Art. 5
Meccanismo di autorizzazione
In vigore dal 6 nov 2025
Meccanismo di autorizzazione
1. Le piattaforme eFTI utilizzano entrambi i seguenti tipi di meccanismi di autorizzazione o uno di essi:
a)
la verifica dei diritti di trattamento dell’utente mediante registri delle autorizzazioni in cui i diritti di trattamento degli utenti accreditati sono registrati, mantenuti aggiornati e restano a disposizione a fini di audit, che costituisce il principale meccanismo di autorizzazione;
b)
il rilascio e la verifica di diritti di trattamento temporanei, mediante i registri delle autorizzazioni in cui sono registrate le credenziali di accesso temporaneo degli utenti occasionali non accreditati.
2. I registri delle autorizzazioni di cui al paragrafo 1 sono istituiti e mantenuti come componente TIC distinta. Tale componente distinta è interna alla piattaforma eFTI o fa parte di un sistema TIC esterno alla piattaforma eFTI con cui la piattaforma eFTI stabilisce comunicazioni sicure, conformemente all’, paragrafo 4.
3. I registri delle autorizzazioni di cui al paragrafo 1, lettera a), mantengono un «profilo utente» identificato in modo univoco per ciascun utente commerciale accreditato, registrando almeno le seguenti informazioni:
a)
identificazione unica dell’utente commerciale, espressa come riferimento codificato;
b)
diritti di trattamento, espressi come riferimenti, qualora tali riferimenti comprendano:
i)
i riferimenti alle operazioni di trattamento di cui all’;
ii)
il periodo di tempo per il quale è concesso ciascuno dei diritti di trattamento di cui alla lettera b);
iii)
i riferimenti codificati degli elementi o dei gruppi di elementi di dati eFTI, come specificato nell’allegato, sezione 2, del regolamento delegato (UE) 2024/2024, sui quali può essere effettuata ciascuna delle operazioni di trattamento di cui all’;
c)
un’indicazione del fatto che l’utente commerciale possa agire nel ruolo di autorità primaria o temporanea di autorizzazione;
d)
per gli utenti commerciali designati come autorità primarie di autorizzazione, i numeri di identificazione unici dei profili utente esistenti che sono autorizzati a modificare;
e)
per gli utenti commerciali designati come autorità di autorizzazione temporanei, i diritti di trattamento temporaneo che hanno il diritto di rilasciare agli utenti non accreditati, espressi come riferimenti alle operazioni di trattamento di cui all’;
f)
un’indicazione dell’eventuale concessione all’utente commerciale della possibilità di richiedere notifiche in merito alle richieste di accesso a dati eFTI da parte delle autorità competenti e alle relative comunicazioni di follow-up, quando queste riguardano l’eFTI CMDS per il quale l’utente dispone di diritti di trattamento.
4. Il gestore della piattaforma eFTI o il gestore del sistema TIC esterno, qualora il registro delle autorizzazioni sia istituito come componente di un sistema TIC esterno alla piattaforma eFTI, adotta misure per garantire l’on-boarding adeguato degli utenti commerciali che possono agire nel ruolo di «autorità primaria di autorizzazione». Tali misure prevedono quanto meno gli elementi seguenti:
a)
identificazione e autenticazione, conformemente ai requisiti di cui all’, paragrafo 2, lettera a);
b)
verifica delle credenziali che attestano che l’utente commerciale è titolare dei dati o costituisce il rappresentante legale di un titolare dei dati, o che l’utente commerciale è legittimato ad autorizzare, per conto di un titolare dei dati, il trattamento dei dati rispetto ai quali tale titolare dei dati ha diritti o obblighi di cui all’, punto 23);
c)
conservazione di un registro di tali credenziali a fini di audit.
5. Il meccanismo di autorizzazione di cui al paragrafo 1, lettera b), comprende funzionalità che rispettano almeno le seguenti specifiche:
a)
consentire agli utenti accreditati designati come autorità temporanee di autorizzazione di rilasciare diritti di trattamento temporaneo agli utenti non accreditati, registrando in un apposito registro le credenziali di accesso temporaneo degli utenti non accreditati, nelle quali figurano come minimo:
i)
i dati di contatto che identificano l’utente non accreditato a cui possono essere inviati messaggi elettronici;
ii)
l’UUID dell’eFTI CMDS per il quale sono concessi diritti di trattamento temporaneo all’utente non accreditato;
iii)
i diritti di trattamento concessi all’utente non accreditato, espressi come riferimenti alle operazioni di trattamento di cui all’;
iv)
il periodo di tempo esatto durante il quale tali diritti di trattamento sono validi;
b)
consentire agli utenti accreditati designati come autorità temporanee di autorizzazione di concedere l’accesso temporaneo ai dati eFTI agli utenti non accreditati per i quali hanno registrato credenziali di accesso temporaneo, avvalendosi dei dati di contatto registrati dell’utente non accreditato per inviare a quest’ultimo un messaggio contenente:
i)
un link di accesso alla piattaforma eFTI;
ii)
l’UUID di ciascun eFTI CMDS per il quale sono concessi diritti di trattamento temporaneo all’utente non accreditato;
c)
quando un utente non accreditato richiede l’accesso alla piattaforma eFTI, concedere a tale utente l’accesso alla piattaforma eFTI mediante autenticazione a due fattori e autorizzarlo a effettuare operazioni di trattamento secondo i diritti di trattamento registrati conformemente alla lettera a);
d)
terminare la sessione di accesso di un utente non accreditato non appena si verifica uno degli eventi seguenti:
i)
l’utente conferma il completamento della sessione di trattamento dei dati;
ii)
il periodo di tempo di cui alla lettera a), punto iv), giunge al termine.
6. Le informazioni registrate nei registri delle autorizzazioni a norma dei paragrafi da 1 a 5 sono conservate a fini di audit per almeno lo stesso periodo di tempo per il quale deve essere messo a disposizione, conformemente al diritto nazionale o dell’Unione applicabile, a norma dell’, paragrafo 1, lettera i), del regolamento (UE) 2020/1056, l’eFTI CMDS sul quale i rispettivi utenti hanno effettuato operazioni di trattamento.
7. Le piattaforme eFTI cancellano tutte le informazioni che costituiscono dati personali a norma del regolamento (UE) 2016/679 entro un termine ragionevole successivo alla scadenza del periodo di cui al paragrafo 6.
Storico versioni
Questo articolo non ha mai subito modificazioni dalla sua pubblicazione.
Le tue annotazioni
Proeli:reg_impl:2025:2243:oj#art-5