Fabio Di Resta Avvocato - LLM - ISO ICT Security Auditor - Studio Legale Di Resta * Speciale Sicurezza ICT

Transcript

1 Avvocato - LLM - ISO ICT Security Auditor - Studio Legale Di Resta * LA FIRMA ELETTRONICA AVANZATA: IL VALORE LEGALE, LA SICUREZZA E GLI AMBITI APPLICATIVI (ADVANCED ELECTRONIC SIGNATURE: LEGAL EFFECTIVENESS, SECURITY AND SCOPE) Sommario Nell Agenda digitale italiana ed europea viene data sempre più importanza all informatizzazione e all esigenza di utilizzare l Information and Communication Technology per semplificare e portare efficienza nella pubblica amministrazione. In tale contesto, i processi di digitalizzazione e di dematerializzazione della pubblica amministrazione sono percorsi obbligatori per l innovazione e l efficienza del nostro paese. Questi processi necessitano di strumenti pratici e usabili da parte del cittadino e della pubblica amministrazione, la firma elettronica avanzata per le sue caratteristiche è uno strumento che potrebbe portare l innovazione tecnologica necessaria e permettere di superare il digital divide nel nostro paese. Questa nuova tipologia di firma elettronica introdotta con le modifiche apportate a seguito della riforma del Codice dell Amministrazione Digitale (entrata in vigore il 25 gennaio 2011) è stata successivamente modificata con Decreto legge n. 179 del 18 ottobre Con la firma elettronica avanzata (FEA) si introduce nel panorama normativo italiano una firma che ha un valore legale assimilabile alle più tradizionali firme digitali e firme elettroniche qualificate, sebbene se ne distingua profondamente. La FEA presenta, infatti, caratteristiche del tutto peculiari, non necessita di un dispositivo sicuro in senso proprio, né di un certificato qualificato né di un sistema di chiavi asimmetrico, la FEA nasce anche svincolata da autorizzazioni preventive. Da una parte la mancanza di vincoli normativi stringenti la rende particolarmente appetibile dal mercato e dai fornitori di soluzioni di firme elettroniche, dall altra ci sono una serie di limiti connessi ai rischi di minor sicurezza delle soluzioni di FEA. Nel decreto attuativo, entrato in vigore a giugno 2013, vengono descritti i requisiti normativi volti a prevenire e ridurre i rischi intrinseci delle soluzioni di FEA, con particolare riguardo al sole control da parte dell utilizzatore. Tuttavia, occorre un analisi molto attenta di ciascuno dei requisiti normativi prescritti. Il rischio che si corre altrimenti è che l assenza di controllo preventivo comporti di fatto anche la mancanza di un riconoscimento giudiziale dell efficacia legale pari alla scrittura privata, un eventualità molto grave per l ente utilizzatore. Abstract In the European and Italian Digital Agenda to computerize the public administration through the ICT employment - both in order to simplify and to bring more efficiency - is considered more and more important. In this context, digitization and dematerialization processes are compulsory paths to lead to innovation and effectiveness. These processes need practical and usable instruments for citizens and public administration. The advanced electronic signature has all features to support these processes both for technological innovation and to overcome the digital divide in our country. This new type of electronic signature was foreseen by the legislative reform of the Digital Administrative Code (legislative decree no. 85, 7 March 2005, as modified by the legislative decree no. 235, 30 December 2010 and later by Government decree no. 179, 18th October 2012). This type of signature is strongly different from the traditional ones, digital signature and qualified electronic signature, has almost no legal bindings, no qualified certifications, no Secure-Signature Creation Devices; moreover, there are no preliminary authorisation. Nonetheless, in order to guarantee that this signature is legally effective, all mandatory legal requirements should be satisfied. In this respect, the decree (Prime Minister decree no , 22 February 2013), entered into force in June 2013, provides specific requirements of the advanced electronic signature through a technical legislation. This pays particular attention to the aspects of the sole control by the user. Lastly, the future challenge of the advanced electronic signature will be its compliance with the law, without this there are no guarantees that this signature will be accepted as a legal evidence in a Court. * Si ringrazia il contributo dell avvocato Emiliano Vitelli che ha collaborato alla revisione di alcune parti del presente articolo. Speciale Sicurezza ICT 113

2 1. Introduzione alla firma elettronica avanzata (FEA) Come è noto al fine di garantire piena autenticità con valore legale alla firma apposta su un documento informatico, sia esso una fattura elettronica, un contratto, un documento inviato tramite posta elettronica, occorre utilizzare una firma elettronica che assicura l efficacia della scrittura privata. In questo contesto, la vera novità sul piano della normativa italiana è rappresentata proprio dalla firma elettronica avanzata; tale firma, disciplinata nel Codice della Amministrazione Digitale (come modificato dal decreto legislativo del 30 dicembre 2010, n. 235 e successivamente dal decreto legge n. 179 del 18 ottobre 2012), ha acquisito un valore legale che la equipara alla firma digitale e alla firma elettronica qualificata e pertanto gli viene attribuito il medesimo valore della firma autografa scritta di pugno. Il valore legale della firma elettronica avanzata viene disciplinato dall art. 21 comma 2 (novella entrata in vigore il 25 gennaio 2011). La norma prevedeva, tuttavia, l applicazione della presunzione di riconducibilità del dispositivo al titolare ovvero vi era un inversione dell onere della prova a carico dell utilizzatore che appone una firma elettronica avanzata valida: L utilizzo del dispositivo di firma si presume riconducibile al titolare, salvo che questi dia prova contraria. Questa presunzione è attualmente una prerogativa esclusiva delle sole firme digitali e qualificate, a seguito della modifica apportata con il decreto legge n. 179 del 18 ottobre Le principali caratteristiche della FEA Sul piano applicativo e dei limiti di utilizzo della firma elettronica avanzata vi è da rilevare che può essere impiegata in un ambito molto ampio, ma a differenza delle altre due tipologie di firme, ai sensi dell art. 21 comma 2-bis sono esclusi esplicitamente quei contratti che trasferiscono i diritti di proprietà o che costituiscono una comunione di beni immobili, gli atti che costituiscono ovvero trasferiscono diritti reali su beni immobiliari e gli altri contratti comunque indicati nell art. 1350, dal n. 1 al n. 12 del Codice Civile. La FEA non potrà essere, inoltre, utilizzata in soluzioni di firma remota né per realizzare soluzioni di firma automatica, il Decreto del Presidente del Consiglio dei Ministri, n del 22 febbraio 2013 (di seguito indicato come DPCM) relativo alle regole tecniche sulle firme elettroniche 1 confermano questo orientamento, definendo la firma remota come: una particolare procedura di firma elettronica qualificata o digitale, generata su HSM, che consente di garantire il controllo esclusivo delle chiavi da parte dei titolari delle stesse. Analogamente, la firma automatica viene definita come: una particolare procedura di firma elettronica qualificata o digitale eseguita previa autorizzazione del sottoscrittore che mantiene il controllo esclusivo delle proprie chiavi di firma, ma in assenza di un presidio puntuale e continuo da parte di questo. Ulteriore aspetto che distingue la FEA è che questa non sarà soggetta alla sorveglianza da parte del DigitPA, l art. 55 comma 1 del DPCM asserisce infatti che: la realizzazione di soluzioni di firma elettronica avanzata è libera e non è soggetta ad alcuna autorizzazione preventiva. Mentre come è noto per la firma digitale e per la firma elettronica qualificata è previsto un sistema di vigilanza che riguarda, in particolare, sia i certificatori qualificati sia l adeguatezza tecnologica dei dispositivi sicuri per la generazione e custodia delle chiavi private 2. Quest ultimo punto relativo all assenza di sistema di sorveglianza, a parere di chi scrive, rappresenta il limite principale della FEA, come si avrà modo di mostrare infatti questa firma, ha dei requisiti di sicurezza più generici e inferiori rispetto alle altre due tipologie di firma. Questo aspetto solleva tra gli operatori dubbi in ordine ai rischi di false sottoscrizioni ovvero di modifica dei documenti sottoscritti, tali rischi sono stati parzialmente risolti con la previsione 1 DPCM n del 22 febbraio 2013 Regole tecniche in materia di generazione, apposizione e verifica delle firme elettroniche avanzate, qualificate e digitali, ai sensi degli articoli 20, comma 3, 24, comma 4, 28, comma 3, 32, comma 3, lettera b), 35, comma 2, 36, comma 2, e 71. Pubblicato in Gazzetta Ufficiale il 21 maggio 2013 ed entrato in vigore il 5 giugno L art. 6 delle regole tecniche in materia di firma digitale, attualmente in vigore (DPCM del 22 febbraio 2013), stabilisce che la generazione della coppia di chiavi deve avvenire assicurando l unicità, un livello di sicurezza adeguato della coppia generata e la segretezza della chiave privata, analogamente, il DigitPa gestisce un sistema di vigilanza affinché le chiavi private siano adeguatamente protette sul piano tecnologico tramite codici personali. Inoltre, con riguardo particolare ai dispositivi sicuri l art. 35 del CAD prevede una procedura di accertamento gestita dall Organismo di certificazione della sicurezza informatica (OCSI). 114 Speciale Sicurezza ICT

3 LA FIRMA ELETTRONICA AVANZATA: IL VALORE LEGALE, LA SICUREZZA E GLI AMBITI APPLICATIVI (ADVANCED ELECTRONIC SIGNATURE: LEGAL EFFECTIVENESS, SECURITY AND SCOPE) di un sistema di garanzie contro i danni ovvero il ricorso alla copertura assicurativa di cui si dirà anche in seguito 3. Con il presente articolo si cercherà di chiarire al lettore il quadro di riferimento normativo ed i requisiti legali specifici richiesti, mettendo in evidenza i vantaggi e le criticità delle soluzioni di firma di maggiore interesse sul mercato. Si ritiene opportuno a questo punto fare qualche premessa sulla evoluzione normativa che ha portato alla firma elettronica avanzata; la firma è stata disciplinata per la prima volta a livello comunitario con la direttiva 1999/93/CE, successivamente recepita nel nuovo CAD. Si riporta per completezza il testo il secondo comma dell art. 5: Gli Stati membri provvedono affinché una firma elettronica non sia considerata legalmente inefficace e inammissibile come prova in giudizio unicamente a causa del fatto che è: in forma elettronica, o non basata su un certificato qualificato, o non basata su un certificato qualificato rilasciato da un prestatore di servizi di certificazione accreditato, ovvero non creata da un dispositivo per la creazione di una firma sicura. Da un esame del primo comma del medesimo articolo emerge con sufficiente chiarezza che le sole firme elettroniche avanzate ad avere valore pari alla firma autografa dovrebbero essere quelle costituite da un certificato qualificato e che impiegano un dispositivo sicuro per la generazione della firma: firma digitale e firma elettronica qualificata. Il secondo comma sopra riportato richiama, invece, proprio gli elementi definitori della firma elettronica avanzata disciplinata del nuovo CAD, da tali elementi, che svincolano le soluzioni di FEA da requisiti stringenti, si ritiene che questa firma avrebbe dovuto molto probabilmente avere un valore di elemento di prova liberamente valutabile dal giudice piuttosto che di firma con valore pari alla firma autografa come invece previsto nell art. 21 comma 2 del CAD. Nel quadro normativo comunitario, è anche importante menzionare la direttiva 2006/123/CE sui servizi nel mercato interno, la quale introduce un quadro giuridico volto all agevolazione dell esercizio della libertà di stabilimento dei prestatori di servizi nonché della libera circolazione dei servizi. In particolare, nell ambito della semplificazione amministrativa impone agli Stati Membri di garantire le condizioni per espletare per via elettronica formalità amministrative in diversi ambiti, tra i quali: la creazione di imprese e la fornitura transfrontaliera di servizi. Tale normativa impatta inevitabilmente sulle regole tecniche in corso di adozione in materia di firma elettronica avanzata dovendosi garantire la più ampia interoperabilità con gli altri sistemi informatici (in tale ambito rientra anche la problematica dell adozione dei formati 4 ). 3. Analisi dei requisiti normativi della FEA Passiamo ora ad analizzare più nello specifico i requisiti legali della firma elettronica avanzata 5 (FEA) introdotti nel nuovo CAD: questi sono finalizzati a garantire che il documento informatico sottoscritto elettronicamente assicuri l autenticità e l integrità del documento sottoscritto 6, e più specificamente: l insieme di dati identificativi (in forma elettronica) del sottoscrittore devono essere collegati ai dati contenuti nel documento informatico tali da consentire una connessione univoca con il firmatario e garantire la verifica dell integrità e l immodificabilità dei dati conte- 3 Art. 57, comma 2, Ibid. 4 Decisione della Commissione del 25 febbraio 2011, che istituisce i requisiti minimi per il trattamento transfrontaliero dei documenti firmati elettronicamente dalle autorità competenti a norma della direttiva 2006/123/CE del Parlamento europeo e del Consiglio relativa ai servizi nel mercato interno. 5 Si ricorda che la nozione di Firma elettronica avanzata era già presente nell art. 2 della Direttiva 1999/93/CE del Parlamento europeo e del Consiglio, del 13 dicembre 1999, relativa ad un quadro comunitario per le firme elettroniche, la quale definisce la firma elettronica avanzata come: una firma elettronica che soddisfi i seguenti requisiti: a) essere connessa in maniera unica al firmatario; b) essere idonea ad identificare il firmatario; c) essere creata con mezzi sui quali il firmatario può conservare il proprio controllo esclusivo; d) essere collegata ai dati cui si riferisce in modo da consentire l'identificazione di ogni successiva modifica di detti dati. 6 Art. 1 lett. q bis) del CAD. Speciale Sicurezza ICT 115

4 nuti nel documento; sui mezzi con i quali si genera la firma deve esserci un controllo esclusivo del sottoscrittore; per l identificazione del firmatario è sufficiente un certificato digitale non qualificato ; non è richiesto il dispositivo sicuro di sottoscrizione (non vi è l obbligo di osservanza dei requisiti stabiliti dall Allegato III Direttiva 1999/93/Ce) 7. Per procedere con la analisi della FEA si può ricorrere a quanto mostrato in Tabella 1. qualificato emesso da una CA. Una riflessione specifica merita il tema del dispositivo sicuro in riferimento alla firma digitale dato che nella definizione legale di firma digitale del nuovo CAD viene omesso il dispositivo sicuro. Questo aspetto ha sollevato non pochi problemi interpretativi e di coerenza con l intero impianto normativo vigente. Appare a questo punto doverosa una premessa in merito al dispositivo sicuro di firma. Come è noto, il dispositivo sicuro di firma ha la precipua funzione di generare e di proteggere la chiave privata impedendo l intercettazione da parte di terzi, proprietà che viene disciplinata tramite il concetto di Tipologia di firma elettronica SSCD CQ FD 8 (chiavi asimmetriche) SI SI FEQ SI SI FEA NO NO Tabella 1. Requisiti delle diverse tipologie di firma elettronica. La tabella mette in evidenza i requisiti che caratterizzano le diverse tipologie di firma elettronica alla quale la legge conferisce un valore legale equivalente alla scrittura privata ovvero alla comune firma autografa scritta di pugno. Nella prima colonna vengono indicate la firma digitale (FD), la firma elettronica qualificata (FEQ) e la FEA, nelle altre due colonne, il requisito del Secure Signature Creatione Device (SSCD) ovvero dispositivo sicuro di firma, dispositivo che genera e garantisce che la chiave privata usata per la sottoscrizione venga protetta secondo i livelli di sicurezza richiesti dalla legge e dalla normativa tecnica. Con l acronimo CQ si indica invece il requisito relativo al certificato controllo esclusivo ovvero sole control 9. Il controllo esclusivo riguarda i mezzi con i quali si identifica il firmatario (dispositivo che custodisce la chiave privata). Poiché nel mondo digitale la firma elettronica autentica e la firma elettronica non genuina sono indistinguibili, la autenticità della sottoscrizione è strettamente legata al controllo esclusivo della chiave privata/dispositivo sicuro sul quale l utilizzatore deve esercitare un possesso continuato. Per quanto detto, sotto un profilo concettuale non può non concludersi che la mancanza di un dispositivo sicuro nella firma digitale deve essere considerata un refuso commesso dal legislatore. Su un piano più sistematico, questa tesi è avvalorata anche 7 È da evidenziare che l art. 56 del DPCM sulla firma digitale differenzia tra soggetti che offrono soluzioni di firma elettronica avanzata per conto proprio e soggetti offrono tali soluzioni per terzi, l art. 60 limita l ambito di utilizzo della firma elettronica avanzata ai rapporti giuridici intercorrenti tra il sottoscrittore e questo soggetto. 8 Altro requisito caratteristico della firma digitale è l impiego di un sistema di chiave asimmetriche, tale proprietà differenzia questa tipologia di firma dalla firma elettronica qualificata, differenza quest ultima che rileva solo come possibile soluzione tecnica presente nel testo normativo non esistendo allo stato un certificato qualificato non basato su una coppia di chiavi asimmetriche; nella normativa la firma elettronica qualificata è definita in modo molto sintetico indicando il certificato qualificato e il dispositivo sicuro, la firma di digitale viene invece definita puntualmente, salvi in ogni caso i rilievi riportati nella presente analisi. Si riporta per maggiore chiarezza il testo dell articolo 1 lett. s) del CAD per il quale la firma digitale è: basata su un certificato qualificato e su un sistema di chiavi crittografiche, una pubblica e una privata, correlate tra loro, che consente al titolare tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l'integrità di un documento informatico o di un insieme di documenti informatici. 9 Il disconoscimento della sottoscrizione ovvero la querela di falso dovrà limitarsi alla prova contraria per quanto attiene alle firme elettroniche qualificata e digitale, ossia la prova che il dispositivo era stato sottratto al titolare, anche solo temporaneamente. Purtroppo la prova della sottrazione del dispositivo, in assenza di una specifica denuncia o di prova testimoniale che attesti tale circostanza negativa, appare molto difficile da dimostrare dovendosi provare che il dispositivo non era nel possesso del titolare. Si tratta appunto nello specifico di una prova c.d. negativa che come noto è molto difficile da fornire nel processo. 116 Speciale Sicurezza ICT

5 LA FIRMA ELETTRONICA AVANZATA: IL VALORE LEGALE, LA SICUREZZA E GLI AMBITI APPLICATIVI (ADVANCED ELECTRONIC SIGNATURE: LEGAL EFFECTIVENESS, SECURITY AND SCOPE) dal fatto che nel CAD sono presenti numerose disposizioni di legge nelle quali la firma digitale è equiparata alla firma elettronica qualificata. Inoltre, nelle regole tecniche in vigore (DPCM) sono presenti alcuni articoli fondamentali nei quali si parla di dispositivo sicuro per la generazione delle firme (art. 7). A sostegno di questa tesi si consideri infine la disposizione contenuta nell art. 11 del DPCM: in questo articolo si afferma che la firma digitale è generata con dispositivi sicuri al fine di impedire l intercettazione della chiave privata. Anche l art. 8 prescrive il requisito del dispositivo sicuro per la creazione della firma digitale (rectius firma digitale remota). Infine, per ragioni di completezza si ritiene opportuno aggiungere all analisi della FEA qualche riflessione sotto un profilo processuale civile. Sia la firma elettronica avanzata che quelle qualificata e digitale sottostanno alla previsione normativa di cui all art c.c. sulla scrittura privata. Tuttavia mentre per la prima si ritiene possa funzionare il meccanismo processuale del disconoscimento ai sensi dell art. 214 c.p.c. e segg., per le seconde l unica strada plausibile sembra essere quella della querela di falso. Questa tesi trova fondamento nel fatto che le stesse vanno ricondotte nell alveo del concetto di firma legalmente riconosciuta" espresso dalla norma in parola. Con il disconoscimento, alla parte che si vede produrre in giudizio l atto sottoscritto sarà sufficiente dichiarare che la firma non è ad essa riconducibile e sarà quindi l avversario a dover chiederne la verificazione (molto probabilmente il prestatore del servizio potrebbe essere costretto a dimostrare l'affidabilità del sistema di FEA). In tema, invece, di querela di falso, è la parte che assume la falsità ad essere onerata di instaurare, ai sensi degli artt. 221 c.p.c. e segg., l apposita procedura davanti al Collegio e, si badi bene, a pena di nullità, indicare le prove e gli elementi della falsità. Sotto il profilo delle modalità probatorie volte a superare la presunzione di riconducibilità della FD e della FEQ al proprio titolare (art. 21, comma 2 bis CAD) si può asserire che oltre a possibili, sebbene difficili, produzioni documentali, appare verosimile la necessità di ricorrere alla prova testimoniale. Si tratterà quindi di provare c.d. fatti negativi (p.e., il non aver utilizzato, almeno temporaneamente, la firma) alla cui complessa problematica si può fare soltanto un rapidissimo cenno. La giurisprudenza, infatti, ritiene che di regola, i capitoli di prova aventi ad oggetto fatti negativi non possono essere ammessi, in quanto ben difficilmente il teste sarebbe in grado di escludere in assoluto la verificazione di una determinata circostanza; ciò anche se la Corte di Cassazione, sul punto, ha anche avuto modo di precisare che la prova dei fatti negativi può essere fornita mediante presunzioni, le quali possono essere basate su fatti positivi (p.e. circostanze incompatibili tra luogo di custodia del dispositivo e\o file e quelle relative al luogo di presenza del titolare, sue attività svolte, ecc.), che, se pur non esattamente contrari a quelli negativi, siano tuttavia idonei a far desumere il fatto negativo. Proseguendo con l analisi della firma elettronica avanzata l articolo 21 del CAD equipara la FEA alla firma digitale ed elettronica qualificata purché vengano garantite l identificabilità dell autore, l integrità e l immodificabilità del documento sottoscritto. Mentre vi da ricordare che nel DPCM entrato a vigore a giugno 2013, come già accennato, la presunzione di riconducibilità della firma al sottoscrittore rimane una prerogativa delle sole firma digitali e qualificate. 4. Le possibili applicazioni della FEA e le problematiche giuridiche connesse: il One Time Password e la firma grafometrica Con riguardo specifico al requisito dell identificazione certa del sottoscrittore, le diffuse soluzioni basate su tecniche di strong authentication soddisfano sicuramente tale requisito. Tuttavia, le criticità si pongono in ordine all integrità e all immodificabilità dei dati contenuti nel documento da sottoscrivere. La firma elettronica avanzata potrebbe essere infatti realizzata tramite una soluzione come gli One Time Password (OTP) utilizzati per l home banking oppure con una soluzione di firma grafometrica delle tavolette elettroniche. Esaminando più in dettaglio la rispondenza degli OTP ai requisiti stabiliti dalla normativa per la FEA, risulta evidente che questa soluzione comunemente adottata solo come strong authentication non garantisce tout court l integrità e l immodificabilità del documento informatico associato, ma necessita in primo luogo di una struttura dei dati che soddisfi tali requisiti. Tenuto conto dei limiti anzidetti, tale soluzione sembra invece rispondere al requisito del controllo esclusivo permettendo di generare delle password dinamiche nell esclusivo controllo del titolare del dispositivo. Questo è comunque un requisito indispen- Speciale Sicurezza ICT 117

6 sabile affinché la FEA sia considerata valida ed abbia pertanto non solo un valore legale pari alla firma autografa. A questo punto, è importante sottolineare che le caratteristiche peculiari della firma elettronica avanzata portano più correttamente a concepire tale firma come parte di un processo di gestione documentale piuttosto che una semplice soluzione applicativa che appone una firma disgiunta dalla gestione del documento informatico. Questo approccio sembra da condividersi ancor più se si riflette sul fatto che l output del sistema informatico al quale si accede tramite OTP deve essere in grado di assicurare che il documento informatico presenti una struttura dei dati (rectius, processo di gestione documentale che genera la struttura dati) che dia evidenza di quanto è stato sottoscritto e che tale struttura garantisca l integrità e l immodificabilità dei dati. La possibilità di utilizzare la FEA tramite un dispositivo OTP potrebbe risolvere in particolare i problemi di garantire l efficacia di scrittura privata in ambito bancario dove questo dispositivo è molto diffuso; ci si riferisce in particolare ai contenziosi sorti relativamente all integrazione dei contratti di intermediazione mobiliare nei quali l Istituto di credito è stato ritenuto soccombente poiché l accesso alla pagina web tramite portale [ ] è avvenuto mediante inserimento di username e password, da parte dell utente [ ], ma è altresì vero che è indiscutibilmente mancata la trasmissione (dai clienti della banca) di un documento contenente la pattuizione integrativa ex articolo 30 lettera e del Regolamento Consob (Tribuna di Reggio Emilia, 5 ottobre 2011). La possibilità di impiego del dispositivo OTP anche come soluzione di FEA anche in questo contesto risulta confermata dall interpretazione contenuta nella pronuncia sopraccitata, sebbene nei chiarimenti contenuti nella comunicazione della Consob (DI/30396 del 21 Aprile 2000) si facesse riferimento esclusivo alla sola firma digitale per le operazioni di c.d. trading online, nella stessa si dà rilevanza, invece, al solo fatto che la firma elettronica abbia valore di scrittura privata, soprattutto tenendo in conto che i successivi interventi legislativi hanno ampliato il novero delle firma elettroniche con valore di scritture privata. Proseguendo con l analisi delle soluzioni che possono rispondere ai requisiti della FEA, si ritiene possibile realizzare delle firme conformi ai requisiti della FEA mediante l utilizzo di dispositivi, quali ad esempio le tavolette grafiche o i tablet PC, che consentono di utilizzare tecniche di tipo grafometrico. Tali firme grafometriche vengono realizzate tramite l utilizzo di una particolare penna elettronica che, utilizzata come una normale penna su una tavoletta grafica, permette di registrare tutte quelle caratteristiche che rendono unica la firma. Non è quindi una semplice scansione della nostra firma, bensì una vera e propria sottoscrizione effettuata su un dispositivo elettronico. Tali caratteristiche, che non dipendono tanto dall immagine stessa creata dalla scrittura ma piuttosto da diversi aspetti e comportamenti, quali ad esempio la pressione che viene esercitata sulla penna o la velocità con cui si scrive, vengono considerati uniche perché inimitabili 10. Essendo inimitabili possono essere quindi connessi univocamente con il firmatario e utilizzate come chiave per garantire la verifica dell integrità del documento e l autenticità del firmatario. Naturalmente i mezzi utilizzati per la firma (mano e dispositivi elettronici) sono sotto il controllo esclusivo del firmatario. La firma grafometrica, quindi, possiede tutti i requisiti minimi indispensabili per poter essere considerata una FEA. Tale firma, in assenza di un certificato qualificato, non può essere considerata né firma digitale né firma elettronica qualificata. Come in tutti i processi che implementano l utilizzo di tecniche biometriche è necessario però effettuare un accurata identificazione degli utenti: ovvero un preventivo processo tramite il quale vengono acquisite le caratteristiche biometriche di ogni utente. Come è noto, tale processo, denominato di registrazione (enrollment), consiste nella lettura di quelle caratteristiche della firma con le quali verrà costruito il campione (template), si tratta di un operazione necessaria per il riconoscimento nelle successive autenticazioni. Con specifico riguardo alle funzionalità di firma, tale firma affinché assuma valore di FEA dovrebbe soddisfare i requisiti stabiliti dalla Direttiva 1999/93/CE e del CAD ed in particolare occorre che vengano soddisfatti i requisiti di identificazione ovvero vi sia una connessione univoca della firma al 10 Approfondimenti tecnici sul tema della firma biometrica sono riportati nei seguenti articoli: La firma biometrica: un ponte verso la de materializzazione senza Digital Divide, Giovanni Manca, pagg. 40 e 76, Rivista Information Security, gennaio/febbraio Speciale Sicurezza ICT

7 LA FIRMA ELETTRONICA AVANZATA: IL VALORE LEGALE, LA SICUREZZA E GLI AMBITI APPLICATIVI (ADVANCED ELECTRONIC SIGNATURE: LEGAL EFFECTIVENESS, SECURITY AND SCOPE) firmatario e di integrità e immodificabilità del documento informatico. Quanto al primo aspetto, questo dovrebbe essere risolto tramite delle regole univoche per la verifica dell identità al momento del rilascio del dispositivo di firma, come per esempio ricorrendo a certificati digitali (attestazione su fonte oggettiva sull identità da parte del prestatore e sottoscrizione della dichiarazione di utilizzo del dispositivo da parte del titolare) emessi dal prestatore di servizi. Con riguardo agli altri due requisiti, questi vengono soddisfatti applicando la funzione di hash al documento informatico da sottoscrivere al fine di ottenere l impronta che verrà poi cifrata tramite il template biometrico. Pertanto, le soluzioni di firma biometrica che rispettano tali requisiti saranno da considerare Firme Elettroniche Avanzate tenuto conto anche che eventuali procedure di verifica dell integrità saranno comunque possibili apponendo nuovamente la firma ovvero confrontando tali firme con un catalogo delle firme 11. Le principali criticità connesse alla firma grafometrica derivano dall instabilità (o mancanza di permanenza) nel tempo della firma: così, infatti, con il passar degli anni cambia il nostro organismo, anche le caratteristiche della nostra scrittura potrebbero variare (l angolo di inclinazione della penna, il numero di volte che la stessa viene sollevata dalla carta), tanto da creare un template diverso da quello memorizzato nell enrollment. Sarà quindi possibile avere degli errori durante il riconoscimento: False Rejection Rate (FRR): per FRR si intende la percentuale di firme valide che vengono rigettate dal sistema. False Acceptance Rate (FAR): FAR, invece, rappresenta la percentuale di firme accettate dal sistema e che, invece, non sono autentiche. Questi due concetti sono parte essenziale delle analisi biometriche e sono sicuramente indispensabili nel definire l ambito di impiego delle firme biometriche, dalle banche alle assicurazioni, ai contratti in ambito Telco e pubblica amministrazione. Ciò che è indispensabile in tali casi è trovare un equilibrio tra falsi positivi e falsi negativi (EER Equal Error Rate) adatto al contesto. Per fare qualche esempio, in un ambito nel quale si stipulano giornalmente migliaia di contratti di valore pari a poche decine di euro una certa percentuale di casi di falso positivo potrebbe essere accettabile; se invece si tratta di contratti di valore molto superiore e nell ordine dei migliaia di euro, il falso positivo potrebbe essere molto ridotto e probabilmente dovrebbero essere proferiti casi di falso negativo. Infine non può essere trascurato l aspetto normativo relativo alla protezione dei dati personali. Come è noto agli specialisti del settore, i dati biometrici e anche i template biometrici sono ritenuti dati personali, perché sono sempre indirettamente identificativi delle persone ai cui si riferiscono. In materia, ci sono numerose pronunce del Garante per la protezione dei dati personali 12, nonché documenti ufficiali del Gruppo art. 29 (Gruppo dei Garanti europei), i quali ritengono che il dato biometrico sia da ritenersi un dato personale in quanto tale dato, sebbene criptato, è da ritenersi ragionevolmente identificabile da parte degli incaricati (tramite associazione del template al codice numerico e al nominativo), dal vigilatore dei dati, azienda costruttrice e titolare. È bene sottolineare che il fatto che l utilizzazione dei dati biometrici/template sia da considerarsi un trattamento di dati identificativi non costituisce di per sé un vincolo legale insormontabile per tali soluzioni. Tuttavia andrà sempre analizzata la soluzione sia sotto il profilo della sicurezza/protezione del dato che sotto il profilo del contesto e delle finalità di utilizzo. È infatti assodato che l utilizzo dei dispositivi di riconoscimento biometrico utilizzati in modo massivo come sistema di rilevazione presenze in azienda non è da ritenersi generalmente una soluzione conforme alla normativa privacy. D altro canto, l utilizzo dei dispositivi biometrici per finalità di controllo accessi è cosa diversa dalle finalità di 11 Vi è da rilevare che la costituzione e gestione di un catalogo di firme biometriche può sollevare problemi con la normativa in materia di protezione di dati personali, l analisi di tali aspetti verrà affrontata nel proseguo. 12 A questo riguardo il Garante italiano ha sostanzialmente escluso l utilizzazione generalizzata di dispositivi di riconoscimento di impronte digitali per la rilevazione delle presenze dei dipendenti in azienda, a titolo esemplificativo, in tal senso si è espresso nel provvedimento nel quale si esclude che l accesso in banca sia esclusivamente vincolato al rilascio delle impronte digitali, Provv. Garante, in Bollettino, n. 91, gennaio Cfr. Provv. Garante, 19 novembre 1999, in Bollettino, n. 10, p. 68, Provv. Garante, 21 luglio 2005, in Bollettino, n. 63. Anche il Decalogo su corpo e privacy, 9 maggio 2006, del Garante tenta di dare una risposta alle criticità che sorgono in ordine all utilizzazione delle tecniche di riconoscimento biometrico in azienda. Speciale Sicurezza ICT 119

8 garantire l autenticità di un documento. Occorrerà trovare quindi uno specifico bilanciamento tra le esigenze di innovazione e la ricerca dell efficienza tramite soluzioni ICT e la protezione dei dati, la tutela della dignità e identità personale. Questo bilanciamento dovrà individuarsi tramite finalità e contesti che giustifichino l impiego di tali dispositivi biometrici. Si ricorda molto sinteticamente che i principi di correttezza, di necessità e di proporzionalità hanno condotto il Garante privacy a tenere in particolare conto, gli aspetti di sicurezza, la filiera dei soggetti che possono accedere ai dati, la disponibilità dei template memorizzati sui dispositivi (p.e. smart card) per il solo interessato, il numero ristretto di persone che hanno accesso alle aree riservate, lo scopo di deterrenza connesso ai rischi di subire reati in una determinata zona/aree ad alta densità di criminalità. Costituiscono un esemplificazione di quanto detto i sistemi di riconoscimento di impronte digitali, eventualmente connessi a sistemi di videosorveglianza, installate nelle Banche per finalità di controllo accessi 13 (Art. 17 C.d.P., c.d. prior checking). A questo riguardo è opportuno osservare, tenuto conto di alcune peculiarità e che l utilizzo concerneva la firma digitale anziché la firma elettronica avanzata, il Garante privacy ha recentemente esaminato la richiesta di verifica preliminare del sistema di sottoscrizione dei documenti con firma digitale basato su un sistema di autenticazione biometrica effettuata tramite tablet utilizzato nelle operazioni allo sportello, ritenendo lecito il trattamento dei dati biometrici effettuato dalla banca Unicredit (Provv. Garante privacy, 31 gennaio 2013, Verifica preliminare). Nell ambito della presente indagine è, infine, opportuno per fini di completezza anche menzionare, molto schematicamente, le soluzioni che sicuramente soddisfano i requisiti di FEA poichè indicate specificamente nel DPCM. In base a quanto disposto le soluzioni alle quali viene riconosciuto il valore legale di FEA nei confronti della PA saranno: la Posta Elettronica Certificata per PA (nei limiti della firma del messaggio spedito); la Carta di Identità Elettronica; la Carta Nazionale Servizi. 5. I requisiti normativi e le criticità per adottare una soluzione di FEA Le soluzioni di Firma Elettronica Avanzata vengono offerte dai soggetti che realizzano per conto proprio nell ambito del processo di dematerializzazione per fini istituzionali, societari, commerciali. Tali soluzione potranno essere realizzate all interno dell organizzazione anche tramite fornitori esterni, questi soggetti devono però svolgere tali prestazioni nell ambito dell attività di impresa. Caratteristica fondamentale delle firme elettroniche avanzate è che tali soluzioni saranno utilizzabili limitatamente ai rapporti giuridici intercorrenti tra il sottoscrittore e il soggetto e nell ambito del processo di dematerializzazione (Art. 60 del DPCM) 14. La disposizione poc anzi richiamata è da interpretarsi nel senso che l utilizzazione del dispositivo di FEA non potrà avere valore legale nei confronti di altri soggetti privati o pubblici 15 che non siano i soggetti stessi che hanno rilasciato la soluzione per proprio conto. Infine, con riguardo alle criticità, dovute con molta probabilità a problematiche connesse a vincoli normativi del rispetto della Direttiva 2006/123/CE, vi è da rilevare che nel DPCM non 13 Questi sono alcuni dei contesti nei quali sono stati ammessi i sistemi di riconoscimento biometrico, aree di accesso riservato in particolari ambiti come aeroporti, aree di accesso al sistema produttivo, aree di accesso riservato nella gestione del sistema idrico, ecc.. Finora, in questo contesto, le verifiche preliminare sono state limitate quasi esclusivamente alle finalità di controllo accessi e generalmente su sistemi di riconoscimento di impronte digitali installati in aree riservate, si richiamano tra le molte le seguenti pronunce: Provv. Garante privacy, 27 ottobre 2005, Boll. n. 65; Provv. Garante privacy, 23 novembre 2005, Boll. n. 66; Provv. Garante, 1 febbraio 2007, Boll. n. 80; Provv. Garante, 17 settembre 2009, Boll. n La ragione della limitazione è condivisibile tenuto conto di quanto stabilito nell articolo 57 del DPCM, il quale stabilisce che l identificazione certa dell utente deve essere effettuata dallo stesso fornitore che opera per proprio conto. Lo stesso dovrà poi consegnare all utente una dichiarazione sulle condizioni di utilizzo, la quale verrà conservata per un periodo di 20 anni, fornire una copia della dichiarazione e pubblicare le modalità di richiesta della stessa, infine, rendere note le caratteristiche del sistema richieste per la FEA e consentire un uso alternativo di firma digitale e firma elettronica qualificata ove applicabile. Cfr. art. 23 ter comma 2 del CAD, il quale conferisce ai documenti amministrativi informatici sottoscritti con FEA efficacia di scrittura privata nell ambito del procedimento amministrativo. 15 Cfr. art. 23 ter comma 2 del CAD, il quale conferisce ai documenti amministrativi informatici sottoscritti con FEA efficacia di scrittura privata nell ambito del procedimento amministrativo. 120 Speciale Sicurezza ICT

9 LA FIRMA ELETTRONICA AVANZATA: IL VALORE LEGALE, LA SICUREZZA E GLI AMBITI APPLICATIVI (ADVANCED ELECTRONIC SIGNATURE: LEGAL EFFECTIVENESS, SECURITY AND SCOPE) vengono definite con chiarezza le regole di identificazione univoche. Tali regole sono infatti necessarie per un identificazione certa ed affidabile dell utilizzatore della firma che assicuri sufficienti garanzie contro eventuali abusi da parte di terzi. In tale contesto, l art. 57 comma 2 del DPCM relativo alle regole tecniche sulle firma elettroniche prevede che al fine di proteggere i firmatari e i terzi da eventuali danni i soggetti che adottano soluzione di FEA devono rispondere di danni nella misura di cinquecentontomila euro anche ricorrendo a coperture assicurative. L articolo in esame mette in evidenza il chiaro rischio di false sottoscrizioni nonché la possibilità di modificare i documenti sottoscritti tramite FEA qualora non vengano adottate soluzioni non sufficientemente sicure. A parere di chi scrive appare evidente che la disciplina dell art. 56 (caratteristiche della soluzione di firma elettronica avanzata) lascia fin troppo margine a chi voglia utilizzare tali soluzioni; in assenza di un sistema di sorveglianza l affidabilità di soluzioni di FEA viene attribuita alla serietà dei prestatori che considerando la propria immagine aziendale come un valore prioritario eviteranno di trovarsi in difficoltà in caso di contestazioni in sede di giudizio. Seguono più nello specifico una serie di interrogativi ancora aperti: Chi è il soggetto dell organizzazione che compirà l identificazione e su quali basi oggettive? Gli incaricati saranno adeguatamente formati? L esigenza di poter garantire danni derivanti dall attività svolta nella misura di cinquecentoeuro anche con il ricorso alla copertura assicurativa saranno un sufficiente incentivo per il mercato di riferimento (art. 57 comma 2 del DPCM)? Ed infine, non essendo obbligatoria l adozione di certificazioni secondo i common criteria per il dispositivo sicuro, tali dispositivi hanno un livello di sicurezza sufficiente per evitare il proliferarsi di furti di identità e abusi di terzi? È probabile ed auspicabile che tali interrogativi possano trovare puntuali interventi volti a garantire maggiore sicurezza, sia con riguardo agli ambiti operativi di utilizzo della FEA sia con riguardo alle forme di garanzie previste contro forme di abuso. Infine, un requisito stringente per i prestatori di servizi di FEA rivolta ai soggetti che adottano tali soluzioni come scopo dell attività di impresa, è costituito dall obbligo di certificazione ISO/IEC relativo ai sistemi di gestione della sicurezza delle informazioni e dall obbligo di certificazione 9001 sui sistemi di qualità 16 per soluzioni rivolte alle pubbliche amministrazioni. Per concludere l analisi delle soluzioni tecniche che soddisfano i requisiti di Firma Elettronica Avanzata, nonostante le problematiche connesse al valore probatorio di questa tipologia firma pensata in sede comunitaria per essere considerata come elemento di prova e non con valore pari alla firma digitale ci sono infatti delle problematiche irrisolte si può affermare che esistono potenzialmente numerose tipologie di soluzioni che rispettano tali requisiti. Occorre tuttavia esaminare le caratteristiche specifiche sul piano tecnico-legale delle soluzioni per verificare la corrispondenza con quanto disposto dalle normative. In conclusione, di fronte alle firme digitali e alle firme elettroniche qualificate, la firma elettronica avanzata presenta funzionalità e caratteristiche diverse, questo implica la necessità di un attenta valutazione su diversi piani non solo di convenienza economica, ma anche legale ed organizzativo. Il rischio, infatti, è quello del proliferarsi di soluzioni non sufficientemente sicure e che potrebbero non trovare in giudizio una conferma del valore legale atteso dall utilizzatore. Infine, si dovrebbe tenere in conto anche l ambito di impiego che, come nel caso della firma grafometrica, può dar luogo a possibili violazioni della normativa sulla protezione dei dati personali nonostante le recenti aperture sulla questione da parte del Garante privacy. 16 Tali certificazioni non sono richieste alle persone giuridiche private possedute o controllate dalla PA e alle persone giuridiche pubbliche. Speciale Sicurezza ICT 121

10 Fabio Di Resta: dopo la laurea in giurisprudenza si specializza in Gran Bretagna in diritto dell informatica in ambito comunitario. Inizia l attività di consulenza legale per società di primaria importanza occupandosi sin da subito di problematiche giuridiche attinenti alla protezione dei dati personali e al diritto delle nuove tecnologie. In tale contesto ha maturato 10 anni di esperienza partecipando a progetti nazionali ed internazionali per multinazionali e svolgendo consulenze legali su aspetti di sicurezza organizzativa nel quadro della ISO e delle best practice relative all ICT. Si occupa intensamente anche di aspetti giuridici, nel quadro Codice dell Amministrazione Digitale, su progetti di dematerializzazione per conto di importanti enti pubblici e società private. I temi nei quali ha acquisito particolare competenza vanno dagli aspetti legali della sanità elettronica, della protezione dei dati personali applicata ai più diversi ambiti e le problematiche giuridiche connesse al Codice dell Amministrazione Digitale. Ha pubblicato inoltre numerosi volumi tra i quali: Protezione delle Informazioni. Privacy e sicurezza, Inside telematiche. Frodi e sicurezza, La tutela dei dati personali nella Società dell Informazione, Il Fascicolo Sanitario Elettronico ed altri. Pubblica infine regolarmente su riviste specialistiche, partecipa a conferenze, lezioni e seminari sul tema del diritto dell informatica e della privacy presso diverse università prestigiose. 122 Speciale Sicurezza ICT