IT-Wallet in Gazzetta Ufficiale: regole, scadenze e cosa cambia per cittadini, imprese e Pubblica amministrazione

Luca Frabboni – Maat Srl

Il quadro normativo del Sistema IT-Wallet è entrato nella fase attuativa. Dopo una prima sperimentazione dei documenti digitali disponibili nell’app IO, la pubblicazione di due decreti nella Gazzetta Ufficiale definisce ora l’architettura del portafoglio digitale italiano, i soggetti responsabili della sua gestione, le modalità di adesione, il valore degli attestati elettronici e i termini entro i quali le amministrazioni dovranno rendere disponibili i dati contenuti nelle proprie banche dati.

Il provvedimento più recente è il decreto del 19 marzo 2026, pubblicato nella Gazzetta Ufficiale, Serie generale, n. 178 del 3 agosto 2026, recante la «Disciplina del Sistema IT-Wallet e dei relativi servizi». Esso completa il decreto del 17 giugno 2026, pubblicato nella Gazzetta Ufficiale n. 169 del 23 luglio 2026, con il quale sono state approvate le Linee guida del Sistema IT-Wallet e le regole applicabili alla fase di sperimentazione.

La novità non consiste, quindi, nella semplice aggiunta di nuovi documenti all’app IO. Il legislatore sta costruendo un vero ecosistema nazionale per il rilascio, la conservazione e la presentazione di attestazioni elettroniche verificabili, utilizzabili nei rapporti con amministrazioni pubbliche e soggetti privati.

Che cos’è il Sistema IT-Wallet

Il Sistema IT-Wallet è stato istituito dall’articolo 64-quater del Codice dell’amministrazione digitale, introdotto dal decreto-legge 2 marzo 2024, n. 19, convertito dalla legge 29 aprile 2024, n. 56.

La sua funzione è consentire alle persone fisiche e giuridiche di accedere a servizi pubblici e privati presentando in modo sicuro informazioni relative all’identità, a prerogative, deleghe, caratteristiche, licenze, qualifiche e altri attributi personali o professionali sotto forma di attestati elettronici.

L’elemento centrale del sistema è proprio l’attestato elettronico: non una semplice fotografia o copia informatica di un documento, ma un insieme strutturato di dati firmati elettronicamente e provenienti da una fonte riconosciuta come autentica.

Un titolo di studio, la residenza, il possesso di una determinata qualifica o il superamento di una soglia di età potranno, pertanto, essere dimostrati mediante dati verificabili direttamente alla fonte, evitando – quando il sistema sarà pienamente operativo – scansioni, copie cartacee, autocertificazioni e successive verifiche manuali.

I due decreti pubblicati in Gazzetta Ufficiale

Il quadro attuativo si fonda su due provvedimenti distinti.

Il decreto del 17 giugno 2026 approva le Linee guida per la fase di sperimentazione e disciplina, tra l’altro:

i soggetti e i ruoli coinvolti nel sistema;
il registro pubblico degli operatori IT-Wallet;
l’emissione, la revoca e la presentazione degli attestati elettronici;
le verifiche da remoto e in prossimità;
la registrazione degli operatori pubblici e privati;
i requisiti di sicurezza, interoperabilità e affidabilità;
le modalità di sperimentazione delle soluzioni private.

Il decreto del 19 marzo 2026, pubblicato il 3 agosto, definisce invece i compiti dell’Istituto Poligrafico e Zecca dello Stato e di PagoPA, stabilisce l’avvio graduale del sistema, introduce gli obblighi per le amministrazioni e detta i principi relativi alla gratuità e alla sostenibilità economica dei servizi.

Il ruolo di IPZS e PagoPA

L’Istituto Poligrafico e Zecca dello Stato è responsabile della progettazione, realizzazione e gestione dell’infrastruttura organizzativa e tecnologica centrale del Sistema IT-Wallet.

In particolare, IPZS assume il ruolo di:

unico fornitore del registro IT-Wallet;
unico fornitore degli attestati elettronici contenenti i dati di identificazione personale;
unico fornitore degli attestati elettronici di interesse pubblico.

PagoPA è invece incaricata di realizzare e gestire la soluzione pubblica di IT-Wallet, integrata nell’app IO, e di garantirne l’interoperabilità con le soluzioni private che saranno ammesse nel sistema.

L’ecosistema non sarà pertanto composto esclusivamente dal portafoglio pubblico presente nell’app IO. Potranno essere sviluppate anche soluzioni IT-Wallet private, purché conformi alle regole tecniche e registrate secondo le procedure definite da AgID.

Quali attestati saranno disponibili

Durante la sperimentazione dovranno essere assicurati prioritariamente i seguenti attestati elettronici:

indicatore della situazione economica equivalente, ossia ISEE;
titolo di studio e iscrizione scolastica;
titolo accademico e iscrizione a università o istituzioni di formazione superiore;
residenza;
godimento dei diritti politici;
iscrizione nelle liste elettorali;
superamento di determinate soglie di età;
Tessera sanitaria e Tessera europea di assicurazione malattia;
patente di guida mobile;
Carta europea della disabilità;
deleghe registrate nella piattaforma prevista dall’articolo 64-ter del CAD.

Patente di guida, Tessera sanitaria e Carta europea della disabilità sono già state rese disponibili nell’app IO nella precedente fase di sviluppo. Le nuove disposizioni ne inseriscono l’utilizzo all’interno di un’infrastruttura più ampia, destinata a consentirne la presentazione anche a servizi pubblici e privati registrati nel sistema. Il Dipartimento per la trasformazione digitale ha chiarito, inoltre, che l’IT-Wallet non sostituisce obbligatoriamente i documenti fisici, ma offre una modalità digitale alternativa a chi intende utilizzarla.

È importante precisare che i decreti non fissano una data specifica per la disponibilità al pubblico di ciascun nuovo attestato. L’articolo 5 del decreto del 19 marzo 2026 prevede un rilascio graduale delle funzionalità, mentre l’effettiva attivazione dipenderà dall’adozione delle specifiche tecniche, dalla registrazione delle fonti autentiche e dall’interoperabilità con le rispettive banche dati.

Le scadenze previste

La prima data da considerare è il 3 agosto 2026, giorno di pubblicazione del decreto che disciplina l’avvio del sistema. Da tale data:

prende avvio il rilascio graduale delle funzionalità della soluzione pubblica;
i soggetti pubblici possono registrarsi come titolari di fonti autentiche;
i soggetti privati possono richiedere la registrazione nel sistema;
le soluzioni registrate possono essere utilizzate per accedere ai servizi online delle pubbliche amministrazioni;
i privati possono scegliere di utilizzare IT-Wallet per l’erogazione dei propri servizi digitali.

La scadenza più rilevante per la Pubblica amministrazione è il 3 agosto 2027. Entro dodici mesi dalla pubblicazione, tutti i soggetti ricompresi nell’articolo 2, comma 2, del CAD dovranno aderire, senza ulteriori oneri, al Sistema IT-Wallet in qualità di titolari di fonte autentica e rendere disponibili i dati e i documenti necessari alla generazione degli attestati elettronici.

Il decreto stabilisce espressamente che a tale obbligo non potranno essere opposte le disposizioni settoriali che disciplinano le singole banche dati. Per le amministrazioni si apre quindi una fase organizzativa e tecnica particolarmente impegnativa, che richiederà la ricognizione delle basi dati, la verifica della qualità delle informazioni e l’integrazione con la Piattaforma Digitale Nazionale Dati.

Un ulteriore termine è fissato al 3 febbraio 2028. Entro diciotto mesi dalla pubblicazione, IPZS dovrà rendere possibile il rilascio degli attestati elettronici di identificazione personale anche attraverso una procedura basata sulla verifica del possesso fisico della Carta d’identità elettronica, accompagnata dall’autenticazione con CIEid o SPID di livello significativo. I dati anagrafici continueranno comunque a essere selezionati e validati attraverso ANPR.

Le Linee guida prevedono inoltre che AgID adotti il regolamento relativo alle procedure di registrazione entro trenta giorni dall’adozione delle specifiche tecniche. Non si tratta, tuttavia, di un termine decorrente direttamente dalla pubblicazione in Gazzetta: la sua decorrenza è collegata al successivo provvedimento con cui saranno formalmente approvate le specifiche tecniche.

Il valore giuridico degli attestati elettronici

Uno degli aspetti più significativi riguarda il rapporto tra IT-Wallet e documentazione amministrativa.

L’articolo 6 del decreto stabilisce che gli attributi presentati sotto forma di attestati elettronici validi e conformi alle Linee guida sono esenti dai controlli previsti dal Capo V del D.P.R. 28 dicembre 2000, n. 445 e dalle altre disposizioni in materia di controlli amministrativi e documentali.

Le istanze e le dichiarazioni previste dall’articolo 65 del CAD sono inoltre valide quando presentate attraverso una soluzione IT-Wallet conforme. L’identificazione effettuata mediante l’attestato elettronico dei dati personali è equiparata all’identificazione informatica prevista dal medesimo articolo 65. Tali disposizioni sono dichiarate applicabili anche ai soggetti privati.

La portata pratica è rilevante: l’amministrazione o l’impresa che riceve un attestato valido non deve verificare nuovamente il documento presso l’ente che detiene la banca dati, perché l’informazione è già stata autenticata alla fonte.

Ciò non significa, tuttavia, che venga meno qualsiasi controllo relativo al procedimento o al rapporto contrattuale. L’esenzione riguarda la veridicità e la provenienza degli attributi contenuti nell’attestato; restano ferme le verifiche ulteriori richieste dalla disciplina sostanziale applicabile al singolo servizio.

Divulgazione selettiva e tutela dei dati personali

Le Linee guida introducono la possibilità di presentare gli attestati sia da remoto sia in prossimità, ossia quando l’utente è fisicamente presente presso lo sportello o il soggetto verificatore.

Il sistema dovrà inoltre supportare la cosiddetta divulgazione selettiva. L’utente potrà comunicare soltanto i dati strettamente necessari per il servizio richiesto, senza esporre l’intero contenuto del documento.

Per dimostrare di essere maggiorenne, ad esempio, dovrebbe essere sufficiente presentare l’attestazione relativa al superamento della soglia di età, senza comunicare necessariamente la data completa di nascita o altri dati non pertinenti.

Il decreto dedica particolare attenzione alla protezione dei dati personali. Il quadro tecnico non deve consentire ai fornitori degli attestati, dopo il rilascio, di tracciare o correlare le transazioni effettuate dall’utente, salvo una sua esplicita autorizzazione. I fornitori non possono raccogliere informazioni non necessarie, né combinare i dati contenuti nel wallet con quelli provenienti da altri servizi, salvo espressa richiesta dell’interessato. È inoltre prevista la separazione logica tra i dati dell’IT-Wallet e gli altri trattamenti effettuati dal medesimo fornitore.

L’utente dovrà mantenere il controllo sugli attestati, visualizzare lo storico delle interazioni, ricevere le notifiche di revoca e richiedere la cancellazione dei dati precedentemente presentati ai verificatori.

IT-Wallet sarà gratuito?

Il decreto conferma la gratuità per i cittadini delle funzionalità essenziali, definite come “servizi base”. Accanto a esse potranno essere introdotti servizi aggiuntivi remunerabili, anche destinati a usi professionali o imprenditoriali.

Potranno essere previste, in particolare, tariffe a carico dei soggetti privati che verificano gli attestati, eventualmente commisurate al numero delle transazioni, e corrispettivi per servizi avanzati o per l’emissione di attestati non inclusi tra quelli essenziali. Le pubbliche amministrazioni sono espressamente escluse dalle tariffe applicabili ai verificatori.

Il quadro economico non è però ancora completo. Un successivo decreto dovrà individuare:

quali funzionalità rientrano nei servizi base gratuiti;
quali servizi possono essere remunerati;
le relative politiche tariffarie;
i contributi dovuti dagli operatori privati per la registrazione e il mantenimento del registro;
gli attestati che, per ragioni di sicurezza o tutela della fede pubblica, potranno essere forniti esclusivamente tramite il wallet pubblico.

Cosa cambia per le imprese e i professionisti

Per le imprese l’adesione non è obbligatoria. I soggetti privati possono però registrarsi come fornitori di soluzioni, emittenti di attestati o verificatori e possono utilizzare IT-Wallet per l’accesso ai propri servizi.

In prospettiva, banche, assicurazioni, società di servizi, datori di lavoro, università, professionisti e piattaforme digitali potranno acquisire direttamente attestazioni verificate relative, ad esempio, all’identità, alla residenza, all’età, ai titoli di studio o alle deleghe.

Per gli studi legali il sistema può incidere soprattutto sui processi di identificazione del cliente, acquisizione dei documenti, verifica delle qualità dichiarate e gestione delle deleghe. Non si tratta, tuttavia, di un’immediata sostituzione degli attuali strumenti di identificazione, sottoscrizione o deposito telematico: l’utilizzo concreto dipenderà dall’attivazione dei singoli attestati, dalla registrazione dello studio o del fornitore utilizzato e dalle specifiche regole applicabili al procedimento o al servizio interessato.

Le organizzazioni che intendono integrare il sistema dovranno valutare attentamente i profili relativi alla sicurezza, alla protezione dei dati, alla conservazione delle informazioni, alla gestione dei consensi e alla corretta individuazione degli attributi realmente necessari.

Una nuova infrastruttura, non soltanto un portafoglio di documenti

La pubblicazione dei decreti segna il passaggio da una raccolta sperimentale di documenti digitali a un’infrastruttura giuridica e tecnologica destinata a incidere sul modo in cui cittadini, amministrazioni e imprese dimostrano identità, qualità e diritti.

Il vero cambiamento non sarà avere nello smartphone la fotografia digitale di una patente o di una tessera, ma poter presentare un’informazione verificata alla fonte, utilizzabile immediatamente e, nei casi previsti, senza ulteriori controlli documentali.

Restano ancora da completare alcuni passaggi essenziali: l’adozione delle specifiche tecniche, il regolamento AgID per la registrazione, la definizione dei servizi gratuiti e remunerabili e l’effettiva integrazione delle banche dati pubbliche. La scadenza del 3 agosto 2027 impone però alle amministrazioni di iniziare sin da ora le attività organizzative necessarie per assumere il ruolo di fonte autentica all’interno del nuovo ecosistema digitale.