Il modello di business degli MVNO basati su eSIM presenta sfide specifiche in materia di intercettazione legale rispetto agli MVNO tradizionali. Gli MVNO che operano esclusivamente con eSIM rappresentano un segmento in crescita del mercato delle telecomunicazioni. Eliminando completamente la scheda SIM fisica, questi operatori possono offrire un'attivazione completamente digitale, un'attivazione istantanea e una gestione dei profili senza soluzione di continuità — tutti aspetti che attraggono i consumatori esperti di tecnologia e i marchi che privilegiano il digitale. Tuttavia, il modello basato esclusivamente su eSIM introduce sfide specifiche per l’intercettazione legale che vanno oltre quelle affrontate dagli MVNO tradizionali. La natura dinamica dei profili eSIM, la facilità di cambio di profilo e l’assenza di punti di contatto fisici per la verifica dell’identità creano tutte complessità che devono essere affrontate per conformità normativa.
Questo articolo esamina le sfide specifiche in materia di LI che devono affrontare gli operatori mobili virtuali (MVNO) che offrono esclusivamente servizi eSIM e fornisce soluzioni pratiche per affrontarle nell'ambito degli attuali quadri normativi e tecnici.
La sfida della conformità degli MVNO con eSIM
Gli operatori virtuali (MVNO) che utilizzano esclusivamente eSIM operano senza schede SIM fisiche. Gli abbonati scaricano un profilo operatore direttamente sull’UICC integrata nel proprio dispositivo tramite l’architettura GSMA RSP (Remote SIM Provisioning). L’intero percorso del cliente — dalla registrazione all’attivazione fino alla gestione del servizio — è digitale. Questo modello elimina gli aspetti logistici legati alla produzione, alla distribuzione e alla vendita al dettaglio delle schede SIM, consentendo un’operatività aziendale più snella e scalabile.
Dal punto di vista delle intercettazioni legali, il modello “solo eSIM” condivide molte caratteristiche con le implementazioni tradizionali dell’eSIM, ma amplifica alcune sfide. La totale assenza di distribuzione di SIM fisiche implica che non vi siano punti di contatto fisici in cui possa avvenire la verifica dell’identità. La facilità di gestione dei profili consente agli abbonati di attivare, disattivare e cambiare profilo con il minimo sforzo. Inoltre, la base clienti orientata al digitale potrebbe essere tecnicamente più esperta e più propensa a utilizzare tecnologie che rafforzano la privacy.
Verifica dell’identità e sfide legate al KYC
I requisiti relativi alla procedura “Know Your Customer” (KYC) variano a seconda della giurisdizione, ma in molti mercati europei gli operatori sono tenuti a verificare l’identità dei propri abbonati prima di attivare il servizio. Per gli operatori di rete mobile virtuale (MVNO) che offrono esclusivamente eSIM, tale verifica deve essere effettuata interamente tramite canali digitali: non è prevista la possibilità di effettuare controlli di persona dei documenti di identità presso un punto vendita. I metodi di verifica digitale dell’identità includono l’identificazione video, la verifica elettronica dei documenti d’identità, l’autenticazione tramite eID e la verifica del conto bancario.
The quality of identity verification directly affects the effectiveness of lawful interception. If a subscriber’s identity is not reliably established, law enforcement may be unable to find out which number or profile belongs to a suspect, and therefore which identifier to name in an interception order. eSIM-only MVNOs must implement robust digital KYC processes that meet the standards required by their regulatory framework and that provide a reliable link between the subscriber’s real-world identity and their network identity (IMSI, MSISDN).
Some jurisdictions have specific requirements for digital identity verification that operators must comply with. Germany’s TKG requires identity verification for prepaid mobile services before activation (§ 172 TKG). Remote procedures must be ones the Bundesnetzagentur has approved and must be certified by an accredited conformity assessment body. eSIM-only MVNOs must ensure that their digital KYC processes meet these specific national requirements.
Gestione del ciclo di vita dei profili
In un MVNO che utilizza esclusivamente eSIM, il ciclo di vita del profilo — download, installazione, attivazione, disattivazione ed eliminazione — è gestito interamente tramite processi digitali. Ogni fase di questo ciclo di vita ha implicazioni per l’intercettazione legale. Quando un nuovo profilo viene scaricato e attivato, l’abbonato diventa visibile sulla rete con una nuova serie di identificatori. Quando un profilo viene disattivato o cancellato, l’abbonato scompare dalla rete. Queste transizioni devono essere monitorate dal sistema LI per garantire che le intercettazioni possano essere mantenute o adeguate al variare dello stato del profilo dell’obiettivo.
The reliable source for identifier changes is the MVNO’s own provisioning chain (BSS, HSS/UDM): every new profile and its IMSI is created there before download. SM-DP+ notifications (GSMA SGP.22) can add context, but they are best-effort and should not be the basis for interception. Integrating the LI system with the provisioning chain lets it show which profile and IMSI belong to an identifier named in an order, so the team can answer the agency’s follow-up requests quickly.
Gli operatori MVNO che utilizzano esclusivamente eSIM dovrebbero inoltre considerare le implicazioni della portabilità dei profili. Un abbonato può scaricare profili da più operatori MVNO che utilizzano esclusivamente eSIM sullo stesso dispositivo, passando da uno all’altro a seconda delle necessità. L’operatore MVNO può intercettare le comunicazioni solo sul proprio profilo: quando l’abbonato passa al profilo di un altro operatore MVNO, l’operatore MVNO originario perde la visibilità. Il coordinamento delle intercettazioni tra più operatori MVNO che utilizzano esclusivamente eSIM richiede alle forze dell’ordine di emettere ordinanze separate per ciascun operatore, il che può rappresentare una sfida dal punto di vista operativo.
Identificazione dei dispositivi in un ambiente esclusivamente eSIM
L’identificazione del target per gli operatori MVNO che utilizzano esclusivamente eSIM segue gli stessi principi generali applicati agli altri operatori, ma con alcune sfumature specifiche. Il targeting basato sull’MSISDN è semplice se l’utente mantiene lo stesso numero. Tuttavia, gli MVNO che offrono esclusivamente eSIM possono proporre servizi che favoriscono frequenti cambi di numero — numeri virtuali, numeri temporanei o servizi con più numeri — il che complica il targeting basato sull’MSISDN.
IMSI-based targeting is tied to the specific profile. Each eSIM profile has its own IMSI, and if the target obtains a new profile (even from the same MVNO), the IMSI will change. If the target obtains a new profile, the IMSI named in the order stops producing traffic, and the existing interception reports the deregistration. The agency can then request the new identifiers through the national subscriber-data procedure (in Germany § 174 TKG) and obtain an amended order. Interception must never be extended to new identifiers automatically.
IMEI-based targeting provides device-level identification that is independent of the eSIM profile. This can be particularly valuable in the eSIM-only context, as the IMEI remains constant even when profiles are changed. However, IMEI-based targeting identifies the device, and dual-SIM devices use a separate IMEI for each active SIM or eSIM profile. An operator can only intercept traffic on its own network, so profiles of other operators on the same device are not captured; agencies must address those operators separately.
Soluzioni tecniche
eSIM-only MVNOs should implement several technical measures to address the LI challenges specific to their model. First, integrate the LI system with your own provisioning chain (BSS, HSS/UDM), which is where every new profile and its IMSI is created; SM-DP+ notifications are best-effort and only add context. This is the foundation for recognising profile changes that affect a target. Second, make sure the LI system can task every identifier named in the order (MSISDN, IMSI, IMEI) and reports the IP addresses assigned to the target’s sessions, so that each intercepted session is attributed to the order it belongs to. Third, ensure that registration and deregistration events of the target are reported as standard IRI. Any additional eSIM-related information should only be delivered where the national handover specification provides for it.
Fourth, implement fast processes for handling profile changes: answer the agency’s requests for the target’s new identifiers promptly, and add a new IMSI or number only when an amended order names it. Interception must never be extended to new identifiers automatically.
In quinto luogo, assicuratevi che i vostri processi KYC digitali forniscano informazioni affidabili sull’identità, che possano essere utilizzate per supportare le forze dell’ordine nell’identificazione dei soggetti di interesse. La qualità delle vostre dati degli abbonati influisce direttamente sull'efficacia delle intercettazioni legittime e sulla vostra capacità di rispondere alle richieste delle forze dell'ordine relative alle informazioni sugli abbonati.
Dialogo con le autorità di regolamentazione
Gli operatori di rete mobile virtuali (MVNO) che offrono esclusivamente servizi eSIM dovrebbero collaborare in modo proattivo con l’autorità di regolamentazione nazionale per discutere le sfide specifiche relative all’intercettazione legale (LI) poste dal modello basato esclusivamente su eSIM. È possibile che le autorità di regolamentazione non abbiano ancora valutato appieno le implicazioni delle operazioni basate esclusivamente sull’eSIM per l’intercettazione legale; un coinvolgimento proattivo dimostra la volontà di conformarsi in buona fede alle norme, contribuendo al contempo a definire aspettative normative realistiche. Gli operatori dovrebbero documentare il proprio approccio alla conformità in materia di intercettazione legale nel contesto delle operazioni basate esclusivamente sull’eSIM, incluse eventuali limitazioni e le misure che stanno adottando per affrontarle.
Conclusione
eSIM-only MVNOs face unique LI challenges related to digital identity verification, profile lifecycle management, target identification, and the dynamic nature of the eSIM environment. These challenges are addressable through a combination of technical integration, well-defined processes, robust KYC procedures, and proactive regulatory engagement. Which of these measures you need depends on your model: a light MVNO relies on its host’s interception, while travel eSIMs that use a foreign operator’s profile are intercepted, if at all, in that operator’s country or as inbound roamers. By building LI considerations into the design of their eSIM-only operations from the outset, MVNOs can achieve compliance while maintaining the operational agility and digital-first experience that define their business model.
Considerazioni operative
Al di là dell’infrastruttura tecnica, gli operatori MVNO che utilizzano esclusivamente eSIM devono definire processi operativi che tengano conto delle caratteristiche specifiche del loro modello di business. La formazione del personale dovrebbe coprire l’intero ciclo di vita dell’eSIM e le sue implicazioni per il sistema LI, compreso il modo in cui il download dei profili, le attivazioni, le disattivazioni e le cancellazioni influiscono sulle intercettazioni attive. Il team operativo LI deve comprendere la relazione tra la piattaforma di gestione delle eSIM e il sistema LI e deve essere in grado di risolvere i problemi che sorgono all’intersezione di questi sistemi.
Le procedure di risposta agli incidenti dovrebbero tenere conto di scenari specifici dell’eSIM, quali il rapido passaggio di un soggetto da un profilo all’altro, un evento che coinvolga un numero elevato di profili e che comprometta le prestazioni del sistema LI, oppure un malfunzionamento nell’integrazione tra la piattaforma di gestione dell’eSIM e il sistema LI. Questi scenari sono propri dell’ambiente eSIM e richiedono procedure di risposta specifiche che i tradizionali piani di risposta agli incidenti LI potrebbero non prevedere.
La documentazione è particolarmente importante per gli operatori MVNO che utilizzano esclusivamente eSIM, data la novità del modello di business e il panorama normativo in continua evoluzione. È necessario mantenere una documentazione completa dell’architettura LI eSIM, dei processi e dei risultati dei test. Tale documentazione dimostra la conformità alle autorità di regolamentazione e costituisce una base per rispondere alle domande su come la vostra capacità LI affronti le sfide specifiche del modello esclusivamente basato su eSIM. Man mano che il quadro normativo relativo alle eSIM si evolve, gli operatori che dispongono di una documentazione completa saranno in una posizione migliore per adattarsi ai nuovi requisiti e per dimostrare di aver adottato un approccio ponderato e proattivo alla conformità.
The relationship between the eSIM-only MVNO and its host MNO also requires specific attention in the eSIM context. The host MNO’s network does not see eSIM profile events as such, only the registration and deregistration of each profile’s IMSI, so the interception mechanisms work as for physical SIMs; the LI arrangements should still be tested with profile switches and replacements. eSIM-only MVNOs should work closely with their host MNOs to ensure that the LI arrangements cover the full range of eSIM-specific scenarios and that the capacità di intercettazione viene verificata tramite una serie completa di test che includono gli eventi relativi al ciclo di vita del profilo eSIM, oltre ai tradizionali scenari di intercettazione.
Il mercato degli MVNO eSIM sta crescendo rapidamente e i requisiti normativi si stanno evolvendo di conseguenza. Ogni MVNO eSIM deve garantire che la propria infrastruttura LI sia in grado di gestire le sfide specifiche legate all'identificazione nel contesto del provisioning remoto delle SIM.
Articoli correlati
Per ulteriori letture su argomenti correlati, esplorate questi articoli:
- eSIM e intercettazione legale: Cosa significa l'architettura RSP per la conformità
- MVNO vs MNO: chi è legalmente responsabile delle intercettazioni legali?
- La lista di controllo MVNO LI: Tutto ciò che serve prima di andare in onda
Risorse esterne
Le seguenti risorse esterne forniscono ulteriore contesto e documentazione ufficiale:
