Identità digitale, il conto lo paga il cittadino: il caso che AgID riconosce e non risolve

Un’identità digitale mai richiesta arriva, diciotto anni dopo un caso quasi identico, di nuovo sul tavolo di chi dovrebbe vigilare sul sistema. AgID, l’Agenzia per l’Italia Digitale, riconosce in un recente riscontro istituzionale l’esistenza di profili di non conformità nella procedura con cui due cittadini si sono trovati intestatari di strumenti personali di autenticazione e firma digitale mai sottoscritti di persona. L’agenzia non ravvisa comunque i presupposti per l’avvio di iniziative procedimentali nei confronti del gestore: i fatti, scrive, restano risalenti, puntuali e circoscritti, e non evidenziano criticità sistemiche nei processi attuali di rilascio. Il gestore coinvolto continua nel frattempo a rappresentare pubblicamente quel rilascio come pienamente regolare.

La firma digitale possiede lo stesso valore legale di una firma autografa, e proprio per questo la norma italiana ne vieta la richiesta per procura: il Codice dell’Amministrazione Digitale impone al certificatore l’accertamento diretto dell’identità di chi riceve il dispositivo. Il caso riconosciuto da AgID nel 2026 mostra che questo accertamento può comunque saltare, anche quando l’ente di vigilanza se ne accorge. È a queste stesse garanzie — identificazione diretta, sottoscrizione autografa del titolare — che si lega, nella lettura di questa redazione, il riscontro di non conformità formulato da AgID. Diciotto anni prima, lo stesso schema si era già consumato attorno a una famiglia romana, con un gestore diverso e un esito giudiziario che ha lasciato il conto interamente a carico dei danneggiati.

Alexandro Ladaga racconta, nei suoi video pubblici e sul sito personale che gestisce dal 2023, la storia della sua famiglia: proprietaria di una struttura sanitaria accreditata con il Servizio Sanitario Nazionale nel quartiere Garbatella, a Roma. Nella sua versione, la Camera di Commercio di Roma emette nel 2008 due smart card CNS con funzione di firma digitale intestate a lui e al fratello, consegnandole a un intermediario incaricato della registrazione senza raccogliere le firme autografe dei titolari. L’esistenza dei dispositivi resta sconosciuta ai due fratelli per tre anni, fino a quando due lettere di scadenza recapitate per posta li avvertono di certificati che non sapevano di possedere. È da quel momento, secondo Ladaga, che scoprono l’uso fatto delle firme per una cessione delle quote societarie mai autorizzata.

Il contenzioso civile promosso dai Ladaga contro la Camera di Commercio si chiude nel gennaio 2021 con una sentenza che non entra nel merito della regolarità del rilascio: dichiara prescritto il diritto risarcitorio, calcolando il termine dal momento dell’emissione materiale dei certificati e non da quello della scoperta effettiva, avvenuta tre anni dopo. La famiglia viene condannata al pagamento di circa trecentomila euro di spese di giudizio, e l’ente avvia l’esecuzione forzata senza attendere l’esito dell’appello. Questa è la parte della vicenda fondata su un atto giudiziario reale, e la più pesante sul piano dei fatti: un tribunale può dichiarare estinto il diritto risarcitorio senza pronunciarsi sulla condotta di chi ha procurato il danno.

Quando il video di denuncia di Ladaga diventa virale su TikTok, la Camera di Commercio risponde con una nota durissima diffusa tramite ANSA: le dichiarazioni sono “tendenziose, false e prive di qualsiasi fondamento”, il presunto furto di identità digitale non esiste, gli atti di cessione erano firmati in forma autografa su supporto cartaceo. L’ente annuncia querela per diffamazione contro Ladaga e l’esecuzione immediata della sentenza di primo grado. Ladaga replica, sempre tramite ANSA, che la tesi della piena regolarità contrasta con quanto la stessa Camera avrebbe ammesso in sede penale. Il conflitto, prima ancora del suo esito, mostra quanto poco spazio resti al cittadino quando un ente pubblico e un privato cittadino si contraddicono sulla stessa procedura — a questo punto della ricostruzione, nessuna delle due versioni è un fatto accertato in modo indipendente.

Il filo che lega il 2008 al 2026 è la ripetizione della stessa struttura, indipendentemente dalla certezza che i due episodi coincidano in ogni dettaglio: un’identità digitale si forma senza il collegamento diretto e verificabile con il suo titolare, il sistema se ne accorge — a volte in sede giudiziaria, a volte in un riscontro AgID — e nessuno ne risponde in modo proporzionato al danno subito. Questo accade mentre l’infrastruttura pubblica spinge nella direzione opposta, verso un’identità digitale sempre più obbligatoria di fatto per accedere a servizi bancari, sanitari e amministrativi, in un impianto dove le grandi piattaforme tecnologiche occupano già spazi di infrastruttura critica un tempo riservati allo Stato — una dinamica già emersa nell’analisi sul manifesto della repubblica tecnologica di Palantir. Un’identità che si può formare male, e che nessuno è tenuto a riparare per intero quando si rompe, è la misura reale di quanto valga, oggi, il rapporto tra il cittadino italiano e lo Stato che gli chiede di digitalizzarsi.

Lo Stato ha il dovere di garantire a ciascun cittadino un accesso analogico e cartaceo, sempre praticabile, ai propri diritti e ai servizi pubblici, mantenendo l’identità digitale come opzione interamente facoltativa e la corsia analogica sempre aperta. Questa è una posizione fondata su un’asimmetria di rischio che i numeri confermano con nettezza crescente. Gli attacchi informatici contro ospedali e aziende sanitarie italiane sono passati da 27 nel 2023 a 57 nel 2024, un incremento del 111% censito dall’Agenzia per la Cybersicurezza Nazionale, con una stima di 124 episodi per il 2026 — più di un attacco ogni tre giorni contro il solo comparto sanitario. Un archivio cartaceo, per essere sottratto su questa scala, richiede interi TIR carichi di faldoni, ingombranti, sorvegliabili, materialmente lenti da spostare; un database sanitario si esfiltra con una connessione e una falla, in silenzio, spesso senza che nessuno se ne accorga per mesi. Questa sproporzione tra il danno potenziale del cartaceo e quello del digitale è la ragione strutturale per cui l’obbligo di fatto verso l’identità digitale — imposto prima ai professionisti, esteso oggi progressivamente a ogni cittadino — va rovesciato. Il diritto a un’identità e a un accesso ai servizi che restino anche analogici è la garanzia minima contro un rischio che il solo digitale continua a dimostrare di non saper contenere.