La firma grafometrica (tablet) negli sportelli della Pubblica Amministrazione: tagliare code, togliere carta

Transcript

1 La firma grafometrica (tablet) negli sportelli della Pubblica Amministrazione: tagliare code, togliere carta in collaborazione con Go On FVG - Anci FVG - Federsanità FVG Avv. Paolo Vicenzotto Diritto Internet Tecnologia

2 LA FIRMA "GRAFOMETRICA"

3 TEMA GENERALE SULLO SFONDO Processo di innovazione dell'attività amministrativa Tema di enorme complessità, ma che vorrei vedere da 3 punti di vista:

4 A) Da dove parte l'innovazione? INNOVAZIONE DAL BASSO (es. web 2.0, social, Startup ecc.) INNOVAZIONE DALL'ALTO (es. imposta per legge: es. dpr 101/02 e processo telematico al 30/06/2014, LIM, tablet e scuola ecc.) Ok entrambe, Ma MEDIAZIONE NECESSARIA Leggi, regolamenti, regole tecniche, AgID, Prassi, Europa

5 Altrimenti

6 Oppure decreto Ministero Giustizia 2014 sui costi delle copie

7 B) Innovare, per chi? 1) per il cittadino 2) per il funzionario pubblico Stampa della mail del cittadino per poi protocollarla e portarla all'ufficio competente L. 183/11 e la decertificazione PSR , Asse 4 Leader. Torre Natisone GAL Misura 411, az 1, Intervento 1 Bando per la concessione di aiuti per la realizzazione ed il potenziamento/miglioramento della filiera corta"

8 3) Innovare COME Innovare NON è rifare con il computer quello che si faceva prima diversamente Perché l'ad di FB ha 29 anni? Oppure Lawrence Page March 26, 1973 (age 41) East Lansing, Michigan, U.S

9 TORNIAMO alla FIRMA GRAFOMETRICA Aspetti tecnici, ma soprattutto aspetti legali DECRETO LEGISLATIVO 7 marzo 2005, n. 82 (in Suppl ordinario n. 93 alla Gazz. Uff.,16 maggio, n. 112) «Codice dell'amministrazione digitale CODICE DELL'AMMINISTRAZIONE DIGITALE» Regole tecniche, Decreti attuativi, Novità

10 +3 importanti decreti 1) regole tecniche FIRME ELETTRONICHE D.P.C.M in G.U ) REGOLE TECNICHE CONSERVAZIONE SOSTITUTIVA ( al posto della Del. CNIPA 11/04) 3) REGOLE TECNICHE PROTOCOLLO INFORMATICO ( al posto del DPCM 31/10/ 2000)

11 Cos è? La firma grafometrica è una procedura informatica che consente di rilevare la firma autografa apposta da un cittadino ad un documento elettronico tramite un supporto quale tablet o un pad di firma, generando un file ad hoc e conferendo ad esso pieno valore legale e probatorio. ATTENZIONE: non è uno strumento utile per istanze del cittadino "da casa" per questo ci sono già altri strumenti art. 64 D.lgs 82/05 MA:

12 Questo file è una firma elettronica, ed in particolare una firma elettronica avanzata Se il sistema utilizzato è conforme alle regole tecniche del DM 22/02/2013

13 E' utile per "modulistica da sportello" O comunque art. 38 comma 3 del DPR 445/00 "Le istanze e le dichiarazioni sostitutive di atto di notorietà da produrre agli organi della amministrazione pubblica o ai gestori o esercenti di pubblici servizi sono sottoscritte dall'interessato in presenza del dipendente addetto "

14 Esempi

15 Oppure 1) firme per ricevuta su consegna dei bidoni dei rifiuti ( dove si applica la raccolta porta a porta) 2) firme per ricevuta da parte dei Consiglieri Comunali quando, ad esempio, il messo porta loro convocazioni del Consiglio, copie di atti ecc... 3) firme su dichiarazioni di iscrizione alla ex TARSU (Insiel potrebbe generare in automatico un modulo che prenda i dati del cittadino da Ascot...) 4) firme su modelli riguardanti l'anagrafe canina (iscrizioni, cessione di cani tra privati, comunicazioni di decesso del cane ecc...). Poi, più in generale: - firme su schede di iscrizione e, successivamente, di presenza a corsi vari organizzati dal Comune (ginnastica, sicurezza, corsi di italiano per stranieri, alfabetizzazione digitale ecc...); - firme per ricevuta di tutte le comunicazioni interne ai dipendenti (penso ad esempio alla consegna del Codice di Comportamento e simili); - firme su registri di presenza a corsi di formazione organizzati internamente; - firme su registri di presenza a riunioni interne, Conferenze di servizio tra Enti ecc...

16 oppure

17 MA vediamo come funziona NON è uno strumento "certificato" a priori dallo Stato (come le firme DIGITALI) MA: può essere creato, programmato, venduto da chiunque. Però la validità legale si ha solo se è conforme al DM 22/02/2014 (quindi attenzione!!!) Art. 55 Disposizioni generali dm 22/02/ La realizzazione di soluzioni di firma elettronica avanzata e' libera e non e' soggetta ad alcuna autorizzazione preventiva.

18 Come funziona? Il funzionario CARICA sul "tablet" il documento in PDF da far firmare Funzioni di interazione con altri DB della PA (anagrafe, tributi ecc) 1) Il titolare della firma vede il testo e sottoscrive l'atto nei punti indicati 2) Appositi dispositivi acquisiscono la firma autografa e ne registrano l immagine, i dati dinamici ed i parametri biometrici di essa

19 Così alla fine Ha un "FILE" valido e rilevante agli effetti di legge, che è possibile archiviare o conservare, di facile reperibilità, interoperabilità con altri DB ecc Ha una STAMPA della sua istanza, atto, ricevuta ecc. dove visivamente vede la sua "firma"

20 Ma come si fa ad essere certi che quella firma è "la mia firma"??? Vengono misurati e registrati una serie di parametri 1) Il ritmo 2) La velocità 3) La pressione 4) L accelerazione 5) Il movimento aereo

21 Questi caratteri "biometrici" creano un algoritmo Queste informazioni sono tipiche di ogni persona, ragion per cui sono molto difficili da imitare Conseguenze Identifica in modo certo ed univoco la persona che firma

22 Acquisizione dei dati biometrici Il client apre un canale cifrato con il device utilizzando un algoritmo a chiave simmetrica di tipo AES-128 bit.

23 Cifratura dei dati biometrici I dati "biometrici" vengono cifrati (usando un meccanismo a chiavi asimmetriche) con la chiave pubblica di un certificato digitale (DELL'ENTE) I dati potranno essere decifrati soltanto grazie all utilizzo della chiave privata del certificato

24 Integrità del documento I dati biometrici vengono incapsulati nell'atto (il file PDF) viene quindi calcolata una impronta di tale PDF attraverso l algoritmo di Hash SHA 256. (<hash1>)

25 Integrità del documento L impronta viene firmata attraverso la chiave privata di un certificato auto-generato con l algoritmo RSA (<hash1+key2>).

26 Integrità del documento L impronta firmata (<hash1+key2>) e la relativa chiave pubblica (<KEY2>) del certificato autogenerato vengono anch essi incapsulati all interno del PDF.

27 Integrità del documento Viene quindi calcolata una nuova impronta (algoritmo SHA-256) sulla originale impronta del documento insieme ai dati biometrici in chiaro (<hash2>).

28 Integrità del documento Anche questa seconda impronta (<hash2>) viene incapsulata all interno del file a garanzia che la coppia impronta originale + dati biometrici non siamo stati alterati. Il file viene quindi salvato e la chiave privata del certificato auto-generato (<key2>) viene distrutta.

29 Altre tipologie di fea "Successivamente alla conferma da parte del firmatario della firma apposta, il software FirmaCerta cifra i dati biometrici con la diversa tecnologia della crittografia asimmetrica: questa si realizza attraverso l uso della chiave pubblica di cifratura emessa dalla Certification Authority (in questo caso Namirial s.p.a.), secondo lo standard PKCS#7 e presente su tutti i dispositivi (PC o Tablet) che utilizzano FirmaCerta. La chiave privata della Certification Authority è l unica in grado di estrarre in chiaro i dati biometrici, è conservata da tale ente terzo garante, e sarà utilizzata solo in fase di contenzioso su ordine dell autorità giudiziaria, seguendo la policy prevista nelle condizioni generali di contratto del sistema di firma grafometrica"

30 Integrità del documento Tutte le comunicazioni per l applicazione di firma vengono effettuate su canale HTTPS con certificato SSL a 2048 bit.

31 Misure di sicurezza Questa procedura serve a evitare la c.d. estrapolazione della firma, cioè la possibilità di prelevare la firma apposta da un utente e incollarla su un altro documento che non è quello che l utente visiona sul tablet. Art. 56 DM 22/02/2014 definisce le regole tecniche che la FEA deve avere

32 PERTANTO Se il cittadino contesta: NON è la mia firma quella!!! Il software ha una funzione che permette o di comparare l'algoritmo con uno "SPECIMEN" precedente O il CTU del Giudice disporrà una prova su Tablet e l'algoritmo così generato verrà confrontato sempre dal software con quello della firma contestata (per aprire il file serve la chiave privata conservata dal "gestore")

33 La FEA deve consentire: Art. 56 DM 22/02/2014 a) l identificazione del firmatario del documento b) la connessione univoca della firma al firmatario c) il controllo esclusivo del firmatario del sistema di generazione della firma, ivi inclusi i dati biometrici eventualmente utilizzati per la generazione della firma medesima

34 La FEA deve consentire: Art. 56 DM 22/02/2014 d) la possibilità di verificare che il documento informatico sottoscritto non abbia subito modifiche dopo l apposizione della firma e) la possibilità per il firmatario di ottenere evidenza di quanto sottoscritto

35 La FEA deve consentire: Art. 56 DM 22/02/2014 f) l assenza di qualunque elemento nell oggetto della sottoscrizione atto a modificarne gli atti, fatti o dati nello stesso rappresentati g) la connessione univoca della firma al documento sottoscritto

36 La firma Grafometrica: valore legale

37 La firma grafometrica A = Firma Elettronica Avanzata B = Firma grafometria FF La firma grafometrica rientra nella Firma Elettronica Avanzata

38 La firma Grafometrica: valore legale C.A.D. definisce la Firma Elettronica Avanzata come : un insieme di dati in forma elettronica allegati oppure connessi a un documento informatico che consentono l identificazione del firmatario del documento e garantiscono la connessione univoca al firmatario, creati con mezzi sui quali il firmatario può conservare un controllo esclusivo, collegati ai dati ai quali detta firma si riferisce in modo da consentire di rilevare se i dati stessi siano stati successivamente modificati

39 La firma Grafometrica: valore legale Chi mi assicura che questa tipologia di firma sia riconosciuta dal punto di vista legale? Art. 21 del D.lgs n. 82/2005 Il documento informatico sottoscritto con firma elettronica avanzata, qualificata o digitale, formato nel rispetto delle regole tecniche di cui all articolo 20, comm 3, che garantiscano l identificabilità dell autore, l integrità e l immodificabilità del documento, ha l efficacia prevista dall articolo 2702 del codice civile.

40 La firma Grafometrica: valore legale Art c.c: = La scrittura privata fa piena prova, fino a querela di falso, della provenienza delle dichiarazioni da chi l ha sottoscritta, se colui contro il quale la scrittura è prodotta ne riconosce la sottoscrizione, ovvero se questa è legalmente considerata come riconosciuta Conclusioni? La firma Grafometrica ha un efficacia probatoria pari a quella della scrittura privata: fa piena prova sino a querela di falso della provenienza delle dichiarazioni se

41 Ma è valida per una "istanza telematica" (art. 65 CAD)? Risposta non semplicissima Cmq NON tutti i documenti che il cittadino "firma" ad una PA sono istanze o autocertificazioni Pensiamo alle "ricevute", ai contratti (es. Contratto Pubblico Amministrativo Elettronico) Come indicato anche nella "intesa sulle modalità di stipula dei contratti pubblici conclusi ai sensi dell articolo 6, comma 3 del decreto legge 18 ottobre 2012, n. 179, convertito dalla legge 17 dicembre 2012 n. 221" della Conferenza Unificata STATO REGIONI COMUNI

42 vediamo 1. Le istanze e le dichiarazioni presentate alle pubbliche amministrazioni e ai gestori dei servizi pubblici per via telematica ai sensi dell'articolo 38, commi 1 e 3, del decreto del Presidente della Repubblica 28 dicembre 2000, n. 445, sono valide: (1) a) se sottoscritte mediante la firma digitale o la firma elettronica qualificata, il cui certificato è rilasciato da un certificatore accreditato; (2) AHI AHI non "avanzata!!!" b) ovvero, quando l'autore è identificato dal sistema informatico con l'uso della carta d'identità elettronica o della carta nazionale dei servizi, nei limiti di quanto stabilito da ciascuna amministrazione ai sensi della normativa vigente; c) ovvero quando l'autore è identificato dal sistema informatico con i diversi strumenti di cui all'articolo 64, comma 2*, nei limiti di quanto stabilito da ciascuna amministrazione ai sensi della normativa vigente nonché quando le istanze e le dichiarazioni sono inviate con le modalità di cui all'articolo 38, comma 3, del decreto del Presidente della Repubblica 28 dicembre 2000, n (3) c-bis) ovvero se trasmesse dall'autore mediante la propria casella di posta elettronica certificata purché le relative credenziali di accesso siano state rilasciate previa identificazione del titolare, anche per via telematica secondo modalità definite con regole tecniche adottate ai sensi dell'articolo 71, e ciò sia attestato dal gestore del sistema nel messaggio o in un suo allegato. In tal caso, la trasmissione costituisce dichiarazione vincolante ai sensi dell'articolo 6, comma 1, secondo periodo. Sono fatte salve le disposizioni normative che prevedono l'uso di specifici sistemi di trasmissione telematica nel settore tributario; (4) (che ai sensi delle regole tecniche 22/02/2013 è "firma elettronica avanzata")

43 64 comma II CAD 2. Le pubbliche amministrazioni possono consentire l'accesso ai servizi in rete da esse erogati che richiedono l'identificazione informatica anche con strumenti diversi dalla carta d'identità elettronica e dalla carta nazionale dei servizi, purchè tali strumenti consentano l'individuazione del soggetto che richiede il servizio Art. 56 Caratteristiche tecniche della FEA (cioè della grafometrica) Caratteristiche delle soluzioni di firma elettronica avanzata 1. Le soluzioni di firma elettronica avanzata garantiscono: a) l'identificazione del firmatario del documento;

44 La firma Grafometrica: tipologia a sé stante Allo stesso modo, mediante nuove tecnologie digitali di acquisizione e conservazione, è possibile rilevare e preservare nel tempo gli stessi elementi grafometrici preservati sulla/dalla carta Una firma che, opportunamente acquisita e legata al documento, al pari della sottoscrizione su carta, potrà così essere verificata, qualora venga disconosciuta in giudizio, con tecniche molto simili a quelle attualmente utilizzate dai periti grafologici.

45 La firma Grafometrica: tipologia a sé stante In ogni caso l utilizzo di tali tipologie di firma, però, non deve mai prescindere da: 1. Una corretta formazione del documento informatico 2. Un adeguata conservazione dell oggetto informatico (documento + dati firma biometrica) 3. Particolare attenzione verso le delicate questioni di sicurezza e privacy

46 La firma Grafometrica: i vantaggi Perché utilizzare questa tecnica di firma? I vantaggi sono molti: a) riduzione costi di scansione ed archiviazione b) procedimenti più veloci c) migliore condivisione dei documenti (evita doppioni)

47 La firma Grafometrica: i vantaggi d) facilità di ricerca e) tutela dell ambiente Il Garante della Privacy ha dato l Ok sul metodo alla condizione che il sistema di firma grafometrica risulti sicuro e che non ci sia alcun passaggio di informazioni relative alla salute del titolare o che ne ledano in altro modo la privacy

48 Studio Legale Avv. Paolo Vicenzotto Corso Vittorio Emanuele II, Pordenone GRAZIE!!! mail: O se vuoi follow Grazie a Alex Ghiuzan per l'aiuto nelle slides