NOTA INFORMATIVA PER L UTILIZZO DELLA FIRMA ELETTRONICA AVANZATA FIRMA GRAFOMETRICA AI SENSI DELL ART. 57 COMMI 1 E 3 DEL DPCM DEL 22/02/2013

Transcript

1 NOTA INFORMATIVA PER L UTILIZZO DELLA FIRMA ELETTRONICA AVANZATA FIRMA GRAFOMETRICA AI SENSI DELL ART. 57 COMMI 1 E 3 DEL DPCM DEL 22/02/ INFORMAZIONI GENERALI (ART. 57 COMMA 1 LETTERE B), C) DPCM DEL 22/02/2013) 1.1 Definizioni: Ai fini della presente Nota Informativa valgono le seguenti definizioni: - Documento Informatico : indica la rappresentazione informatica di atti, fatti o dati giuridicamente rilevanti come da definizione del D. Lgs. n. 82 del 07/03/2005 (di seguito Codice dell Amministrazione Digitale o il CAD ), la cui validità è riconosciuta, agli effetti di legge, se conforme alle specifiche regole tecniche disposte dal Decreto del Presidente del Consiglio dei Ministri del 22/02/2013 Regole tecniche in materia di generazione, apposizione e verifica delle firme elettroniche avanzate, qualificate e digitali (di seguito DPCM ) e dai successivi DPCM (di seguito Decreti ) in materia di conservazione; - "Firma Elettronica Avanza" o "FEA": indica un insieme di dati in forma elettronica allegati oppure connessi ad un documento informatico che ai sensi dell'art. 1, comma 1, lett.q-bis del CAD consentono l'identificazione del firmatario e garantiscono la connessione univoca al firmatario; tali dati sono creati coi mezzi sui quali il firmatario può conservare un controllo esclusivo, collegati ai dati ai quali detta firma si riferisce in modo da consentire di rilevare se i dati stessi siano stati successivamente modificati; la FEA ha l'efficacia probatoria prevista dall'art.2702 Cod. Civ. per le scritture private e integra il requisito della forma scritta nei rapporti tra la Banca e il Cliente (art.1350 punto 13 Cod. Civ.); - "Firma Digitale" o "FD": indica, ai sensi del CAD, un particolare tipo di firma elettronica avanzata basata su un certificato qualificato e su un sistema di chiavi crittografiche, una pubblica e una privata, correlate tra loro, che consente al titolare tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l'integrità di un documento informatico o di un insieme di documenti informatici; la Firma Digitale integra il requisito della forma scritta nei rapporti tra la Banca e il Cliente; - Servizio di Firma Grafometrica o Servizio : indica una particolare soluzione di firma elettronica avanzata prevista ai sensi dell art. 1, comma 1, lett. q-bis del CAD.

2 1.2 Natura Giuridica La Banca mette a disposizione della clientela che ne faccia apposita richiesta la possibilità di ricorrere a particolari soluzioni tecnologiche atte a consentire di sostituire, nei apporti tra Banca e Cliente, i documenti cartacei con documenti informatici, garantendone comunque la medesima validità giuridica e la medesima efficacia probatoria dei tradizionali documenti cartacei sottoscritti con firma autografa. In tale ambito, la Banca ha adottato il servizio di Firma Grafometrica, che possiede i requisiti informatici e giuridici che consentono per legge di qualificarla come FEA. Pertanto, i documenti che il Cliente sottoscrive mediante l utilizzo della Firma Grafometrica sono documenti che, sul piano giuridico, hanno lo stesso valore dei documenti cartacei sottoscritti con firma autografa. 1.3 Ambito di utilizzo attivazione e disattivazione del Servizio L attivazione del Servizio di Firma Grafometrica è subordinata all adesione scritta del Cliente e alla prestazione del proprio consenso al trattamento dei dati personali biometrici necessari al fine della prestazione del Servizio da parte della Banca. L adesione al Servizio di Firma Grafometrica non esclude la possibilità per il Cliente di richiedere in qualsiasi momento di sottoscrivere i documenti con firma autografa in formato cartaceo; infatti, la scelta di avvalersi del Servizio è facoltativa per il Cliente e revocabile in qualsiasi momento. L adesione al Servizio è effettuata dalle persone fisiche relativamente alle operazioni / documentazione da loro sottoscritte, indipendentemente dal rapporto sul quale operano. In particolare, l adesione al Servizio può essere presentata da ogni singola persona fisica in qualità di: 1. titolare del rapporto, dell operazione e/o dell obbligazione contratta nei confronti della Banca; 2. contitolare del rapporto, dell operazione e/o dell obbligazione contratta nei confronti della Banca, a condizione che l altro/gli altri intestatario/i abbia/no a propria/loro volta aderito al Servizio; 3. delegato ad operare sul rapporto di altro titolare persona fisica a condizione che il titolare del/i rapporto/i ove il delegato è facoltizzato ad operare abbia a propria volta aderito al Servizio. Qualora si intenda utilizzare il Servizio nei casi di cui al numero 3 precedente, cioè nell ambito di rapporti di titolarità di altro soggetto (persona fisica), l interessato (delegato o procuratore) potrà

3 sottoscrivere la documentazione nei limiti delle facoltà tempo per tempo allo stesso attribuite e avrà l onere di comunicare prontamente al titolare del rapporto la propria adesione al Servizio ed i termini dello stesso, con esonero per la Banca da ogni onere di controllo e responsabilità a riguardo. Il Servizio di Firma Grafometrica permette al Cliente di sottoscrivere in modalità elettronica la documentazione relativa a prodotti/servizi offerti dalla Banca - nonché quelli ad essi accessori e le relative modifiche e/o integrazioni - per i quali la Banca abbia reso disponibile il Servizio. E facoltà della Banca mettere a disposizione il Servizio anche per prodotti/servizi di terzi, che abbiano riconosciuto l utilizzo di tale modalità, collocati e/o distribuiti dalla Banca stessa, il cui elenco aggiornato sarà tempo per tempo messo a disposizione della clientela. La Banca ha scelto di avviare l utilizzo del Servizio in modo graduale, aumentando progressivamente nel tempo le tipologie di documenti sottoscrivibili in questa modalità; in particolare, il Cliente al momento prevede la possibilità di sottoscrivere con la Firma Grafometrica ad esempio il contratto di conto corrente, il contratto per il servizio di internet banking, la documentazione riguardante operazioni effettuate presso lo sportello della rete filiali della Banca quali le contabili di versamento e prelevamento di contante. In ogni caso la Banca si riserva il diritto di individuare, di volta in volta, la documentazione che ritiene sottoscrivibile mediante il Servizio di Firma Grafometrica. 1.4 Modalità di sottoscrizione con Firma Grafometrica Il Servizio di Firma Grafometrica utilizzato dalla Banca consente al Cliente, con il supporto dell operatore bancario, di: - visualizzare il documento da firmare su un apposito Tablet; - leggere e controllare il documento prima di firmare; - firmare il documento direttamente sul Tablet mediante l ausilio di un apposita penna. Dopo la sottoscrizione, il documento assume caratteristiche informatiche che ne garantiscono l immodificabilità e l integrità. 1.5 Accesso ai documenti informatici sottoscritti con Firma Grafometrica I documenti sottoscritti tramite il Servizio di Firma Grafometrica possono essere recuperati, consultati, stampati, anche su richiesta del Cliente durante tutto il periodo di conservazione degli stessi. In particolare, nel caso il documento firmato sia un contratto, il Cliente ne riceve un esemplare avente tutti i requisiti previsti dalla legge.

4 Il Cliente nella dichiarazione di adesione al Servizio di Firma Grafometrica può: - accettare di ricevere copia del documento firmato con il Servizio di Firma Grafometrica in formato elettronico, qualora sia titolare di un indirizzo di posta elettronica e/o del Servizio Internet banking rilasciato dalla Banca, e precisamente: a) quanto alle contabili e in generale alla documentazione non contrattuale: sia a mezzo mail all indirizzo di posta elettronica già depositato presso la Banca o, in tale assenza, a quello comunicato all atto di adesione al Servizio, sia via internet nell ambito del Servizio Intenet Banking di cui il Cliente sia eventualmente titolare; b) quanto alla documentazione contrattuale: a mezzo mail all indirizzo di posta elettronica già depositato presso la Banca o, in tale assenza, a quello comunicato all atto di adesione al Servizio. - chiedere di ricevere copia del documento firmato con il Servizio di Firma Grafometrica in formato cartaceo. Il Cliente può modificare tale scelta in qualsiasi momento. In caso il Cliente si avvalga della possibilità di ricevere la copia dei documenti mediante posta elettronica: - la Banca non risponde del rischio di intrusioni informatiche di terzi nella posta elettronica del Cliente, dipendendo dai sistemi di sicurezza installati sul computer o su altro dispositivo utilizzato dal Cliente per la ricezione e l apertura dei messaggi di posta; - i documenti sono trasmessi dalla Banca al Cliente in formato pdf e contengono, per motivi di sicurezza, solo l immagine della firma del Cliente e non anche i Dati Biometrici della firma stessa; - la Banca è esonerata da ogni responsabilità in merito all accessibilità di terzi alla casella di posta comunicata dal Cliente o di divulgazione dei documenti in essa contenuti, da parte di terzi estranei o comunque di soggetti non abilitati all utilizzo; - la Banca non risponde di ritardi, cattivo funzionamento, sospensione o interruzione nella trasmissione dei documenti per cause ad essa non imputabili tra le quali si indicano a titolo puramente esemplificativo quelle dipendenti da: 1) forza maggiore o caso fortuito; 2) manomissione o interventi sulle apparecchiature effettuati dal Cliente; 3) errata indicazione dei dati forniti alla Banca durante l adesione al Servizio; 4) mal funzionamento degli apparecchi di connessione utilizzati dal Cliente. Resta inteso che, qualora il Cliente non sia titolare di un indirizzo di posta elettronica e/o del Servizio Internet Banking rilasciato dalla

5 Banca, la documentazione di cui ai punti a) e b) precedenti sarà consegnata in formato cartaceo. 2. ACCETTAZIONE DEL SERVIZIO E DESCRIZIONE DEL SISTEMA DI FIRMA Il Servizio di Firma Grafometrica consiste in una procedura alternativa e facoltativa rispetto alla sottoscrizione in formato cartaceo dei singoli documenti. Pertanto, la normativa richiede al Cliente, prima dell attivazione del Servizio, che ne accetti le condizioni di utilizzo, sarà cura della Banca conservare il modulo di adesione sottoscritto e copia del documento di riconoscimento per 20 anni, garantendone la disponibilità, integrità, leggibilità e autenticità. In mancanza di tale accettazione, il Cliente non potrà beneficiare del Servizio. Rimane comunque nella piena discrezionalità del Cliente stesso il ricorso effettivo, di volta in volta, a tale strumento di sottoscrizione. Il Cliente può chiedere gratuitamente in ogni momento una copia della dichiarazione di accettazione da lui firmata. In caso di attivazione del servizio FEA, il Cliente potrà in ogni momento revocare la propria adesione al servizio FEA mediante sottoscrizione di un apposito modulo predisposto dalla Banca e disponibile presso tutte le Filiali della Banca nonché sul sito internet Ai sensi dell art 56 c. 1 del DPCM 22/02/2013 le soluzioni di firma elettronica avanzata (cfr par. 1.2 della presente informativa) devono garantire: 2.1 Identificazione del firmatario del documento (DPCM , art.56 comma 1 lettera a) art. 57 comma 1, lettera a)) Il Cliente, in occasione dell adesione al Servizio e all occorrenza all atto di sottoscrizione dei documenti informatici con Firma Grafometrica, viene identificato dall operatore bancario, come nell operatività prevista per i documenti cartacei sottoscritti con firma autografa, tramite idoneo documento identificativo in corso di validità, anche in ottemperanza alla normativa antiriciclaggio. 2.2 Connessione univoca della firma al firmatario (DPCM , art.56 comma 1 lettera b) La connessione univoca è garantita: dall identificazione certa del Cliente da parte del personale della Banca che, per normativa, verifica sempre l identità del soggetto che sta compiendo l operazione.

6 dal fatto che la firma è apposta dal Cliente di suo pugno, con apposita penna elettronica su specifico tablet, alla presenza del personale della Banca e dall acquisizione/registrazione delle caratteristiche dinamiche della firma autografa (dati di biometria comportamentale quali il movimento, la velocità, l accelerazione, e la pressione) da parte della soluzione tecnologica. 2.3 Garanzia del controllo esclusivo del firmatario del sistema di generazione della firma (DPCM , art.56 comma 1 lettera c) All'atto della firma il dispositivo viene reso disponibile al firmatario che ne ha quindi il controllo esclusivo per tutta la durata dell'operazione. Lo schermo del tablet è in grado di visualizzare il documento completo oggetto della firma, oppure i dati principali dell operazione, consentendo al firmatario di verificare personalmente i propri dati e il contenuto del documento utilizzando le funzioni di visualizzazione rese disponibili dal dispositivo. Durante l'apposizione della firma, lo schermo del tablet rappresenta in tempo reale il segno grafico tracciato ed apposite funzioni consentono al firmatario, in caso di errori, di cancellare la propria firma. Inoltre per garantire il massimo livello di sicurezza, sono state adottate soluzioni tecnologiche certificate e dotate di numerose caratteristiche atte ad impedire manomissioni informatiche. In particolare si segnala che: il tablet utilizza componenti hardware di cifratura di tutti i dati grafometrici prodotti; vengono utilizzati più livelli di cifratura tra le componenti hardware e software così da aumentare il livello di sicurezza di tutte le componenti che trattano i dati grafometrici; i dati temporanei di ogni sessione di firma sono distrutti al termine dell operazione. 2.4 Possibilità di verificare che il documento informatico sottoscritto non abbia subito modifiche dopo l'apposizione della firma (DPCM , art.56 comma 1 lettera d) Dopo l'apposizione della firma, il documento viene firmato con un certificato digitale della Banca emesso da una Certification Authority legalmente riconosciuta. La tecnologia di firma digitale include l impronta informatica (hash) del documento soggetto a sottoscrizione. Il controllo della corrispondenza tra un'impronta ricalcolata e quella "sigillata" all'interno delle firme permette di verificare che il documento informatico sottoscritto non

7 abbia subito modifiche dopo l'apposizione della firma. Questo consente di rilevare ogni possibile alterazione o modifica effettuata al predetto documento informatico sottoscritto dal firmatario. 2.5 Possibilità per il firmatario di ottenere evidenza di quanto sottoscritto (DPCM , art.56 comma 1 lettera e) Prima di apporre la propria firma il cliente/firmatario può visualizzare il contenuto in tutte le sue parti (per le contabili può visualizzare i dati principali dell operazione da lui disposta), con apposite funzioni di posizionamento e ingrandimento. Si evidenzia che il Cliente è in grado di: visionare sul tablet tutte le parti del documento; utilizzare gli appositi controlli per ingrandire/rimpicciolire il testo del documento; identificare in modo intuitivo tutti le parti del documento dove è prevista una firma; ripetere più volte ogni firma apposta prima della conferma; annullare l operazione anche dopo che è stata apposta l ultima firma In tutti i casi i documenti possono essere recuperati, consultati, stampati, anche su richiesta del soggetto interessato, durante tutto il periodo di conservazione 2.6 Individuazione del soggetto erogatore della soluzione di firma elettronica avanzata (DPCM , art.56 comma 1 lettera f) La Banca produce i documenti informatici su carta intestata e, dopo la sottoscrizione del Cliente, appone la propria firma digitale, associata ad un amministratore dotato di potere di firma. 2.7 Assenza nell'oggetto della sottoscrizione di qualunque elemento idoneo a modificarne gli atti, i fatti e i dati in esso rappresentati (DPCM , art.56 comma 1 lettera g) I documenti prodotti dal sistema utilizzano processi atti a garantire l'assenza, nell'oggetto della sottoscrizione, di qualunque elemento idoneo a modificare gli atti, i fatti e i dati in essi rappresentati. L integrità del documento informatico è presidiata dalla procedura d inserimento dei dati biometrici (criptati) del firmatario e la successiva apposizione di una firma digitale della Banca a chiusura del processo consente di appurare che lo stesso non abbia subito modifiche nel tempo.

8 2.8 La connessione univoca tra firma e documento informatico sottoscritto (DPCM , art.56 comma 1 lettera h) I dati della firma vengono inseriti nel documento in una struttura, detta "vettore grafometrico", che li unisce indissolubilmente all'impronta informatica del documento sottoscritto. Questa struttura è protetta con opportuna tecnica crittografica, al fine di preservare la firma da ogni possibilità di estrazione o duplicazione. L'unica chiave crittografica in grado di estrarre le informazioni è in esclusivo possesso di pubblico ufficiale (Studio Notarile) appositamente designato da Unipol Banca, e potrà essere usata in sede di perizia per attestare l'autenticità del documento e della sottoscrizione. Inoltre il trasferimento dei dati e la loro memorizzazione nel "vettore grafometrico" è protetto con le seguenti tecnologie crittografiche: crittografia simmetrica standard AES con chiave a 256 bit segreta per la protezione dei dati; RSA 2048 bit con chiave privata detenuta da una terza parte per la cifratura della chiave AES; 2.9 Conservazione finale del documento informatico sottoscritto Il documento informatico sottoscritto dal Cliente con Firma Grafometrica e firmato con Firma Digitale della Banca viene infine inviato al sistema per la conservazione a norma di legge, cioè mediante un processo che permette di archiviare in modo sicuro i documenti informatici sottoscritti dal Cliente affinché questi restino integri e risultino immodificabili e leggibili nel tempo. I documenti inviati al sistema di conservazione vengono memorizzati su un idoneo supporto informatico che ne permette la conservazione per la durata definita per legge. Al fine di garantire un alto livello di affidabilità del servizio di conservazione, vengono effettuate su tale sistema verifiche periodiche sull integrità e la leggibilità dei documenti. 3. MODALITA DI ACCESSO ALLA FIRMA GRAFOMETRICA (ART. 4.4 lett j) Provvedimento generale prescrittivo in tema di biometria - 513/2014) Nell ambito delle architetture e dei processi di Firma Grafometrica, la crittografia asimmetrica consente di generare una chiave pubblica di cifratura con cui cifrare il dato o il documento e una corrispondente chiave privata di decifratura (c.d. Master Key) con cui è possibile decifrare il dato o il documento cifrato con la prima chiave, di guisa che la conoscenza della chiave pubblica di cifratura e dell algoritmo stesso non siano sufficienti a risalire alla chiave privata di decifratura. Aspetto cruciale di ogni sistema

9 crittografico, quale elemento per la sicurezza dei processi di sottoscrizione biometrica, è il procedimento diretto alla generazione della coppia di chiavi e, soprattutto, alla conservazione, protezione, preservazione e utilizzo della chiave privata di decifratura. A tal riguardo Unipol Banca ha deciso di affidare ad un Notaio tutto il processo di generazione, conservazione, ricomposizione, decifratura e supporto alla perizia grafometrica così come di seguito riportato. 3.1 GENERAZIONE CHIAVI ASIMMETRICHE E CONSERVAZIONE Il Notaio, incaricato dall Azienda erogatrice del servizio di Firma Grafometrica (con valenza di Firma Elettronica Avanzata), procede personalmente alla generazione, al frazionamento, alla ricomposizione e all utilizzazione della chiave privata per la decifratura del dato biometrico criptato, all interno di un ambiente virtualizzato sicuro e sotto il suo esclusivo controllo. Il Notaio incaricato, sempre all interno dell ambiente virtualizzato sicuro e senza che il dato possa in alcun modo lasciare il perimetro di sicurezza dell ambiente virtuale, invia al Sistema di Conservazione a norma la chiave privata di decifratura. L invio consente al Notaio di accedere al Sistema di Conservazione solamente per eseguire il deposito delle frazioni di chiave privata di decifratura ma non anche la loro estrazione. A conclusione dell operazione descritta, il Notaio garantisce che tutti gli applicativi utilizzati e i dati in essi contenuti sono cancellati in modo sicuro 3.2 RICOMPOSIZIONE, DECIFRATURA E PERIZIA GRAFOMETRICA In caso di contestazione sulla validità del documento (a esempio, il disconoscimento da parte del firmatario), potrà essere disposta dall Autorità Giudiziaria, analogamente a quanto avviene nel caso della firma autografa su carta, l effettuazione di una perizia grafologica sulla firma. Solo in questo caso si darà luogo alla decrittazione dei Dati Grafometrici contenuti nei documenti sottoscritti con FEA, secondo le modalità che seguono: 1) la Banca provvederà a richiedere al proprio Responsabile della Conservazione il documento digitale originale, che sarà quindi messo a disposizione del Notaio incaricato per il processo di decodifica tramite la chiave privata di decifratura conservata dallo stesso; 2) la Banca, d intesa con il Notaio, provvederà inoltre ad informare tutti i soggetti coinvolti, fissando le tempistiche e le modalità di effettuazione dell estrazione dei Dati Biometrici e dell analisi grafometrica; 3) il Notaio svolgerà il suddetto processo di estrazione in chiaro dei Dati Grafometrici del documento e della loro esibizione in ambiente protetto e in modo controllato, adottando tutte le necessarie misure di sicurezza e di riservatezza atte a garantire la sicurezza e l integrità dei Dati Biometrici del Cliente; 4) in caso di verifica della paternità della firma ad opera di un perito grafologo incaricato da un autorità giudiziaria, il Notaio renderà disponibili i

10 Dati Grafometrici decifrati a tale perito, che accederà sotto il controllo del Notaio stesso; 5) il Notaio redigerà infine un verbale per atto pubblico di quanto avvenuto alla sua presenza, la cui copia sarà messa a disposizione del Cliente secondo le modalità di consegna stabilite dal medesimo. Qualora sia accertata la univoca riconducibilità dei Dati Biometrici al Cliente e, quindi, confermata la paternità della firma apposta (e disconosciuta) dal Cliente, quest ultimo dovrà sostenere i costi delle operazioni necessarie all estrazione, esibizione ed analisi dei Dati Grafometrici. 4. INFORMAZIONI RIGUARDANTI LA COPERTURA ASSICURATIVA (ART. 57 COMMA 3 DPCM DEL 22/02/2013) Unipol Banca, conformemente alla normativa vigente, ha stipulato polizza assicurativa di responsabilità civile N. 2374/65/ della Compagnia UnipolSai Assicurazioni S.p.A. avente massimale di euro ,00, al fine di proteggere i titolari della firma elettronica avanzata e i terzi da eventuali danni cagionati da inadeguate soluzioni tecniche.

11