Il recente Dpcm del 22 febbraio

Transcript

1 Firma elettronica avanzata: oltre alle regole tecniche disposti anche obblighi di informazione e trasparenza Decreto del Presidente del Consiglio dei ministri 22 febbraio Commento REGOLE TECNICHE IN MATERIA DI GENERAZIONE, APPOSIZIONE E VERIFICA DELLE FIRME ELETTRONICHE AVANZATE, QUALIFICATE E DIGITALI, AI SENSI DEGLI ARTICOLI 20, COMMA 3, 24, COMMA 4, 28, COMMA 3, 32, COMMA 3, LETTERA B), 35, COMMA 2, 36, COMMA 2, E 71 (Pubblicato sulla Gazzetta Ufficiale del 21 maggio 2013 n. 117) Scarica il testo del Dpcm del 22 febbraio 2013: (area NOVITÀ NORMATIVE) Il recente Dpcm del 22 febbraio 2013, Regole tecniche in materia di generazione, apposizione e verifica delle firme elettroniche avanzate, qualificate e digitali, ai sensi degli articoli 20, comma 3, 24, comma 4, 28, comma 3, 32, comma 3, lettera b), 35, comma 2, 36, comma 2, e 71, aggiunge un importante tassello al quadro normativo italiano sul documento informatico e costituisce un passo importante verso la dematerializzazione. Il Dpcm in esame detta nuove regole tecniche concernenti le firme elettroniche avanzate, qualificate e digitali, ma l attesa per la pubblicazione del decreto era soprattutto concentrata sulle regole tecniche concernenti la firma elettronica avanzata. Altri adempimenti sono richiesti dalle norme in materia di protezione dei dati personali IL COMMENTO DI GIUSELLA FINOCCHIARO La firma elettronica avanzata - Secondo l articolo 1, lettera q- bis), del codice dell amministrazione digitale la firma elettronica avanzata è «un insieme di dati in forma elettronica allegati oppure connessi a un documento informatico che consentono l identificazione del firmatario del documento e garantiscono la connessione univoca al firmatario, creati con mezzi sui quali il firmatario può conservare un controllo esclusivo, collegati ai dati ai quali detta firma si riferisce in modo da consentire di rilevare se i dati stessi siano stati successivamente modificati». Si tratta di una definizione tecnologicamente neutra che quindi non fa riferimento alla tecnologia utilizzata. La firma elettronica avanzata oggi più diffusa, che maggiormente attira l interesse del mercato, è la firma su tablet, o firma grafometrica, apposta su un particolare tablet con una speciale pen drive e idonea a memorizzare alcune caratteristiche biometriche: velocità della firma, pressione, accelerazione ecc. Questa tipologia di firma elettronica riscuote oggi un notevole interesse perché viene avvertita come un gesto naturale da parte del firmatario, che altro non fa che replicare il consueto gesto della sottoscrizione. È stata applicata con grande successo nel settore bancario, che per primo ha cominciato a sperimentare. Ma può ugualmente essere applicata nel commercio elettronico, in sanità, nella pubblica amministrazione, da parte dei pro- GUIDA AL DIRITTO IL SOLE-24 ORE 16 N GIUGNO 2013

2 fessionisti, e in generale in ogni settore. Ma anche altre tecnologie possono infatti essere adoperate: ad esempio, le firme tramite Otp (One time password). Occorre sottolineare che detta firma non è qualificabile come firma elettronica avanzata solo sulla base della tecnologia utilizzata, ma anche sulla base del soddisfacimento di condizioni che sono relative alle fasi precedenti e successive all apposizione della firma. La firma elettronica avanzata, in altri termini, non è un prodotto, ma un processo. Il percorso normativo - Com è ormai noto, l Italia è stata il primo Paese europeo a dotarsi di una normativa organica sul documento informatico, normativa che è stata varie volte modificata. Il percorso è stato intrapreso nel 1997 ed è stato lungo e complesso. Il quadro normativo generale è oggi nel codice dell amministrazione digitale, modificato più volte. Le ultime modifiche apportate con il Dlgs 235/2010 e poi con il Dlgs 179/2012 hanno comportato l introduzione della firma elettronica avanzata. La normativa italiana nel 1997 nasce per consentire la comunicazione telematica nell ambito della Pa: è fin dall origine generale e applicabile anche ai rapporti fra privati, ma il progetto che la muove è la cosiddetta Rupa (Rete unitaria per la pubblica amministrazione). La direttiva europea n. Le soluzioni alternative ma equivalenti n L invio tramite posta elettronica certificata effettuato richiedendo la ricevuta completa sostituisce, nei confronti della pubblica amministrazione, la firma elettronica avanzata. n L utilizzo della Carta d identità elettronica, della Carta nazionale dei servizi, del documento d identità dei pubblici dipendenti (Mod. ATe), del passaporto elettronico e degli altri strumenti a essi conformi sostituisce, nei confronti della pubblica amministrazione, la firma elettronica avanzata. n I certificatori accreditati che emettono certificati per gli strumenti rendono disponibili strumenti di verifica della firma. n Per favorire la realizzazione di soluzioni di firma elettronica avanzata, l Agenzia elabora Linee guida sulla base delle quali realizzare soluzioni di firma elettronica avanzata conformi alle presenti regole tecniche. 1999/93/Ce sulle firme elettroniche, intervenuta nel 1999, persegue, invece, un diverso obiettivo: stimolare la crescita del commercio elettronico, creando fiducia da parte degli utenti nelle nuove modalità di trasmissione. La firma elettronica, consentendo di raggiungere una ragionevole certezza sull identità del contraente, contribuisce a rafforzare la fiducia degli utenti nell utilizzo delle tecnologie informatiche. Nel commercio fra privati, la normativa in materia di firme elettroniche non nasce solo per soddisfare esigenze tecnico-giuridiche di forma o di prova, ma soprattutto per creare fiducia nel commercio elettronico. I due diversi approcci normativi, quello italiano originariamente basato sulla firma digitale, e quello europeo, sulle firme elettroniche, convivono oggi nel codice dell amministrazione digitale. Come si è detto, l Italia è stata fra i primi paesi a dotarsi di una compiuta disciplina normativa in una materia completamente nuova, nella quale è assai difficile trovare la corrispondenza che il legislatore cerca fra il dettato del codice civile e le nuove tecnologie. La difficoltà di affrontare il problema è testimoniata con grande evidenza dalla rapida successione di testi normativi in materia. In particolare, in Italia, contrariamente a quanto di solito accade, il legislatore non ha atteso che i fenomeni si siano consolidati per disciplinarli, ma invece ha cercato di anticipare il fenomeno da normare, utilizzando l emanazione di norme come volano per stimolare la diffusione delle nuove tecnologie. Il valore giuridico dei documenti sottoscritti con la firma elettronica avanzata - Sotto il profilo probatorio, il documento cui è apposta una firma elettronica è, secondo quanto dispone l articolo 21, comma 1 del Cad, liberamente valutabile dal giudice, tenuto conto delle sue caratteristiche oggettive di qualità, sicurezza, integrità e immodifica- GUIDA AL DIRITTO IL SOLE-24 ORE 17 N GIUGNO 2013

3 bilità. Come si è avuto modo di illustrare precedentemente, esistono tante tipologie di firma elettronica e ben si comprende, dunque, che la valutazione dell efficacia probatoria dei documenti cui la firma elettronica è apposta sia rimessa, caso per caso, al giudice che ne valuterà le caratteristiche oggettive in concreto. I requisiti di qualità e sicurezza vanno riferiti al sistema informatico e i requisiti di integrità e immodificabilità al documento informatico. Occorre, quindi, ribadire che le caratteristiche tecnologiche degli strumenti utilizzati e le caratteristiche organizzative del processo adottato determinano l efficacia probatoria del documento informatico con firma elettronica così creato. Sotto il profilo probatorio, il documento cui è apposta una firma elettronica avanzata, secondo quanto dispone l articolo 21, comma 2, del Cad «formato nel rispetto delle regole tecniche (...) che garantiscano l identificabilità dell autore, l integrità e l immodificabilità del documento, ha l efficacia prevista dall art del codice civile». Da qui si evince l importanza delle regole tecniche. Oltre a ciò, occorre segnalare, che il secondo periodo del comma 2 dell articolo 21, modificato dall articolo 9 del Dl 18 ottobre 2012 n. 179, Ulteriori misure urgenti per la crescita del Paese, convertito dalla legge 17 dicembre 2012 n. 221, dispone che «l utilizzo del dispositivo di firma elettronica qualificata o digitale si presume riconducibile al titolare, salvo Le cose da garantire sono varie, tra queste: l identificazione del firmatario del documento, la connessione univoca, il controllo esclusivo sul sistema di generazione, la possibilità di verificare che non ci siano state modifiche che questi dia prova contraria». Conseguentemente, la presunzione di legge, vincibile da prova contraria, secondo cui l utilizzo del dispositivo di firma è riconducibile al titolare, si applica solo nel caso di firma elettronica qualificata e di firma digitale, ben potendo una firma elettronica avanzata non essere basata su un dispositivo di firma. Per quanto riguarda il profilo dell idoneità dell atto sottoscritto con firma elettronica avanzata a soddisfare il requisito della forma scritta, la norma di riferimento è l articolo 21, comma 2-bis, del Cad, come recentemente modificato dal già citato articolo 9 del Dl 18 ottobre 2012 n La norma prevede, che «(...) le scritture private di cui all articolo 1350, primo comma, numeri da 1 a 12 del codice civile, se fatte con documento informatico, sono sottoscritte, a pena di nullità, con firma elettronica qualificata o con firma digitale. Gli atti di cui all articolo 1350, n. 13 del codice civile soddisfano comunque il requisito della forma scritta se sottoscritti con firma elettronica avanzata, qualificata o digitale». La norma, così come riformulata a seguito del recente intervento del legislatore, non lascia adito a dubbi interpretativi. I contratti enucleati dal n. 1 al n. 12 dell articolo 1350 del codice civile, ossia i contratti aventi come oggetto diretto o mediato beni immobili e rispetto ai quali il requisito della forma scritta è richiesto ai fini della validità dell atto, se conclusi con modalità informatiche, devono essere sottoscritti, a pena di nullità, con firma elettronica qualificata o digitale. Gli atti richiamati dal n. 13 dell articolo 1350 attraverso la formula di rinvio «gli altri atti specialmente indicati dalla legge», ossia gli atti giuridici rispetto a cui leggi diverse dal codice civile richiedono quale condizione per la loro validità la forma scritta, se conclusi con modalità informatiche, possono essere sottoscritti indifferentemente con firma elettronica avanzata, qualificata o digitale. La norma è di immediata rilevanza in ambito bancario, considerato che l articolo 117 del Dlgs 1 settembre 1993 n. 385, Testo unico delle leggi in materia bancaria e creditizia (di seguito denominato più semplicemente Tub), legge speciale inquadrabile nella formula di rinvio di cui al citato n. 13 dell articolo 1350 del codice civile, prescrive per i contratti bancari la forma scritta ad substantiam. GUIDA AL DIRITTO IL SOLE-24 ORE 18 N GIUGNO 2013

4 Regole tecniche - Nel Dpcm in esame il titolo V è interamente dedicato alle soluzioni di firma elettronica avanzata. Si dispone che la realizzazione di soluzioni di firma elettronica è libera e non necessita di autorizzazione preventiva. L articolo 56, comma 1, dispone, inoltre, che «le soluzioni di firma elettronica avanzata devono garantire: a) l identificazione del firmatario del documento; b) la connessione univoca della firma al firmatario; c) il controllo esclusivo del firmatario del sistema di generazione della firma, ivi inclusi i dati biometrici eventualmente utilizzati per la generazione della firma; d) la possibilità di verificare che il documento informatico sottoscritto non abbia subito modifiche dopo l apposizione della firma; e) la possibilità per il firmatario di ottenere evidenza di quanto sottoscritto; f) l individuazione del soggetto che ha erogato la soluzione di firma elettronica avanzata; g) l assenza di qualunque elemento nell oggetto della sottoscrizione atto a modificarne gli atti, fatti o dati nello stesso rappresentati; h) la connessione univoca della firma al documento sottoscritto». Le condizioni previste dall articolo 56, comma 1 devono essere integrate da quelle elencate dal successivo articolo 57, secondo cui i soggetti erogatori di soluzioni di firma elettronica avanzata devono: L Italia è stata fra i primi paesi a dotarsi di una compiuta disciplina normativa in una materia completamente nuova, nella quale è assai difficile trovare la corrispondenza che il legislatore cerca fra il dettato del codice civile e le moderne tecnologie «a) identificare in modo certo l utente tramite un valido documento di riconoscimento, informarlo in merito agli esatti termini e condizioni relative all uso del servizio, compresa ogni eventuale limitazione dell uso, subordinare l attivazione del servizio alla sottoscrizione di una dichiarazione di accettazione delle condizioni del servizio da parte dell utente; b) conservare per almeno venti anni copia del documento di riconoscimento e la dichiarazione di cui alla lettera a) e ogni altra informazione atta a dimostrare l ottemperanza a quanto previsto all articolo 56, comma 1, garantendone la disponibilità, integrità, leggibilità e autenticità; c) fornire liberamente e gratuitamente copia della dichiarazione e le informazioni di cui alla lettera b) al firmatario, su richiesta di questo; d) rendere note le modalità con cui effettuare la richiesta di cui al punto c), pubblicandole anche sul proprio sito Iinternet; e) rendere note le caratteristiche del sistema realizzato atte a garantire quanto prescritto dall articolo 56, comma 1; f) specificare le caratteristiche delle tecnologie utilizzate e come queste consentono di ottemperare a quanto prescritto; g) pubblicare le caratteristiche di cui alle lettere e) ed f) sul proprio sito Iinternet; h) assicurare, ove possibile, la disponibilità di un servizio di revoca del consenso all utilizzo della soluzione di firma elettronica avanzata e un servizio di assistenza». Il comma 2 dell articolo 56 dispone che: «la firma elettronica avanzata generata in violazione di quanto disposto da una o più disposizioni di cui alle lettere a), b), c), d), e), g), h) del 1 comma non soddisfa i requisiti richiesti dagli articoli 20, comma 1 -bis e 21, comma 2 del CAD». Dunque, nel caso di mancato rispetto di detti requisiti la firma elettronica avanzata non potrà essere qualificata come tale. Oltre a ciò, si prospettano nelle regole tecniche obblighi di informazione e di trasparenza, obblighi relativi alla sottoscrizione delle condizioni di adesione al servizio da parte del cliente firmatario, obblighi di conservazione dei documenti identificativi del cliente firmatario, obblighi di assicurazione dei rischi. Ma oltre a quanto disposto dalle regole tecniche, occorre ricordare che altri adempimenti sono richiesti da altre disposizioni, e in particolar modo dalle norme in materia di protezione dei dati personali. n GUIDA AL DIRITTO IL SOLE-24 ORE 19 N GIUGNO 2013

5