MUCCI. – Al Presidente del Consiglio dei ministri, al Ministro per la semplificazione e la pubblica amministrazione, al Ministro dell'interno . – Per sapere – premesso che:
   il Sistema pubblico di identità digitale (Spid), operativo dal 15 marzo 2016, è un sistema che dovrebbe consentire, attraverso identità digitali garantite e sicure, di accedere ai servizi online della pubblica amministrazione, come ad esempio la dichiarazione dei redditi, l'Isee, i referti, le visite mediche, la situazione previdenziale, le denunce di infortuni all'Inail, l'iscrizione all'asilo nido, i congedi di maternità, il pagamento di tasse e bolli, le proprietà immobiliari, le dichiarazioni di successione e molto altro ancora;
   il sistema si impernia su requisiti di identità digitale, organizzati su tre livelli e rilasciati da soggetti denominati identity provider, che sono soggetti ad una procedura di accreditamento presso la stessa Agenzia per l'Italia digitale (Agid);
   tale procedura di accreditamento (operativo dal 15 dicembre 2015), incentrata su requisiti di sicurezza molto stringenti, è vigilata e controllata dalla medesima Agid;
   ad oggi, accreditati dall'Agid sono quattro operatori: Infocert spa, Poste Italiane spa, Sielte spa, TI Trust technologies s.r.l.;
   in un recente articolo di stampa viene mostrato un video, nel quale si vede un soggetto esibire un documento di identità cartaceo, grossolanamente contraffatto, alla webcam dell'operatore dell’identity provider, al fine di essere riconosciuto ed ottenere credenziali di accesso perfettamente valide;
   il principale problema è dato, quindi, dai meccanismi di identificazione, delegati a soggetti che, in alcuni casi, usano una webcam – strumento facilmente ingannabile – per accertare l'identità del cittadino richiedente il servizio, senza peraltro che il cittadino sia adeguatamente informato e responsabilizzato (anche penalmente) per le dichiarazioni e attestazioni rese al gestore di Spid (come invece previsto nell'ipotesi di illecito di cui all'articolo 495-bis del codice penale, rubricato «Falsa dichiarazione o attestazione al certificatore di firma elettronica sull'identità o su qualità personali proprie o di altri»);
   a ciò si aggiunge il fatto che, in base alle norme che regolano lo Spid, ogni cittadino può astrattamente avere più identità digitali acquisite da identity provider diversi, senza aver modo di conoscere quante identità a suo carico siano state attivate;
   alla luce di quanto narrato, appare dunque necessario migliorare la normativa, nonché la procedura di identificazione dell'identità del richiedente il servizio, magari inserendo controlli incrociati con altre banche dati;
   ciò è necessario per garantire un'assoluta fiducia da parte del cittadino nel sistema Spid e consentire dunque una maggiore diffusione nell'uso del sistema stesso, a partire dal numero ad oggi esiguo (poco più di 180.000) di identità digitali rilasciate, e da un incremento dei servizi forniti dalle pubbliche amministrazioni attraverso lo Spid –:
   se i fatti esposti corrispondano al vero e, nell'eventualità positiva, quali iniziative urgenti intendano assumere al fine di rendere più sicuro, dal punto di vista della sicurezza, il processo di attribuzione dell'identità digitale;
   se il metodo di identificazione attraverso webcam sia consentito dalle regole tecniche di Agid;
   se il Garante per la protezione dei dati personali sia stato preventivamente coinvolto in fase di definizione dei processi di identificazione, prima della loro messa in funzione;
   quanti dei 180 mila accreditamenti già rilasciati abbiano utilizzato il meccanismo di identificazione tramite webcam;
   se, qualora si usi un meccanismo di identificazione dell'utente tramite webcam, si intendano assumere iniziative per integrare la verifica con informazioni derivanti da altre banche dati;
   quante risultino essere le identità non rilasciate o rifiutate dall’identity provider, per problemi nella procedura di registrazione;
   se, al fine di accelerare la crescita nelle credenziali rilasciate, si intendano in futuro assumere iniziative per adottare procedure di identificazione «forte» già in esercizio nel sistema bancario. (3-03262)