Dal D.P.C.M. 22/02/2013 al nuovo regolamento europeo eidas

Transcript

1 Euronovate Innovation company Dal D.P.C.M. 22/02/2013 al nuovo regolamento europeo eidas 20 Novembre 2014

2 Roadmap evoluzione normativa DPCM Regole tecniche in materia di generazione apposizione e verifica firme elettroniche avanzate, qualificate e digitali DPCM Regole tecniche in materia di conservazione Schema di provvedimento in tema di riconoscimento biometrico e firma grafometrica Regolamento EIDAS 910/2014 in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno 22/02/13 03/12/13 21/05/14 23/07/14 GU GU ? GUE

3 Le tipologie di Firma

4 Nuovo modo di firmare Firma informatica - 4 tipologie di firma: 1.firma elettronica 2.firma elettronica avanzata 3.firma qualificata 4.firma digitale Tutte normate dal CAD + l acquisizione digitale della sottoscrizione autografa seguita dalla firma digitale dal notaio, prevista dalla l. notarile

5 Firma elettronica 1. Firma elettronica L insieme dei dati in forma elettronica, allegati oppure connessi tramite associazione logica ad altri dati elettronici, utilizzati come metodo di identificazione informatica Esempi: , login e pw, ecc

6 Firma elettronica avanzata New 2. Firma elettronica avanzata Insieme di dati in forma elettronica allegati oppure connessi a un documento informatico che consentono l identificazione del firmatario del documento e garantiscono la connessione univoca al firmatario, creati con mezzi sui quali il firmatario può conservare un controllo esclusivo, collegati ai dati ai quali detta firma si riferisce in modo da consentire di rilevare se i dati stessi siano stati successivamente modificati È una firma elettronica con alcune caratteristiche di sicurezza: non comporta l uso di una determinata tecnologia la norma, indifferente alle modalità, richiede il soddisfacimento di una serie di condizioni. Esempi: la firma tramite tablet la firma tramite OTP La firma elettronica avanzata non è un prodotto La firma elettronica avanzata è un processo

7 Firma digitale e qualificata 3. Firma elettronica qualificata Un particolare tipo di firma elettronica avanzata che sia basata su un certificato qualificato e realizzata mediante un dispositivo sicuro per la creazione della firma 4. Firma digitale Un particolare tipo di firma elettronica avanzata basata su un certificato qualificato e su un sistema di chiavi crittografiche, una pubblica e una privata, correlate tra loro, che consente al titolare tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l integrità di un documento informatico o di un insieme di documenti informatici

8 Efficacia probatoria e requisito forma scritta

9 Validità TIPOLOGIA DI FIRMA VALIDITA Firme Forti Firma elettronica avanzata Firma elettronica qualificata* Firma digitale* I documenti informatici sui quali sono apposte le firme in questione, hanno la medesima efficacia probatoria prevista dall art c.c. per la scrittura privata. Il firmatario, non può disconoscerne solo la sottoscrizione, ma sarà necessaria la querela di falso. Queste tipologie di firme garantiscono l identità dell autore e l integrità del documento firmato. Firme Deboli Firma elettronica semplice Queste tipologie consentono di ricondurre, in qualsiasi forma, dei dati elettronici ad un soggetto, ma non assicurano l integrità del documento stesso. Per tale motivo sono liberamente valutabili in giudizio, tenendo conto, caso per caso delle oggettive caratteristiche di qualità e sicurezza del documento. *l utilizzo del dispositivo di firma si presume riconducibile al titolare, salvo che questi dia prova contraria

10 d.l. 179 del 2012 Il documento informatico sottoscritto con firma elettronica avanzata, qualificata o digitale, formato nel rispetto delle regole tecniche ha l'efficacia prevista dall'articolo 2702 del codice civile. L'utilizzo del dispositivo di firma elettronica qualificata o digitale si presume riconducibile al titolare, salvo che questi dia prova contraria. Per il disconoscimento, dunque, del documento informatico con firma elettronica avanzata, la legge non fa piu' riferimento alla prova del mancato utilizzo del dispositivo di firma. 1 Le scritture private di cui all'articolo 1350, primo comma, numeri da 1 a 12, del codice civile, se fatte con documento informatico, sono sottoscritte, a pena di nullità, con firma elettronica qualificata o con firma digitale. Gli atti di cui all'articolo 1350, primo comma, numero 13, del codice civile soddisfano comunque il requisito della forma scritta se sottoscritti con firma elettronica avanzata, qualificata o digitale Idoneità del documento con firma elettronica avanzata a integrare il requisito della forma scritta di cui all art c.c. (es, contratti bancari, consenso privacy dati sensibili etc..).

11 Requisiti ed obblighi Regole tecniche prevedono una serie di requisiti/obblighi ai sensi degli artt La mancanza di uno dei requisiti (eccetto quello relativo all individuazione dell erogatore del servizio) incide sulla efficacia probatoria del documento sottoscritto con firma elettronica avanzata e sulla sua idoneità a soddisfare il requisito della forma scritta.

12 Limiti di uso La firma elettronica avanzata è utilizzabile limitatamente ai rapporti giuridici intercorrenti tra il sottoscrittore ed il soggetto che eroga la soluzione

13 Firma grafometrica e privacy Sottoscrizione autografa apposta su tablet informatico con una particolare penna Integrazione dell informativa sul trattamento di dati personali già fornita al sottoscrittore Consenso Notificazione al Garante per la protezione dei dati personali Adozione di specifiche misure di sicurezza

14 Provvedimento Garante

15 Provvedimento in tema di riconoscimento biometrico e firma grafometrica CODICE PRIVACY D.LGS. 196/03 PRINCIPI GERALI Necessità Liceità Finalità Proporzionalità ALLEGATO B - DISCIPLINARE TECNICO: TRATTAMTI CON STRUMTI ELETTRONICI SCHEMA DI PROVVEDIMTO E LINEE GUIDA IN TEMA DI RICONOSCIMTO BIOMETRICO E FIRMA GRAFOMETRICA Pubblicato in G.U. n. 118 del CONSULTAZIONE PER ACQUISIRE CONTRIBUTI (da inviare entro il gg. da pubblicazione in G.U.)

16 Adempimenti giuridici trattamento (linee guida) SE VALUTAZIONE POSITIVA IN RELAZIONE A PRINCIPI GERALI (liceità, proporzionalità, necessità e finalità) IL TITOLARE DEVE PORRE IN ESSERE I SEGUTI ADEMPIMTI (previsti da Codice Privacy) Informativa Notificazione Verifica preliminare PRIMA DELL INIZIO DEL TRATTAMTO FINALITA PERSEGUITA MODALITA DI TRATTAMTO (enunciando: cautele adottate, tempi di conservazione, eventuale centralizzazione dei dati) EVIDZA DELLA NATURA OBBLIGATORIA O FACOLTATIVA del trattamento al GARANTE ex artt. 37 co. 1, lett. a) e 38 del Codice ESCLUSA PER ALCUNI TRATTAMTI TRA CUI: SOTTOSCRIZIONE DI DOCUMTI INFORMATICI ex art. 17 del Codice Contesto e finalità perseguite Modalità di funzionamento del sistema Modalità di acquisizione utilizzo e archiviazione dati biometrici e durata loro eventuale conservazione Eventuali vantaggi per interessati Rischi individuati e accorgimenti tecnici e organizzativi per mitigarli

17 Esclusione prior checking VERIFICA PRELIMINARE ESCLUSA PER SOTTOSCRIZIONE DI DOCUMTI INFORMATICI SE RISPETTATE LE PRESCRIZIONI DELLO SCHEMA DI PROVVEDIMTO GARANTE PRIVACY MEDIANTE SOLUZIONI DI FIRMA ELETTRONICA AVANZATA DATI BIOMETRICI NON FUNZIONALI AL RICONOSCIMTO BIOMETRICO DI UN INDIVIDUO DATI BIOMETRICI INCORPORATIALL INTERNO DEL DOCUMTO SOTTOSCRITTO FIRMA GRAFOMETRICA SET di informazioni biometriche ASSOCIATO a documento informatico così da consentire ex post lo svolgimento di attività grafologiche da parte di un perito calligrafo sulla genuinità della sottoscrizione

18 Sottoscrizione documenti informatici TRATTAMTO DI DATI BIOMETRICI (informazioni dinamiche associate a apposizione di firma autografa) Ammesso SE UTILIZZATI SISTEMI DI FIRMA GRAFOMETRICA POSTI A BASE DI SOLUZIONE DI FEA come definita da D.Lgs.82/05 -CAD SOLUZIONI DI FEA GARANTISCONO MA SZA CONSERVAZIONE CTRALIZZATA DI DATI BIOMETRICI RAFFORZANO GARANZIE DI AUTTICITA, NON RIPUDIO E INTEGRITA DEI DOCUMTI INFORMATICI SOTTOSCRITTI (anche in vista di un eventuale contenzioso su disconoscimento della sottoscrizione) CONTRASTO A TTATIVI DI FRODE E FOMO FURTI DI IDTITA

19 Prescrizioni di esclusione prior checking 1/4 NO VERIFICA PRELIMINARE ex art. 17 Codice Privacy SE RISPETTATE LE SEGUTI PRESCRIZIONI E LIMITAZIONI: ABILITAZIONE DEL SERVIZIO DI FIRMA PREVIA IDTIFICAZIONE DEL FIRMATARIO DISPONIBILITA DI SERVIZI ALTERNATIVI DI SOTTOSCRIZIONE che non comportino utilizzo di dati biometrici CERTIFICAZIONE ISO/IEC 15408, livello EAL 1 o superiore per la soluzione di FEA CANCELLAZIONE IMMEDIATA, DOPO LA RACCOLTA E TRASFORMAZIONE IN MODELLI BIOMETRICI, dei dati biometrici grezzi e dei campioni biometrici

20 Prescrizioni di esclusione prior checking 2/4 MODELLI GRAFOMETRICI NON CONSERVATI, neanche per periodi limitati, SUI DISPOSITIVI HARDWARE per la raccolta in quanto MEMORIZZATI IN FORMA CIFRATA, all interno dei documenti informatici sottoscritti, tramite CRITTOGRAFIA A CHIAVE PUBBLICA Con CHIAVE PRIVATA In esclusiva disponibilita di SOGGETTO TERZO FIDUCIARIO TRASMISSIONE DI DATI BIOMETRICI tra sensori e dispositivi, postazioni informatiche e sistemi server ESCUSIVAMTE TRAMITE CANALI DI COMUNICAZIONE RESI SICURI con ausilio di tecniche crittografiche MISURE E ACCORGIMTI per contrastare RISCHI DI INSTALLAZIONE DI SOFTWARE E MODIFICA della configurazione delle postazioni informatiche e dei dispositivi se non autorizzati esplicitamente

21 Prescrizioni di esclusione prior checking 3/4 PROTEZIONE CONTRO MALWARE e ADOZIONE DI SISTEMI DI FIREWALL per protezione rete Per la FIRMA GRAFOMETRICA IN MOBILITA BYOD BringYour OwnDevice: SISTEMI DI GESTIONE DEI DISPOSITIVI MOBILI per isolare area di memoria dedicata a applicazione biometrica (riducendo rischi di malware) UTILIZZO DI CERTIFICAZIONI DIGITALI E POLICY DI SICUREZZA ACCESSO AL MODELLO GRAFOMETRICO ESCLUSIVAMTE TRAMITE UTILIZZO DELLA CHIAVE PRIVATA E SOLO QUANDO INDISPSABILE PER INSORGZA di CONTZIOSO su FIRMA

22 Prescrizioni di esclusione prior checking 4/4 ORGANIZZAZIONI DOTATE DI CERTIFICAZIONE DEL SISTEMA DI GESTIONE DELLA SICUREZZA DELLE INFORMAZIONI SGSI secondo lo standard ISO/IEC 27001:2005: INSERISCONO il sistema biometrico nel Sistema SGSI ORGANIZZAZIONI NON DOTATE DI CERTIFICAZIONE DEL SISTEMA DI GESTIONE DELLA SICUREZZA DELLE INFORMAZIONI SGSI secondo lo standard ISO/IEC 27001:2005: REDIGONO E MANTGONO AGGIORNATA UNA RELAZIONE su aspetti tecnici e organizzativi delle misure a tal fine adottate

23 Principali osservazioni Verifica preliminare: da facoltà ad obbligo in caso di mancato allineamento a prescrizioni dello schema di provvedimento Rapporto con d.p.c.m regole tecniche su firme (compresa fea): richieste certificazioni iso nello schema di provvedimento non previste da dpcm

24 eidas

25 Entrata in vigore Il regolamento eidas, regolamento europeo in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno è entrato in vigore il 17 settembre scorso (pubblicazione in gazzetta ufficiale) ed è direttamente applicabile in tutti gli Stati Membri UE, senza necessità di atti di recepimento. Il predetto regolamento si applica a decorrere dal 1 luglio 2016, ad eccezione delle disposizioni riportate nell art. 52 del regolamento. Abroga la direttiva 1999/93/CE non forniva un quadro transfrontaliero transettoriale completo per transazioni sicure ed affidali

26 Novità fondamentali Novità fondamentale lo strumenti giuridico utilizzato - regolamento Interoperabilità tecnica e giuridica tra gli strumenti di firma (un quadro tecnicogiuridico unico, omogeneo ed interoperabile) in ambito di firme elettroniche, sigilli elettronici, validazioni temporali elettroniche, documenti elettronici, nonché per i servizi di raccomandata elettronica ed i servizi di certificazione per Autenticazione web Il regolamento non muta il quadro giuridico relativo alla FEA (grande spazio rimane all autonomia contrattuale e dei privati).

27 Principi confermati In linea generale, il regolamento eidasnon si discosta in modo rilevante dalla disciplina giuridica già introdotta in Italia dal Codice dell Amministrazione Digitale (D.Lgs.7 marzo 2005, n. 82 s.m.i.). Principio di neutralità tecnologica rispetto alla forma elettronica di un documento,-> ad un documento elettronico non sono negati gli effetti giuridici e l ammissibilità come prova in procedimenti giudiziali per il solo motivo della sua forma elettronica (principio già introdotto attraverso la fattura elettronica). Ciò che conta per la valutazione del valore giuridico e della efficacia probatoria di un documento elettronico è il livello di certezza dell autenticità dell origine e dell integrità che il documento stesso è in grado di assicurare dalla sua emissione e per tutto il periodo di conservazione previsto

28 Ambiti di intervento: Identità digitale 1/2 Come accertare identità di una persona su internet????: es. per aprire un conto corrente bancario o inviare un istanza alla pubblica amministrazione o ancora partecipare ad una gara d appalto on line. Gli Stati membri hanno facoltà di notificare alla Commissione sistemi di identificazione che, una volta accettati dalla Commissione e pubblicati, devono essere riconosciuti da tutti gli Stati membri, a determinate condizioni. Negli schemi di identificazione deve esser precisato il livello di sicurezza per l identificazione: basso, medio, alto. Il livello di sicurezza dipende dal processo di identificazione e di verifica, dall attività svolta, dai controlli implementati anche sotto il profilo tecnologico. Sugli aspetti prettamente tecnologici dei sistemi di identificazione, il regolamento eidas non fornisce alcuna indicazione, ma lascia ad ogni paese la libertà di sviluppare il proprio sistema. Ogni paese membro avrà la facoltà di poter notificare all Unione Europea il proprio sistema, purché rispondente ai requisiti minimi definiti dal regolamento e conforme agli standard che ETSI e C definiranno.

29 Ambiti di intervento: Servizi fiduciari 2/2 Sigillo elettronico qualificato o avanzato, di cui potrà essere titolare una persona giuridica, e che dovrà fungere da prova dell emissione di un documento elettronico da parte di una determinata persona giuridica garantendo al documento stesso la certezza dell origine e l integrità del contenuto, o potrà servire anche per autenticare qualsiasi bene digitale della persona giuridica stessa, quali codici di software o server. Servizio elettronico di recapito certificato e/o qualificato un servizio che consente la trasmissione di dati fra terzi per via elettronica e fornisce prove relative al trattamento dei dati trasmessi, fra cui prove dell avvenuto invio e dell avvenuta ricezione dei dati, e protegge i dati trasmessi dal rischio di perdita, furto, danni o di modifiche non autorizzate.

30 Grazie per l attenzione.