sistema è terminato il 1 ottobre 2021, sostituito dall’accesso tramite SPID.
SPID comunque non è l’unica forma di identità digitale, navigando nei siti delle P.A. sicuramente abbiamo notato la possibilità di accesso tramite CIE o CNS acronimi rispettivamente di Carta di Identità Elettronica e Carta Nazionale dei Servizi, precedenti e (ancora) attuali sistemi di identificazione online, per i quali però più che di identità digitale dobbiamo parlare di identità digitalizzata. Infatti entrambi sono dei supporti fisici, nel quale giacciono i dati che ci riguardano, e di conseguenza per essere “visti” nella rete hanno bisogno di un ecosistema hardware/software di riconoscimento, per la CNS serve addirittura un lettore di smart card da connettere ad un pc. Questo spiega anche lo scarsissimo utilizzo della Carta Nazionale dei Servizi, pur essendone molti di noi inconsapevolmente in possesso: la CNS è infatti contenuta in molti chip delle tessere sanitarie/codici fiscali.

SPID non ha un supporto fisico, i dati che ci identificano sono presenti nel database del provider al quale ci siamo rivolti per acquisire lo SPID stesso e al quale abbiamo rilasciato una serie di informazioni, da quelle anagrafiche pure e altre come numero di telefono indirizzo email, codice fiscale ecc.

Sul sito del Governo si trovano tutte le informazioni necessarie per capire e per sapere cosa fare per ottenere lo SPID.
Qui spendiamo solo 2 parole per spiegare l’architettura del sistema:

• nel momento in cui accediamo al sito dell’Ordine (o di un ente pubblico o privato con accesso spid) e decidiamo di entrare nell’area riservata: il sistema ci propone la lista dei provider SPID autorizzati (attualmente sono una decina);
• scegliamo quello presso il quale ci siamo “spidizzati” e veniamo reindirizzati nella pagina apposita del nostro provider (verosimilmente “Poste Italiane”, che detiene l’80% delle identità digitali essendo l’unico provider gratuito);
• a questo punto il nostro provider sostanzialmente ci informa che CNOAS ha chiesto di accedere ad alcuni dati per identificarci, il provider ci informa anche quali dei vari dati ha chiesto il sito del CNOAS;
• se accettiamo (e questa operazione si fa anche con la comoda rilevazione biometrica di molti smartphone) ci ritroviamo finalmente nella nostra area riservata di un ente pubblico quale è anche il CNOAS e possiamo procedere con l’interazione dei servizi previsti (inserimento della richiesta del riconoscimento dei crediti per l’attività di tutor a tirocinanti universitari per esempio).

Indipendentemente dall’utilizzo per la piattaforma del CNOAS, lo SPID è un passaggio obbligatorio per la nostra presente e futura vita online. Non è l’ennesimo rognoso adempimento al quale rispondere il “pure questo??” con il quale abbiamo aperto l’articolo. Alcuni benefici, come il bonus per l’acquisto del salva bebè in auto, sono ottenibili solo se provvisti di SPID in quanto sono su piattaforme governative, idem per iniziative come il cashback ecc. e abbiamo già segnalato la comodità di procedere ad una iscrizione a scuola dei propri figli, alla possibilità di accedere ai servizi sanitari ecc. Inoltre va considerato che – a differenza di precedenti sistemi come CIE e CNS - lo SPID può essere utilizzato anche tra privati, per aprire un conto corrente on line per esempio e non escluderei in futuro anche l’identificazione per l’acquisto on line di particolari categorie di prodotti (farmaceutici per lo più) per i quali la detraibilità fiscale è possibile solo identificandosi come facciamo dal farmacista con la tessera sanitaria.

Un’ultima osservazione a margine della scadenza del 30 settembre osservata dal CNOAS. La norma che ha fissato questa data si riferisce all’accesso dei “cittadini” ai siti delle PP.AA. In realtà tale obbligo non vige ancora per chi accede nella sua veste di “professionista”. Per loro - per noi - l’obbligo sarà fissato con un successivo provvedimento come prevede il recente “decreto infrastrutture” andato in vigore l’11 settembre scorso quindi - ferma restando la necessità di dotarsi prima o poi dello SPID - allo stato attuale l’accesso all’area riservata potrebbe essere mantenuto con le vecchie credenziali, almeno fino alla emanazione di un DPCM che fissi la data per i professionisti.