L’EUDI Wallet, introdotto dal Regolamento eIDAS 2.0 (Reg. UE 2024/1183), consentirà ai soggetti obbligati in materia antiriciclaggio di eseguire l’adeguata verifica della clientela tramite identità digitale certificata a livello europeo. Per gli studi legali rientranti nell’ambito del d.lgs. 231/2007, questo significa rivedere le procedure KYC interne prima che il sistema diventi operativo su scala nazionale. Chi non aggiorna per tempo i propri protocolli rischia di trovarsi con processi non conformi nel momento in cui la clientela inizierà a presentare il Wallet come strumento di identificazione.
Punti chiave
- Punto 1 — L’EUDI Wallet vale come strumento di identificazione ai fini dell’adeguata verifica ex d.lgs. 231/2007.
- Punto 2 — Gli studi legali obbligati devono aggiornare le procedure KYC prima dell’adozione diffusa del Wallet.
- Punto 3 — Il Wallet introduce nuovi rischi cyber e privacy che i soggetti obbligati devono presidiare contrattualmente.
Se il tuo studio rientra tra i soggetti obbligati ai sensi del d.lgs. 231/2007 — avvocati che svolgono attività di cui all’art. 12, comma 1, lett. c) e d) — devi iniziare a ragionare su come l’EUDI Wallet entrerà nei tuoi flussi di onboarding. Non si tratta di un aggiornamento tecnologico da delegare al consulente IT: tocca direttamente le procedure di adeguata verifica della clientela e la tenuta del fascicolo identificativo.
L’EUDI Wallet è il portafoglio di identità digitale europeo introdotto dal Regolamento eIDAS 2.0 (Reg. UE 2024/1183), che modifica il precedente Reg. UE 910/2014. Permetterà ai cittadini europei di condividere attributi d’identità verificati — nome, data di nascita, codice fiscale, nazionalità — direttamente da smartphone, con livello di garanzia «elevato». L’adozione obbligatoria da parte degli Stati membri è prevista entro il 2026.
Il contesto normativo
Il quadro di riferimento per i professionisti legali si incrocia su due assi. Il primo è il d.lgs. 231/2007, in particolare gli artt. 17-30, che disciplinano le modalità di adeguata verifica della clientela: identificazione, verifica dell’identità, comprensione dello scopo del rapporto e monitoraggio continuo. Il secondo è il Reg. UE 2024/1183, che al considerando 11 e all’art. 5-a stabilisce che il Wallet deve essere accettato come strumento di identificazione elettronica con livello «elevato» ai fini dei servizi che richiedono autenticazione forte.
Sul piano della IV e V Direttiva Antiriciclaggio (Dir. 2015/849 e Dir. 2018/843, recepite nel d.lgs. 231/2007), l’identificazione tramite mezzo elettronico certificato è già ammessa dall’art. 13, par. 1, lett. a) della Direttiva, purché offra garanzie equivalenti alla presenza fisica. L’EUDI Wallet soddisferà per definizione questo requisito, essendo emesso da autorità statali certificate. Restano aperti i nodi applicativi sul versante della conservazione dei dati ex art. 31 d.lgs. 231/2007, che impone la conservazione dei documenti identificativi per dieci anni.
Cosa cambia per lo studio
- Revisione delle procedure KYC — Le checklist di onboarding devono prevedere l’accettazione del Wallet come documento identificativo valido, con indicazione del livello di garanzia («elevato») e della fonte di emissione statale. Aggiorna i moduli entro fine 2025 per non trovarti impreparato.
- Archivio e conservazione — Il Wallet non produce una copia cartacea del documento. Devi definire come archiviare la prova dell’identificazione avvenuta: screenshot certificato, log di transazione o attestato rilasciato dal sistema del cliente. L’art. 31 d.lgs. 231/2007 non fa sconti sui dieci anni di conservazione.
- Verifica del titolare effettivo — Il Wallet identifica la persona fisica, non risolve il tema del titolare effettivo di società o trust. Il passaggio aggiuntivo di verifica ex art. 20 d.lgs. 231/2007 rimane invariato e manuale.
- Aggiornamento del modello organizzativo — Gli studi strutturati con un presidio 231 interno devono inserire l’EUDI Wallet nella mappatura dei rischi operativi e nei protocolli di formazione del personale di segreteria.
- Contratti con fornitori tecnologici — Se usi un software di onboarding di terze parti, verifica già ora se il fornitore aggiornerà l’integrazione per leggere gli attributi del Wallet. Il rischio di incompatibilità tecnica è concreto e il danno ricade sul soggetto obbligato, non sul fornitore.
Attenzione a
Rischio cyber e responsabilità del soggetto obbligato. Il Wallet sposta il rischio di furto d’identità sul dispositivo del cliente. Se un terzo accede fraudolentemente al Wallet altrui e si identifica presso il tuo studio, la responsabilità per la verifica insufficiente potrebbe comunque ricadere su di te, se non hai adottato misure di controllo aggiuntive. L’UIF non accetta «ho verificato tramite Wallet» come giustificazione automatica: il principio di approccio basato sul rischio ex art. 16 d.lgs. 231/2007 rimane pienamente applicabile.
Privacy e minimizzazione dei dati. Il Wallet consente la divulgazione selettiva degli attributi (selective disclosure). Il cliente potrebbe condividere solo l’età senza rivelare la data di nascita esatta. Devi valutare caso per caso se gli attributi trasmessi sono sufficienti ai fini dell’identificazione completa richiesta dalla normativa antiriciclaggio, e documentare la valutazione nel fascicolo.
Domande frequenti
L’EUDI Wallet è sufficiente per l’adeguata verifica antiriciclaggio?
Il Wallet con livello di garanzia «elevato» soddisfa il requisito di identificazione elettronica ai sensi dell’art. 13 della Direttiva 2015/849 e del d.lgs. 231/2007. Tuttavia non sostituisce l’intero processo di adeguata verifica: la comprensione dello scopo del rapporto, il monitoraggio continuo e la verifica del titolare effettivo restano adempimenti distinti e obbligatori a carico del professionista.
Come si conserva la prova dell’identificazione tramite EUDI Wallet per i dieci anni richiesti dall’antiriciclaggio?
L’art. 31 d.lgs. 231/2007 impone la conservazione per dieci anni dei documenti acquisiti in sede di identificazione. Con il Wallet non esiste un documento fisico da scannerizzare: è necessario definire una procedura che produca un log certificato o un attestato della transazione di identificazione, da archiviare nel fascicolo digitale del cliente con data e ora verificabili.
Cosa succede se un cliente presenta un EUDI Wallet compromesso o clonato?
Il soggetto obbligato risponde delle proprie procedure, non della sicurezza del dispositivo altrui. Se le misure adottate erano proporzionate al profilo di rischio del cliente ex art. 16 d.lgs. 231/2007, la responsabilità si riduce. Tuttavia, per clienti ad alto rischio, affiancare al Wallet una verifica aggiuntiva — come una video-identificazione o una seconda fonte documentale — è la scelta più cautelativa sul piano sanzionatorio.
Fonte di riferimento: AgendaDigitale