Aspetti giuridici della sicureza della firma elettronica e delle smart cards
1. Premessa
L'ordinamento italiano disciplina
attualmente una pluralità di forme attraverso cui si può realizzare un
documento informatico ed attribuisce efficacia e rilevanza giuridica
differente ad ognuna di esse in funzione dell'utilizzo o meno di una
firma elettronica nonché in funzione del grado di sicurezza e protezione
che ciascuna è in grado di assicurare al titolare nonché ai terzi. In
altri termini si può dire che l'ordinamento italiano, dopo il
recepimento della Direttiva 1999/93/CE, riconosce efficacia giuridica ad
una pluralità di fenomeni informatici, attribuendo a ciascuno una
diversa rilevanza in funzione del grado di sicurezza garantito. Per
alcuni fenomeni giuridici l'efficacia giuridica è predeterminata dal
legislatore in presenza di determinati requisiti; per altri fenomeni
giuridici, viceversa, l'efficacia giuridica deve essere stabilita dal
giudice in funzione dei requisiti di qualità e sicurezza accertati dal
medesimo.
Posto quanto sopra risulta necessario condurre un
esame dettagliato delle caratteristiche di ciascuno dei componenti
necessari per realizzare una firma elettronica e procedere quindi, sulla
base della qualificazione giuridica che il nostro ordinamento
attribuisce a ciascuno di essi, alla determinazione del rilievo
giuridico attribuibile nel suo complesso alla firma elettronica
risultante. La diversa qualificazione giuridica di ciascun componente
concorre a determinare, infatti, l'efficacia attribuibile al risultato
finale, con una graduazione progressiva del rilievo giuridico
riconoscibile ai diversi fenomeni informatici oggetto di disciplina.
Al fine dell'indagine oggetto del presente documento risulta indispensabile una ricognizione del quadro normativo presente nel nostro ordinamento, frutto di una stratificazione di norme succedutesi nel tempo, talvolta in modo non lineare e coordinato, e soprattutto ispirate talvolta a principi differenti.
2. Quadro normativo di
riferimento
La Direttiva 1999/93/CE del Parlamento europeo
e del Consiglio relativa ad un quadro comunitario per le firme
elettroniche, approvata il 13 dicembre 1999 e pubblicata nella Gazzetta
Ufficiale delle C.E. n. L 13 del 19 gennaio 2000 (nel seguito: la
Direttiva), ha avuto un impatto significativo, e per certi versi
dirompente, sulla disciplina del documento informatico e della firma
elettronica presente nel nostro ordinamento.
Brevemente, vale
la pena di ricordare che la Direttiva era volta a determinare un quadro
di riferimento comune per agevolare l'uso delle firme elettroniche e
contribuire al loro riconoscimento giuridico, anche come mezzo di prova,
nei Paesi Membri, senza tuttavia entrare nel merito degli aspetti che
disciplinano la conclusione e la validità dei contratti e degli altri
obblighi giuridici, come disciplinati in ciascun Paese membro, anche in
riferimento a particolari requisiti di forma, né pregiudicare norme e
limiti che disciplinano l'uso dei documenti contenuti nel diritto
nazionale o comunitario di ciascun Paese membro.
La Direttiva
è stata recepita nel nostro ordinamento con il Decreto Legislativo 23
gennaio 2002, n. 10: "attuazione delle direttiva 1999/93/CE relativa ad
un quadro comunitario per le firme elettroniche" (nel seguito: il DLgs
10/2002) cui ha fatto seguito di recente l'emanazione del Decreto del
Presidente della Repubblica 7 aprile 2003, n. 137: "disposizioni di
coordinamento in materia di firme elettroniche a norma dell'art. 13 del
decreto legislativo 23 gennaio 2002, n. 10" (nel seguito: DPR 137/2003).
In effetti, l'ordinamento italiano già prevedeva, alla data
dell'approvazione della Direttiva, un quadro di riferimento piuttosto
completo in tema di documento informatico e firma digitale, frutto degli
interventi normativi precedenti che si erano completati nell'arco di un
biennio tra il 1997 ed il 1999.
La Legge 15 marzo 1997, n. 59
(1), in particolare il notissimo art. 15, comma 2, il DPR 10
novembre 1997, n. 513 (2)(nel seguito: DPR 513/97) ed il DPCM 8
febbraio 1999 (3)(nel seguito: Regole Tecniche) avevano
consentito di definire in modo compiuto strumenti, tecnologie, attori ed
effetti giuridici del documento informatico e della firma digitale. Tale
quadro risultava essere non solo completo ed armonico, ma anche uno dei
primi esempi di legislazione del diritto del ciberspazio a livello
europeo.
Come noto, il DPR 513/97 ha avuto una vita brevissima
dato che è stato quasi subito abrogato a seguito dell'emanazione del DPR
28 dicembre 2000 n. 445 (4)(nel seguito: Testo Unico), il quale
ha operato un coordinamento delle diverse disposizioni legislative e
regolamentari in tema di documentazione amministrativa, inclusa
l'attività di certificazione, documento informatico e firma digitale,
senza tuttavia modificare il quadro normativo precedente (salvo una
vistosa deroga in tema di forma ed efficacia del documento informatico
contenuta nell'art. 10 di cui si parlerà nel seguito).
Ora, mentre
l'ordinamento italiano giungeva a definire un quadro certo e definito
dei servizi di certificazione e della firma digitale il recepimento
della Direttiva irrompeva sulla scena europea ponendo un serio problema
di armonizzazione della disciplina preesistente con i diversi principi a
cui si ispirava il quadro comunitario.
Mentre il legislatore italiano aveva operato una scelta netta a
favore della crittografia a chiave pubblica (Hellmann e Diffide,
Stanford, 1978), prevedendo un unico tipo di firma (digitale), basata su
certificati rilasciati da certificatori iscritti nell'elenco pubblico
tenuto dall'AIPA, necessariamente in possesso di particolari requisiti
oggetto di verifica preventiva da parte di un organismo pubblico, il
legislatore comunitario operava scelte differenti, in particolare
ampliando il novero delle firme elettroniche possibili (adottando
addirittura un lessico differente da quello italiano) e liberalizzando
completamente l'attività di prestazione dei servizi di certificazione
pur stabilendo una serie di requisiti comuni.
Senza
dilungarsi troppo nelle ragioni di tali diverse scelte (fondamentalmente
dovute all'approccio anti-monopolistico che permea tutta la legislazione
comunitaria ed anche in virtù di un vistoso compromesso tra le istanze
di quei Paesi, soprattutto nordici, che avevano già scelto di adottare
firme cd. "leggere" e quelle dei Paesi, Italia, Spagna e Francia, che
viceversa avevano scelto di adottare firme cd. "pesanti" o "sicure")
alcuni dei principi più importati a cui la Direttiva si ispira, e che
determinano l'assetto normativo risultante, possono essere sintetizzati
come segue: i) approccio tecnologicamente neutro; ii) prestazione dei
servizi di certificazione non soggetta ad autorizzazione preventiva
alcuna e senza limitazione di numero; iii) accreditamento facoltativo
per i prestatori dei servizi di certificazione; iv) creazione di un
quadro comune per il riconoscimento legale delle firme elettroniche; v)
ammissibilità come mezzo di prova in giudizio; vi) coesistenza di una
duplice tipologia di firme: firme elettroniche e firme elettroniche
avanzate; vii) pieno rispetto della tutela dei dati personali; viii)
necessità di fare riferimento alle leggi dei singoli Paesi membri per
quanto riguarda la conclusione e la validità dei contratti e degli altri
atti giuridici; ix) libera circolazione dei servizi e dei dispositivi
all'interno della comunità ed apertura alla prestazione dei servizi,
sulla base del rispetto di condizioni analoghe, da parte di
certificatori stabiliti in paesi extraeuropei.
Il Dlgs 10/2002 è
intervenuto dunque, in attuazione degli obblighi comunitari a cui il
nostro Paese è soggetto, a modificare il nostro ordinamento al fine di
conformarlo ai principi contenuti nella Direttiva. In particolare, esso
ha modificato in parte il DPR 445/2000 ove risultava necessario, ed in
parte ha introdotto nel nostro ordinamento nuove disposizioni. Come
detto, al fine del completo recepimento della Direttiva si è reso
necessario emanare un secondo provvedimento, il DPR 137/2003, il quale
ha apportato ulteriori modifiche al DPR 445/2000.
Ad oggi le
norme in tema di documento informatico e firma elettronica (5)(nonché
prestazione di servizi di certificazione) sono costituire di conseguenza
dal DPR 445/2000, come risulta modificato dai due provvedimenti citati
di recepimento della Direttiva, nonché da alcune disposizioni dello
stesso DLgs 20/2002 che godono di efficacia autonoma e non sono
intervenute a modifica del Testo Unico.
É previsto che le
regole tecniche allegate al DPCM 8 febbraio 1999, tuttora in vigore
(6), vengano abrogate e sostituite da nuove regole tecniche, da
emanare con apposito Decreto del Presidente del Consiglio dei Ministri
(DPCM) al fine di tenere conto delle novità introdotte nel nostro
ordinamento a seguito del recepimento della Direttiva. Organo deputato
alla predisposizione delle nuove regole tecniche, alla luce dell'art. 3
del DPR 137/2003 (che modifica l'art. 9 del DPR 445/2000) è la
Presidenza del Consiglio dei Ministri - Dipartimento per l'innovazione e
le tecnologie, d'intesa con il Dipartimento della funzione pubblica ed
il Ministero per i beni e le attività culturali, sentito il Garante per
la protezione dei dati personali e, per il materiale classificato
d'intesa con le Amministrazioni della difesa, dell'interno e
dell'economia e delle finanze, rispettivamente competenti.
Come si nota agevolmente, si tratta di una situazione a dir poco ingarbugliata, che richiede ai giuristi un grande sforzo di coordinamento nella consultazione dei testi normativi rilevanti, dato che non esiste ad oggi un testo coordinato ufficiale di tutte le norme in tema di documento informatico e firma elettronica. Per questo motivo il Governo è stato delegato, con la Legge di Semplificazione 2003 (7), ad adottare, entro diciotto mesi dall'entrata in vigore della legge, uno o più decreti legislativi, per il coordinamento e il riassetto delle disposizioni vigenti in materia di società dell'informazione, tra cui anche le norme in esame.
Come anzidetto, al fine di determinare
con esattezza il rilievo giuridico attribuibile ai diversi fenomeni
giuridici possibili a seguito dell'utilizzo di certificati elettronici e
delle smart cards occorre ora analizzare i singoli elementi
costitutivi, in particolare i requisiti di sicurezza che ciascuno di
essi presenta. Come vedremo, in funzione del diverso e crescente livello
di sicurezza che risulterà dalla loro combinazione deriveranno effetti
giuridici differenti e via via crescenti.
Al riguardo occorre
concentrare la nostra attenzione principalmente sui seguenti elementi:
i) Certificato elettronico; ii) Certificatore; iii) Dati per la
creazione e per la verifica di firma; iv)
Dispositivo per la creazione di firma; e valutare le caratteristiche di
ciascuno di essi
3. Elementi costitutivi delle firme
elettroniche
3.1 Certificati
I
certificati sono documenti elettronici rilasciati dai certificatori che
riassumono, in buona sostanza, i dati identificativi del titolare e
contengono una serie variabile di informazioni atte a consentire
principalmente di rendere noto il soggetto che li ha emessi e le
modalità per la verifica di validità del certificato.
Più
precisamente, in funzione del loro contenuto, secondo la definizione
data dall'art. 1 del DPR 137/2003, essi si possono distinguere in:
"elettronici": ai sensi dell'articolo 2, comma 1, lettera d), del
decreto legislativo 23 gennaio 2002, n. 10, gli attestati elettronici
che collegano i dati utilizzati per verificare le firme elettroniche ai
titolari e confermano l'identità dei titolari stessi;
"qualificati": ai sensi dell'articolo 2, comma 1, lettera e), del
decreto legislativo 23 gennaio 2002, n. 10, certificati elettronici
conformi ai requisiti indicati dall'All. I della Direttiva rilasciati da
certificatori che rispondono ai requisiti dell'All. II della medesima
Direttiva.
Come evidente esiste una duplice possibilità: la
prima non strutturata, che lascia quindi ampia libertà di scelta nei
contenuti al certificatore. La seconda, più strutturata, maggiormente
rivolta a garantire un livello di qualità delle informazioni fornire e
quindi più adatta a garantire sicurezza nell'utilizzo. La differenza tra
le due tipologie di certificati è importante, in quanto solo la
tipologia "certificato qualificato" è in grado, se combinata
opportunamente con altri presupposti, di garantire il massimo livello di
efficacia di una firma elettronica.
In particolare, ad
evidenti fini di sicurezza, la struttura del contenuto dei certificati
qualificati è determinata dall'art. 27 del DPR 445/2000 (come modificato
dal DPR 137/2003), il quale prevede specificamente che certificati
qualificati devono contenere almeno le seguenti informazioni:
a) indicazione che il certificato elettronico rilasciato è un
certificato qualificato;
b) numero di serie o altro
codice identificativo del certificato;
c) nome, ragione
o denominazione sociale del certificatore e lo Stato nel quale è
stabilito;
d) nome, cognome e codice fiscale del
titolare del certificato o uno pseudonimo chiaramente identificato come
tale;
e) dati per la verifica della firma
corrispondenti ai dati per la creazione della stessa in possesso del
titolare;
f) indicazione del termine iniziale e finale
del periodo di validità del certificato;
g) firma
elettronica avanzata del certificatore che ha rilasciato il certificato.
Dunque un certificato potrà dirsi qualificato qualora presenti una
struttura che contenga almeno i contenuti sopra indicati. Eventuali
deviazioni da tale contenuto minimo determinerebbero la perdita della
qualità di certificato qualificato, con le conseguenze in termini di
rilievo giuridico che vedremo appresso.
Nell'ambito dei
certificati qualificati, ai sensi dell'art. 28-bis, comma 3, del DPR
445/2000 (come modificato dal DLgs 10/2002) è data facoltà ai
certificatori di indicare determinati limiti d'uso e/o di valore. Si
tratta di una facoltà importante: nel caso in cui il certificato venga
utilizzato eccedendo i limiti indicati, purché chiaramente riconoscibili
dai terzi, si determina l'esenzione da responsabilità del certificatore
in caso danno. Da notare che la portata giuridica di questa norma
riguarda solo i certificatori e non i soggetti titolari. Nel caso di
smarrimento o furto del dispositivo di firma, non si ritiene che simili
indicazioni siano idonee ad assicurare al titolare una protezione contro
utilizzi illeciti: una eventuale sottoscrizione eccedente i limiti
indicati e antecedente alla richiesta di revoca del certificato
risulterebbe pienamente efficace, se non disconosciuta dal titolare
(mediante querela di falso).
Ai sensi dell'art. 27-bis del DPR
445/2000 (come modificato dal DPR 137/2003), sempre in tema di
indicazioni di sicurezza, e possibile inserire nei certificati: le
qualifiche specifiche del titolare, quali l'appartenenza ad ordini o
collegi professionali, l'iscrizione ad albi o il possesso di altre
abilitazioni professionali, nonché poteri di rappresentanza. Si tratta
di una facoltà molto importante, la cui natura giuridica non è ancora
stata approfondita sufficientemente. In particolare, sembrerebbe di
poter affermare che tali indicazioni dovrebbero avere mera funzione di
notizia, senza tuttavia far venire meno il regime di pubblicità-notizia
previsto dalle leggi ordinarie del nostro ordinamento.
Da
ultimo va osservato che, sempre ai sensi dell'art. 27-bis del DPR
445/2000, in luogo della reale identità del titolare è possibile
indicare uno "pseudonimo", a condizione che sia chiaramente indcato come
tale. In tal caso, ai sensi dell'art. 29-ter del DPR 445/2000, sorge
l'obbligo di conservazione decennale delle informazioni sulla reale
identità a carico del certificatore (8).
In tema di
sicurezza nell'utilizzo dei certificati, due disposizioni cardine
completano la normativa:
1. ai sensi dell'art. 23 del DPR
445/2000 (come modificato dal DPR 137/2003), l'apposizione ad un
documento informatico di una firma elettronica basata su un certificato
elettronico revocato, scaduto o sospeso equivale a mancata
sottoscrizione.
2. La revoca o la sospensione, comunque
motivate, hanno effetto dal momento della pubblicazione, salvo che il
revocante, o chi richiede la sospensione, non dimostri che essa era già
a conoscenza di tutte le parti interessate.
Mentre l'art.
29-bis del DPR 445/2000 determina un onere particolare a carico dei
certificatori stabilendo che il certificatore è tenuto a "procedere alla
pubblicazione della revoca e della sospensione del certificato
elettronico in caso di richiesta da parte del titolare o del terzo dal
quale derivino i poteri di quest'ultimo, di perdita del possesso della
chiave, di provvedimento dell'autorità, di acquisizione della conoscenza
di cause limitative della capacità del titolare, di sospetti abusi o
falsificazioni".
3.2 Certificatori e prestazione dei
servizi di certificazione
I certificatori vengono definiti
dal D.lgs. 10/2002 quali soggetti pubblici o privati che svolgono
"servizi di certificazione delle firme elettroniche o forniscono altri
servizi ad esse connessi; rilasciano, revocano o sospendono i
certificati".
Ad essi è attribuita la possibilità di svolgere i cd. "servizi connessi"
al servizio di certificazione, tra cui si individuano, ai sensi di
quanto stabilito dalla Direttiva: immatricolazione; o(a)pposizione del
giorno e dell'ora (validazione temporale); repertorizzazione; servizi
informatici o di consulenza relativi alle firme elettroniche.
In base all'art 3 del D.lgs. 10/2002, ed in ottemperanza ad un principio
generale introdotto dalla Direttiva, la prestazione dei servizi di
certificazione è libera e non è subordinata ad autorizzazione
preventiva; nemmeno il numero dei certificatori può essere limitato.
Poiché la direttiva ammette (e per certi versi incoraggia) la creazione
di sistemi di accreditamento come strumento per il miglioramento del
livello di servizio ed accrescere la fiducia degli utilizzatori dei
servizi, e più in generale la sicurezza e qualità dei medesimi servizi,
e stabilisce un generale principio di libertà di adesione per quei
certificatori che ritengono di trarne vantaggio, il D.Lgs. 10/2002 ha
introdotto con l'art. 5 la possibilità, per i certificatori che lo
ritengono, di ottenere il riconoscimento del più elevato livello in
termini di qualità e sicurezza.
In particolare, in base
all'art. 1 del DPR 445/2000 (come modificato dal DPR 137/2003), i
certificatori si dividono ora in
- CERTIFICATORE ai sensi
dell'articolo 2, comma 1, lettera b), del decreto legislativo 23 gennaio
2002, n. 10, il soggetto che presta servizi di certificazione delle
firme elettroniche o che fornisce altri servizi connessi con queste
ultime;
- CERTIFICATORE QUALIFICATO il certificatore che
rilascia al pubblico certificati elettronici conformi ai requisiti
indicati nel DPR 445/2000 e nelle regole tecniche di cui all'articolo 8,
comma 2 del medesimo Testo Unico;
- CERTIFICATORE ACCREDITATO
ai sensi dell'articolo 2, comma 1, lettera c), del decreto legislativo
23 gennaio 2002, n. 10, il certificatore accreditato in Italia ovvero in
altri Stati membri dell'Unione europea ai sensi dell'articolo 3,
paragrafo 2, della direttiva n. 1999/93/CE, nonché ai sensi del DPR
445/2000;
Per quanto riguarda i requisiti richiesti,
l'articolo 26 del DPR 445/2000 (come modificato dal DPR 137/2003)
stabilisce ora che i "certificatori o, se persone giuridiche, i loro
legali rappresentanti ed i soggetti preposti all'amministrazione, devono
possedere i requisiti di onorabilità richiesti ai soggetti che svolgono
funzioni di amministrazione, direzione e controllo presso le banche di
cui all'articolo 26 del testo unico delle leggi in materia bancaria e
creditizia, approvato con decreto legislativo 1° settembre 1993, n.
385."
L'eventuale accertamento successivo dell'assenza o
del venir meno dei requisiti di cui al comma 1 comporta il divieto di
prosecuzione dell'attività intrapresa.
Da notare che ai
certificatori qualificati e ai certificatori accreditati che hanno sede
stabile in altri Stati membri dell'Unione europea non si applicano le
norme del DPR 445/2000 e le relative norme tecniche di cui all'articolo
8, comma 2, del medesimo Testo Unico e si applicano in sostituzione le
rispettive norme di recepimento della direttiva 1999/93/CE.
Con riferimento specifico ai Certificatori qualificati l'articolo 27 del
DPR 445/2000 prevede che essi debbano inoltre:
a)
dimostrare l'affidabilità organizzativa, tecnica e finanziaria
necessaria per svolgere attività di certificazione;
b)
impiegare personale dotato delle conoscenze specifiche, dell'esperienza
e delle competenze necessarie per i servizi forniti, in particolare
della competenza a livello gestionale, della conoscenza specifica nel
settore della tecnologia delle firme elettroniche e della dimestichezza
con procedure di sicurezza appropriate, e che sia in grado di rispettare
le norme del presente testo unico e le regole tecniche di cui
all'articolo 8, comma 2;
c) applicare procedure e
metodi amministrativi e di gestione adeguati e tecniche consolidate;
d) utilizzare sistemi affidabili e prodotti di firma protetti da
alterazioni e che garantiscano la sicurezza tecnica e crittografica dei
procedimenti, in conformità a criteri di sicurezza riconosciuti in
ambito europeo e internazionale e certificati ai sensi dello schema
nazionale di cui all'articolo 10, comma 1, del decreto legislativo 23
gennaio 2002, n. 10;
e) adottare adeguate misure contro
la contraffazione dei certificati, idonee anche a garantire la
riservatezza, l'integrità e la sicurezza nella generazione delle chiavi,
nei casi in cui il certificatore generi tali chiavi.
I
certificatori cd. "accreditati" sono dunque soggetti che emettono
certificati qualificati e che hanno ottenuto il riconoscimento del
possesso dei requisiti del livello più elevato in termini di qualità e
sicurezza, nonché in ordine alla solidità finanziaria ed alla
onorabilità; sono soggetti a controllo preventivo prima
dell'accreditamento nonché a "vigilanza" da parte del Dipartimento per
l'innovazione e le tecnologie (Presidenza del Consiglio dei Ministri),
anche tramite strutture delegate.
I certificatori cd. "notificati"
sono invece tutti i soggetti che, pur emettendo certificati qualificati,
non presentano i più elevati requisiti di sicurezza e qualità, anche
tecnica ed economica, che caratterizzano i certificatori accreditati;
come detto, essi devono, prima dell'inizio della loro attività,
effettuare idonea comunicazione al Dipartimento per l'innovazione e la
tecnologia e sono soggetti a "vigilanza" da parte dello stesso
Dipartimento.
Il D.lgs. 10/2002 precisa che i certificatori
che, alla data dell'entrata in vigore del decreto, erano iscritti
nell'elenco pubblico prima gestito dall'AIPA, risultano iscritti
d'ufficio nell'elenco dei certificatori accreditati presso il
Dipartimento per l'innovazione e le tecnologie (Presidenza del Consiglio
dei Ministri) ed inoltre che i documenti sottoscritti con firma digitale
rilasciata da certificatori (già) iscritti nell'elenco pubblico tenuto
dall'AIPA mantengono validità ed efficacia (per certi versi addirittura
maggiorata come vedremo).
Ulteriori norme precisano, sempre a
fini di massima tutela dell'affidamento dei terzi, quale deve essere
l'attività, e la diligenza dei certificatori, nell'esercizio della loro
attività, ed in particolare nell'identificazione dei titolari al fine
del rilascio dei certificati.
Una delle preoccupazioni
maggiori della Direttiva è stata quella di stabilire un chiaro regime di
responsabilità a carico dei certificatori qualificati, forse alla luce
di qualche esperienza nordamericana dove si era assistito
all'introduzione di fortissime limitazioni di responsabilità patrizie ad
opera degli stessi certificatori.
Stabilisce l'art. 28-bis del
DPR 445/2000 (come modificato dal Dlgs 10/2002) in tema di
responsabilità del certificatore che.
1. Il certificatore che
rilascia al pubblico un certificato qualificato o che garantisce al
pubblico l'affidabilità del certificato è responsabile, se non prova
d'aver agito senza colpa, del danno cagionato a chi abbia fatto
ragionevole affidamento:
a) sull'esattezza delle informazioni
in esso contenute alla data del rilascio e sulla loro completezza
rispetto ai requisiti fissati per i certificati qualificati;
b) sulla garanzia che al momento del rilascio del certificato il
firmatario detenesse i dati per la creazione della firma corrispondenti
ai dati per la verifica della firma riportati o identificati nel
certificato;
c) sulla garanzia che i dati per la creazione e
per la verifica della firma possano essere usati in modo complementare,
nei casi in cui il certificatore generi entrambi.
2. Il
certificatore che rilascia al pubblico un certificato qualificato è
responsabile, nei confronti dei terzi che facciano ragionevole
affidamento sul certificato stesso, dei danni provocati per effetto
della mancata registrazione della revoca o sospensione del certificato,
salvo che provi d'aver agito senza colpa.
Sempre in tema di
sicurezza il quadro normativo viene completato dalle disposizioni
dell'art. 29-bis del DPR 445/2000 (modificato anch'esso dal DPR
137/2003)
La norma appare interessante in quanto al primo
comma stabilisce un principio fondamentale di prudenza e sicurezza, sia
a carico del titolare, sia a carico del certificatore. In particolare
viene stabilito che: "Il titolare ed il certificatore sono tenuti ad
adottare tutte le misure organizzative e tecniche idonee ad evitare
danno ad altri.".
La norma appare interessante in quanto attribuisce a carico di entrambe
le parti oneri di tutela e protezione dei certificati e dei dati per la
creazione e per la verifica di firma.
La norma si completa
con una serie di disposizioni specifiche, contenute nel secondo comma,
rivolte esclusivamente ai certificatori, laddove si stabilisce che "Il
certificatore che rilascia, ai sensi dell'articolo 27, certificati
qualificati è tenuto inoltre a:
a) identificare con
certezza la persona che fa richiesta della certificazione;
b) rilasciare e rendere pubblico il certificato elettronico nei modi e
nei casi stabiliti dalle regole tecniche di cui all'articolo 8, comma 2,
nel rispetto della legge 31 dicembre 1996, n. 675, e successive
modificazioni;
c) specificare, nel certificato
qualificato su richiesta dell'istante, e con il consenso del terzo
interessato, i poteri di rappresentanza o di altri titoli relativi
all'attività professionale o a cariche rivestite, previa verifica della
sussistenza degli stessi;
d) attenersi alle regole
tecniche di cui all'articolo 8, comma 2;
e) informare i
richiedenti in modo compiuto e chiaro, sulla procedura di certificazione
e sui necessari requisiti tecnici per accedervi e sulle caratteristiche
e sulle limitazioni d'uso delle firme emesse sulla base del servizio di
certificazione;
f) adottare le misure di sicurezza per
il trattamento dei dati personali, ai sensi dell'articolo 15, comma 2,
della legge 31 dicembre 1996, n. 675;
g) non rendersi
depositario di dati per la creazione della firma del titolare;
h) procedere alla pubblicazione della revoca e della sospensione del
certificato elettronico in caso di richiesta da parte del titolare o del
terzo dal quale derivino i poteri di quest'ultimo, di perdita del
possesso della chiave, di provvedimento dell'autorità, di acquisizione
della conoscenza di cause limitative della capacità del titolare, di
sospetti abusi o falsificazioni;
i) garantire il
funzionamento efficiente, puntuale e sicuro dei servizi di elencazione,
nonché garantire un servizio di revoca e sospensione dei certificati
elettronici sicuro e tempestivo;
l) assicurare la
precisa determinazione della data e dell'ora di rilascio, di revoca e di
sospensione dei certificati elettronici;
m) tenere
registrazione, anche elettronica, di tutte le informazioni relative al
certificato qualificato per dieci anni in particolare al fine di fornire
prova della certificazione in eventuali procedimenti giudiziari;
n) non copiare, nè conservare le chiavi private di firma del soggetto
cui il certificatore ha fornito il servizio di certificazione;
o) predisporre su mezzi di comunicazione durevoli tutte le informazioni
utili ai soggetti che richiedono il servizio di certificazione, tra cui
in particolare gli esatti termini e condizioni relative all'uso del
certificato, compresa ogni limitazione dell'uso, l'esistenza di un
sistema di accreditamento facoltativo e le procedure di reclamo e di
risoluzione delle controversie; dette informazioni, che possono essere
trasmesse elettronicamente, devono essere scritte in linguaggio chiaro
ed essere fornite prima dell'accordo tra il richiedente il servizio ed
il certificatore;
p) utilizzare sistemi affidabili per
la gestione del registro dei certificati con modalità tali da garantire
che soltanto le persone autorizzate possano effettuare inserimenti e
modifiche, che l'autenticità delle informazioni sia verificabile, che i
certificati siano accessibili alla consultazione del pubblico soltanto
nei casi consentiti dal titolare del certificato e che l'operatore possa
rendersi conto di qualsiasi evento che comprometta i requisiti di
sicurezza. Su richiesta, elementi pertinenti delle informazioni possono
essere resi accessibili a terzi che facciano affidamento sul
certificato.
Non sono previste regole particolari per i
certificatori che emettono certificati non qualificati.
Come si nota,
anche con riferimento ai certificatori il legislatore italiano ha
stabilito un principio generale di libertà di forme e di requisiti,
salvo stabilire requisiti particolari per i certificatori qualificati e
più ancora accreditati, attribuendo ai certificati emessi da tali
soggetti una valenza particolare.
Dunque anche in questo caso occorre avere riguardo alla natura e qualità dei soggetti che agiscono al fine del rilascio di un certificato. É sin troppo intuitivo osservare come la differenza tra le varie tipologie di certificatori sia costituita dai requisiti di qualità e sicurezza. In particolare, per i certificatori accreditati, il legislatore precisa che la procedura preventiva a cui vengono sottoposti consiste appunto nell'accertamento del più elevato livello di qualità e sicurezza. Appresso constateremo, come la diversa qualificazione di un certificatore, come già abbiamo visto per i certificati, è in grado di determinare un diverso rilievo giuridico dei documenti che vengono sottoscritti con firme elettroniche basate su certificati rilasciati da tali certificatori.
3.3
Dispositivo sicuro per la creazione di firma e dispositivo per la
verifica di firma
Per firmare elettronicamente un
documento é necessario munirsi di un dispositivo per la creazione di
firma. Il DPR 137/2003, in particolare, ha introdotto, anche in questo
caso come nei precedenti, sulla scorta di quanto previsto dalla
Direttiva, una sostanziale differenziazione nella tipologia di
dispositivi sulla base della natura del livello di sicurezza garantito
da ciascuno, distinguendo tra:
- DISPOSITIVO PER LA CREAZIONE
DELLA FIRMA, definito come il programma informatico adeguatamente
configurato (software) o l'apparato strumentale (hardware) usati per la
creazione della firma elettronica;
- DISPOSITIVO SICURO PER
LA CREAZIONE DELLA FIRMA ai sensi dell'articolo 2, comma 1, lettera f),
del decreto legislativo 23 gennaio 2002, n. 10, definito come l'apparato
strumentale usato per la creazione della firma elettronica, rispondente
ai requisiti di cui all'articolo 10 del citato decreto n. 10 del 2002,
nonché del DPR 445/2000;
Per dispositivo sicuro per la
creazione di una firma si intende dunque, sulla base di quanto stabilito
dall'art. 29-sexies del DPR 44572000 (come modificato dal DPR 137/2003)
e sulla base di quanto stabilito dall'Allegato III della Direttiva, un
apparato strumentale, utilizzato per la creazione di una firma
elettronica, il quale garantisca, unitamente alle procedure utilizzate
per la generazione delle firme, che la chiave privata:
"a) sia riservata; b) non possa essere derivata e che la relativa firma sia
protetta da contraffazioni; c) possa essere sufficientemente protetta
dal titolare dall'uso da parte di terzi". Il dispositivo sicuro deve
inoltre garantire l'integrità dei dati elettronici a cui la firma si
riferisce.
L'art. 10 del D.lgs. 10/2002 introduce interessanti
novità per quanto riguarda la verifica di conformità dei dispositivi
sicuri introducendo un nuovo organismo espressamente deputato a ciò.
Esso stabilisce infatti che "La conformità dei dispositivi per la
creazione di una firma sicura ai requisiti prescritti dall'allegato III
della direttiva 1999/93/CE è accertata, in Italia, in base allo schema
nazionale per la valutazione e certificazione di sicurezza nel settore
della tecnologia dell'informazione …" Tra le varie cose si precisa
che "Lo schema nazionale può prevedere altresì la valutazione e la
certificazione relativamente ad ulteriori criteri europei ed
internazionali, anche riguardanti altri sistemi e prodotti afferenti al
settore suddetto".
Infine, in ottica di apertura dei
mercati, il comma 3 stabilisce che "La conformità dei dispositivi per
la creazione di una firma sicura ai requisiti prescritti dall'allegato
III della direttiva 1999/93/CE è inoltre riconosciuta se certificata da
un organismo all'uopo designato da un altro Stato membro e notificato ai
sensi dell'articolo 11, paragrafo 1, lettera b), della direttiva stessa".
La valutazione e la certificazione possono avvenire anche con
riferimento ad ulteriori criteri europei ed internazionali, anche
riguardanti altri sistemi e prodotti.
Come si nota, il
recepimento della Direttiva nel nostro ordinamento ha comportato
l'adozione di una metodologia oggettiva di valutazione dei requisiti di
sicurezza dei dispositivi per la creazione di firma, attribuendo la
competenza ad uno specifico organismo a ciò deputato. Nelle more della
creazione di tale organismo vige un regime transitorio di
autocertificazione, secondo quanto stabilito dall'art. 63 delle Regole
Tecniche (ormai scaduto in quanto non più prorogato) (9).
Proseguendo nella bipartizione sistematica che ci ha accompagnato sin
qui, notiamo come anche in tema di dispositivo il legislatore opera una
netta distinzione: in presenza di un dispositivo sicuro, vedremo,
conseguirà un determinato rilievo giuridico della sottoscrizione
elettronica; diversamente il rilievo sarà diverso e grandemente
inferiore.
Ai sensi dell'art. 1 del DPR 445/2000, per
dispositivo di verifica della firma si intende ora il programma
informatico (software) adeguatamente configurato o l'apparato
strumentale (hardware) usati per effettuare la verifica della firma
elettronica;
Quanto alle chiavi crittografiche si distingue
tra: dati per la creazione di una firma digitale e dati per la
verificazione di una firma digitale. L'adozione di un lessico nuovo non
deve sorprendere in quanto dovuta al cd. approccio tecnologicamente
neutro della Direttiva. Il quadro normativo della Direttiva in effetti
si basa su categorie generali che prescindono da qualunque possibile
tecnologia impiegata, e si aprono anche a possibili tecnologie future.
Nel caso di crittografia a chiave pubblica i dati per la creazione di
firma corrispondono alla cd. chiave privata, mentre i dati per la
verifica di firma corrispondono alla cd. chiave pubblica.
Prima di affrontare i diversi tipi di firma possibili in base al DPR
445/2000 come modificato dal D.lgs. 10/2002, e la relativa efficacia,
conviene tenere a mente che gli elementi costitutivi di una firma
elettronica sono dunque: un certificato qualificato (o meno) rilasciato
da certificatore che emette certificati qualificati (o meno), i dati per
la creazione e per la verifica di firma, il dispositivo sicuro (o meno)
per la creazione di firma. Sulla base della diversa combinazione di
tutti questi elementi è possibile stabilire la tipologia di firma
elettronica creata e conseguentemente l'efficacia giuridica attribuibile
(o meglio che gli può essere riconosciuta anche in giudizio).
4. Firma elettronica e firma elettronica avanzata
4.1
classificazione delle varie tipologie
A differenza di
quanto originariamente stabilito a mezzo del DPR 513/1997, che prevedeva
un unico tipo di firma riconosciuta, pienamente efficace anche come
mezzo di prova (la firma digitale), in base a quanto previsto dal D.lgs
10/2002, si distingue ora tra:
a) Firma elettronica,
definita come "l'insieme dei dati in forma elettronica, allegati
oppure connessi tramite associazione logica ad altri dati elettronici,
utilizzati come metodo di autenticazione";
e,
b) Firma elettronica avanzata, definita come "la
firma elettronica ottenuta attraverso una procedura informatica che
garantisce la connessione univoca al firmatario e la sua univoca
identificazione, creata con mezzi sui quali il firmatario può conservare
un controllo esclusivo e collegata ai dati ai quali si riferisce in modo
da consentire di rilevare se i dati stessi siano stati successivamente
modificati".
Tale originaria distinzione concepita nella
Direttiva ha subito un processo di recepimento nel nostro ordinamento
problematico in quanto non coincide perfettamente con le definizioni
introdotte con il DPR 137/2003.
Probabilmente per ragioni
sistematiche, il DPR 137/2003 introduce infatti all'art. Art. 1
"Modifiche all'articolo 1 del decreto del Presidente della Repubblica 28
dicembre 2000, n. 445" una tripartizione come segue:
-
FIRMA ELETTRONICA
ai sensi dell'articolo 2, comma 1, lettera a), del decreto legislativo
23 gennaio 2002, n. 10, l'insieme dei dati in forma elettronica,
allegati oppure connessi tramite associazione logica ad altri dati
elettronici, utilizzati come metodo di autentificazione informatica;
- FIRMA ELETTRONICA AVANZATA ai sensi dell'articolo 2, comma 1,
lettera g), del decreto legislativo 23 gennaio 2002, n. 10, la firma
elettronica ottenuta attraverso una procedura informatica che garantisce
la connessione univoca al firmatario e la sua univoca identificazione,
creata con mezzi sui quali il firmatario può conservare un controllo
esclusivo e collegata ai dati ai quali si riferisce in modo da
consentire di rilevare se i dati stessi siano stati successivamente
modificati;
- FIRMA ELETTRONICA QUALIFICATA la firma
elettronica avanzata che sia basata su un certificato qualificato e
creata mediante un dispositivo sicuro per la creazione della firma;
mente la FIRMA DIGITALE viene definita come
- un
particolare tipo di firma elettronica qualificata basata su un
sistema di chiavi asimmetriche a coppia, una pubblica e una privata, che
consente al titolare tramite la chiave privata e al destinatario tramite
la chiave pubblica, rispettivamente, di rendere manifesta e di
verificare la provenienza e l'integrità di un documento informatico o di
un insieme di documenti informatici. In questo caso, come evidente, si è
preferito mantenere la definizione originaria, che a sommesso avviso di
chi scrive, rimane sempre la miglior definizione che è capitato di
incontrare.
Sulla base di quanto sopra esposto risulta
evidente che nel nostro ordinamento si opera una grande distinzione tra
firme elettroniche e firme elettroniche avanzate, sulla base dei
requisiti sopra illustrati.
Inoltre, si può tentare di classificare
le firme elettroniche avanzate in funzione delle caratteristiche del
certificato (qualificato o meno); del certificatore (qualificato o meno)
e del dispositivo per la creazione di firma (sicuro o meno), secondo le
seguenti possibili combinazioni:
- firme elettroniche avanzate basate su di un certificato qualificato;
- firme elettroniche avanzate basate su di un certificato qualificato
rilasciato da un certificatore che emette certificati qualificati;
- firme elettroniche avanzate basate su di un certificato qualificato
rilasciato da un certificatore che emette certificati qualificati, e
create mediante un dispositivo sicuro per la creazione di firma (che
corrisponde alla FIRMA ELETTRONICA QUALIFICATA);
- firme
elettroniche qualificate mediante certificato rilasciato da un
certificatore accreditato;
Come sopra evidenziato, le diverse
caratteristiche di qualità e sicurezza degli elementi costitutivi
conducono ad una diversa classificazione delle forme possibili delle
firme elettroniche. É giunto ora il momento di illustrare gli effetti
giuridici riconosciuti quale conseguenza della sottoscrizione di un
documento informatico con una delle firme sopra illustrate.
4.2 Effetti giuridici del documento informatico e utilizzabilità come
mezzo di prova
Per quanto riguarda gli effetti giuridici,
si registrano importanti novità introdotte dal D.lgs, 10/2002 che ha
significativamente modificato l'art. 10 del DPR 445/2000.
In
sintesi:
- il documento informatico non firmato
elettronicamente é considerato, a livello di prova in giudizio, una
"riproduzione meccanica" che prova i fatti e/o le cose che contiene, nei
limiti in cui gli stessi non siano disconosciuti da colui contro il
quale sono prodotti (art. 2712 cod. civ.);
- il documento
informatico sottoscritto con firma elettronica (semplice), é considerato
come un documento in forma scritta che sul piano probatorio è
liberamente valutabile, tenuto conto delle sue caratteristiche oggettive
di qualità e sicurezza;
- il documento informatico
sottoscritto con firma elettronica (semplice), soddisfa l'obbligo
previsto dagli artt. 2214 e segg. del cod. civ. e da ogni altra analoga
disposizione in tema di conservazione dei libri e delle scritture
contabili;
gli obblighi fiscali relativi ai documenti informatici ed
allo loro riproduzione su diversi tipi di supporto sono assolti secondo
le modalità definite con decreto del Ministro dell'economia e delle
finanze (ad oggi non ancora emanato);
- il documento
informatico sottoscritto con firma elettronica avanzata o con firma
digitale, creata tramite un dispositivo sicuro per la creazione di
firma, basata su di un certificato qualificato, vale come una scrittura
privata e fa piena prova fino a querela di falso.
- al
documento informatico, sottoscritto con firma elettronica, non può
essere negata rilevanza giuridica, né ammissibilità come mezzo di prova,
unicamente a causa del fatto che è sottoscritto in forma elettronica,
ovvero in quanto la firma non è basata su di un certificato qualificato,
oppure, il certificato non è rilasciato da un certificatore accreditato,
ovvero, infine, perché non è stata apposta avvalendosi di un dispositivo
sicuro per la creazione di firma.
Come risulta evidente, sono
piuttosto rilevanti le modifiche che il D.lgs. 10/2002 ha introdotto
nell'art. 10 del DPR 445/2000 in tema di forma ed efficacia del
documento informatico e firma digitale.
Proseguendo con
l'impostazione adottata sin dal DPR 513/97, la norma in esame disciplina
direttamente l'efficacia delle firme elettroniche, a dispetto della
tradizione giuridica italiana che ha sempre disciplinato l'efficacia dei
documenti, corredati o meno di sottoscrizione.
In ogni caso, la maggiore differenza rispetto a quanto
precedentemente previsto dal DPR 513/97 riguarda senz'altro l'efficacia
del documento informatico sottoscritto con firma elettronica avanzata
basata su un certificato qualificato rilasciato da un certificatore che
rilascia certificati qualificati e mediante l'utilizzo di un dispositivo
sicuro per la creazione di firma (si noti, indipendentemente dal fatto
che il certificatore sia accreditato o meno).
Ebbene, in
questo caso l'efficacia riconosciuta ad un documento informatico
sottoscritto con tale tipo di firma è in qualche modo "potenziata"
rispetto al passato. Mentre il DPR 513/97 e il DPR 445/2000 ante
recepimento direttiva riconoscevano in un simile caso l'efficacia della
scrittura privata di cui all'art. 2702 cod. civ., l'attuale
formulazione, post recepimento della Direttiva, riconosce al medesimo
documento sottoscritto con tale tipo di firma l'efficacia fino a
querela di falso.
In pratica, è come se un tale documento
fosse stato riconosciuto dalla persona che l'ha prodotto o per altri
versi come se godesse della fede pubblica. Infatti, chi volesse
disconoscerlo dovrebbe proporre querela di falso e fornire le necessarie
prove.
Diversamente, nel caso della vecchia disciplina, e
tutt'ora nel caso di una scrittura privata cartacea, in assenza di
riconoscimento, sarebbe sempre possibile il mero disconoscimento da
parte del ritenuto autore, e si determinerebbe la necessità per chi
sostenesse la legittimità della provenienza del documento di fornire
adeguata prova (anche attraverso il cd. Processo di verificazione
mediante le scritture di comparazione o sotto dettatura art. 216 e segg.
c.p.c.).
La ragione per la quale è stata riconosciuta questa
maggiore efficacia, si legge nella relazione al provvedimento normativo,
sta proprio nel fatto che in tema di firma elettronica sarebbe di fatto
impossibile procedere alla cd. "verificazione". Risulta comunque
evidente da un lato la maggior forza giuridica di un tale atto e
dall'altro la maggiore difficoltà in capo al titolare di un certificato
di firma nell'ottenere il disconoscimento di una firma falsa basata sul
proprio certificato (se non riesce a fornire la prova di non aver
sottoscritto il documento in questione) (10).
Una
simile efficacia, abbiamo detto, viene riconosciuta solamente ad una
firma elettronica qualificata, vale a dire una firma elettronica
avanzata basata su un certificato qualificato rilasciato da un
certificatore che rilascia certificati qualificati e mediante l'utilizzo
di un dispositivo sicuro per la creazione di firma. L'assenza tuttavia
anche di un solo elemento tra quelli elencati determinerebbe un diverso
stato giuridico della firma, o meglio del documento informatico
sottoscritto con tale firma, al quale verrebbe riconosciuta
semplicemente l'efficacia di forma scritta e sarebbe liberamente
valutabile dal giudice, tenuto conto delle sue caratteristiche oggettive
di qualità e sicurezza. In pratica, risulta evidente, la validità ed
efficacia di firme elettroniche (non avanzate e/o non basate su tutti i
requisiti sopra elencati) viene rimessa alla valutazione del giudice di
volta in volta, il quale valuterà sulla base del livello di sicurezza
garantito.
Da tutto ciò risulta che solamente nel caso di
firma elettronica qualificata o firma digitale (che viene considerata
equivalente ai fini degli effetti) si può avere anticipatamente certezza
circa gli effetti giuridici in grado di dispiegare (che come abbiamo
visto sono molto rilevanti e raggiungono il massimo grado di
riconoscimento possibile nel nostro ordinamento, se si escludono
ovviamente gli atti pubblici).
Nel caso di firme elettroniche
(non avanzate) e nel caso di firme elettroniche avanzate che difettino
tuttavia di qualche requisito (ad esempio del dispositivo sicuro per la
creazione di firma) non è mai possibile avere anticipatamente certezza
circa gli effetti giuridici conseguiti, dal momento che spetterà al
giudice valutare di volta in volta e stabilire quali riconoscere (sulla
base, abbiamo detto, delle caratteristiche oggettive di qualità e
sicurezza).
Il recepimento della direttiva ha tuttavia
conseguito un altro importante obiettivo: esso ha infatti assicurato un
rilievo giuridico ad una pluralità di fenomeni del mondo
dell'informatica che prima di allora si trovavano totalmente privi di
una qualificazione e di una tutela. Ad opinione di chi scrive, il
recepimento della Direttiva è ben lungi dall'aver minato il quadro di
certezza giuridica delineato con lo storico e giustamente famoso DPR
513/97; il recepimento ha arricchito il quadro normativo di una serie di
possibilità aggiuntive, anche se in chiave minore.
In questo
senso, è sicuramente interessante osservare che semplici documenti
informatici non firmati costituiscono nondimento mezzi di prova
equiparati alle riproduzioni meccaniche. Non sarà molto, tuttavia è un
principio di riconoscimento che tiene nel dovuto conto le garanzie di
sicurezza soprattutto dei terzi. Altrettanto interessante risulta il
rilievo attribuito al documento informatico sottoscritto con firma
elettronica (non avanzata): in questo caso viene riconosciuto il
requisito della forma scritta, come tale liberamente valutabile dal
giudice (11). Altrettanto interessante è osservare che i medesimi
documenti sottoscritti con firme elettroniche assolvono agli obblighi di
tenuta delle scritture contabili obbligatorie a cui è tenuto
l'imprenditore.
Grazie alle nuove norme trovano qualificazione
giuridica, e quindi riconoscimento, una vastità di strumenti di
autenticazione e sottoscrizione cd. leggera, prima sprovvisti di una
qualsiasi tutela, quali sono codici personali segreti di carte di
credito e di pagamento, password e pincode largamente utilizzati nei
servizi via web, sistemi di sottoscrizione insiti in sisteme di gestione
della messaggistica elettronica, tutti i sistemi di cifratura in uso
pressi sistemi telematici di scambio delle borse valori, di banking e
trading on-line.
Qualche interrogativo solleva la norma di
chiusura contenuta nel comma 4 dell'art. 10 del DPR 445/2000, quale
appare pedissequa riproduzione del testo contenuto nell'art. 6 della
Direttiva e che appare superflua nell'economia generale della
disposizione.
Nonostante le rilevanti modifiche introdotte dal
D.lgs. 10/2002 e nonostante il riconoscimento dell'efficacia fino a
querela di falso attribuito ad un documento informatico sottoscritto con
firma elettronica qualificata o digitale, rimane fermo quanto (già)
stabilito dall'art. 24 del DPR 445/2000 in base al quale si ha per
riconosciuta ai sensi dell'art. 2703 c.c. la firma digitale la cui
apposizione è autenticata dal notaio o da altro pubblico ufficiale
autorizzato.
Brevemente vale la pena di ricordare che si ha
una firma digitale autenticata quando un notaio o un pubblico ufficiale
autorizzato attesta che l'apposizione della firma digitale, da parte del
titolare, é avvenuta in sua presenza, previo accertamento: dell'identità
personale; della validità della chiave utilizzata; del fatto che il
documento sottoscritto risponde alla volontà della parte e non è in
contrasto con l'ordinamento giuridico. In tal caso il documento
sottoscritto ha l'efficacia di cui all'art. 2703 cod. civ.
In
questo caso l'autenticazione della firma digitale consiste
nell'attestazione, da parte del pubblico ufficiale, che la firma
digitale è stata apposta in sua presenza dal titolare, previo
accertamento della sua identità personale, della validità della chiave
utilizzata e del fatto che il documento sottoscritto risponde alla
volontà della parte e non è in contrasto con l'ordinamento giuridico ai
sensi dell'art. 28, primo comma, numero 1), della Legge 16 febbraio
1913, n.89.
La rilevanza di una tale disposizione è fondamentale se si considera la differenza sostanziale che corre tra sottoscrizione autografa e sottoscrizione digitale. Infatti, mentre per la sottoscrizione autografa, che è un'espressione psicosomatica dell'individuo, risulta in qualche modo sempre verificabile se la grafia utilizzata provenga o meno dal ritenuto autore del documento, per la sottoscrizione autografa qualsiasi verifica può avere ad oggetto solamente la compatibilità tra i dati per la creazione e per la verifica di firma. Non sarà mai possibile ottenere certezza, viceversa, che l'autore della sottoscrizione, vale a dire colui che ha utilizzato il dispositivo sicuro di firma fosse effettivamente il titolare. Nessuna verifica posteriore potrà mai dare evidenza del soggetto che fisicamente ha apposto la sottoscrizione digitale. In questo senso l'intervento del pubblico ufficiale o del notaio risulterebbe essere l'unico in grado di effettivamente garantire delle reale disponibilità del dispositivo sicuro di firma, della validità della firma al momento della sottoscrizione (senza considerare la verifica dell'effettiva volontà).
5. Validazione temporale
L'art. 22 del DPR 445/2000
introduce la definizione di validazione temporale come: "il risultato
della procedura informatica, con cui si attribuiscono, ad uno o più
documenti informatici, una data ed un orario opponibili ai terzi;".
In termini di sicurezza della firma elettronica, il ricorso alla
validazione temporale costituisce uno dei presupposti più importanti e
necessari, la cui importanza probabilmente non è stata pienamente
compresa dai primi commentatori sino ad ora.
In un sistema di
crittografia a chiave pubblica risulta necessario poter stabilire e
determinare con certezza, soprattutto a fini di opponibilità ai terzi,
ciò che è avvenuto prima e ciò che è avvenuto dopo. Ci si riferisce in
particolare alla necessità di stabilire con certezza opponibile ai terzi
che la sottoscrizione di un documento informatico sia avvenuta durante
la validità di un certificato, vale a dire successivamente al rilascio
da parte di un certificatore e precedentemente alla scadenza, revoca o
sospesione del medesimo certificato.
Il problema è semplice:
il ricorso ad un procedimento di validazione temporale è in grado di
agevolare nello stabilire se la sottoscrizione sia da ritenere valida o
meno (12). Diversamente sarebbe possibile dimostrare la validità
di una sottoscrizione solamente ricorrendo a quanto disposto dall'art.
2704 cod. civ.(13) posto che ve ne siano i presupposti.
Ora risulta evidente che qualora le esigenze di conservazione di un
documento informatico sottoscritto digitalmente trascenderanno il
periodo di durata del certificato, al fine di garantire validità nel
tempo alla sottoscrizione si potrà alternativamente:
-
ricorrere alla validazione temporale;
- procedere a nuova
sottoscrizione con certificato valido precedentemente alla scadenza del
precedente certificato;
- ricorrere all'applicazione di quanto
previsto dall'art. 2794 cod. civ. sempre che ve ne siano i presupposti.
6. Sottoscrizione di un documento informatico
Alcune
disposizioni contenute nell'art. 23 del DPR 445/2000 disciplinano a fini
di sicurezza le modalità di sottoscrizione di documenti informatici.
Queste stabiliscono in particolare che :
1. La firma
digitale deve riferirsi in maniera univoca ad un solo soggetto ed al
documento o all'insieme di documenti cui è apposta o associata.
2. Per la generazione della firma digitale deve adoperarsi una chiave
privata la cui corrispondente chiave pubblica sia stata oggetto
dell'emissione di un certificato qualificato che, al momento della
sottoscrizione, non risulti scaduto di validità ovvero non risulti
revocato o sospeso.
3. L'apposizione ad un documento
informatico di una firma elettronica basata su un certificato
elettronico revocato, scaduto o sospeso equivale a mancata
sottoscrizione. La revoca o la sospensione, comunque motivate, hanno
effetto dal momento della pubblicazione, salvo che il revocante, o chi
richiede la sospensione, non dimostri che essa era già a conoscenza di
tutte le parti interessate.
4. L'apposizione di firma
digitale integra e sostituisce, ad ogni fine previsto dalla normativa
vigente, l'apposizione di sigilli, punzoni, timbri, contrassegni e
marchi di qualsiasi genere.
5. Attraverso il certificato elettronico si devono rilevare, secondo le regole tecniche di cui all'articolo 8, comma 2, la validità del certificato elettronico stesso, nonché gli elementi identificativi del titolare e del certificatore.
L'art. 29-sexies del DPR 445/2000 (come
modificato dal DPR 137/2003), stabilisce inoltre che "i dati devono
essere presentati al titolare, prima dell'apposizione della firma,
chiaramente e senza ambiguità, e si deve richiedere conferma della
volontà di generare la firma salvo quanto riguarda le firme apposte con
procedura automatica, purché l'attivazione della procedura sia
chiaramente riconducibile alla volontà del titolare."
Una
serie di norme che formano la Sezione II, del Capo II, del DPR 445/2000,
disciplinano invece il documento informatico che può essere oggetto di
sottoscrizione.
L'art. 8, comma 1, attribuisce al documento
informatico, da chiunque formato, alla registrazione su supporto
informatico ed alla trasmissione con supporto telematico, validità e
rilevanza a tutti gli effetti di legge qualora conformi alle
disposizioni del Testo Unico (DPR 445/2000).
Per la verità le
disposizioni in tema di documento informatico sono piuttosto scarse dal
momento che ad oggi non è stata data piena attuazione a quanto previsto
dal comma 2 dello stesso articolo il quale prevede: "Le regole
tecniche per la formazione, la trasmissione, la conservazione, la
duplicazione, la riproduzione e la validazione, anche temporale, dei
documenti informatici sono definite con decreto del Presidente del
Consiglio dei Ministri, o, per sua delega del Ministro per l'innovazione
e le tecnologie, sentiti il Ministro per la funzione pubblica e il
Garante per la protezione dei dati personali. Esse sono adeguate alle
esigenze dettate dall'evoluzione delle conoscenze scientifiche e
tecnologiche, con cadenza almeno biennale.". Ed in effetti nelle cd.
Regole Tecniche (14) non si trova alcuna indicazione relativa ai
formati ammessi ovvero alle caratteristiche tecniche dei documenti
informatici ai fini della validità e rilevanza a fini di legge.
Alla luce di quanto recentemente emerso in merito al procedimento di
verificazione di documenti informatici sottoscritti con firma digitale e
contenenti "macroistruzioni o codice eseguibile", dove pur in presenza
di un esito positivo della verificazione si è assistito ad una
variazione dei valori assunti da dette microistruzioni o codice
eseguibile, si ritiene necessario l'introduzione nelle Regole Tecniche
di un divieto di sottoscrizione di documenti informatici contenenti
"macroistruzioni o codice eseguibile", ciò in analogia a quanto
contenuto nella Deliberazione AIPA n. 51/2000, del 23 novembre 2000, in
materia di formazione e conservazione di documenti (che come tale
risulta applicabile solo ai rapporti con le pubbliche amministrazioni).
In particolare, si potrebbe prevedere da un lato l'obbligo per il
titolare di astenersi dal sottoscrivere documenti informatici contenenti
"macroistruzioni o codice eseguibile", e dall'altro stabilire
l'inefficacia della sottoscrizione di tali documenti qualora effettuata
nonostante il divieto (15).
L'art. 9 disciplina i
documenti informatici nelle pubbliche amministrazioni. Si stabilisce in
particolare che gli atti formati con strumenti informatici, i dati e i
documenti informatici delle pubbliche amministrazioni, costituiscono
informazione primaria ed originale da cui è possibile effettuare, su
diversi tipi di supporto, riproduzioni e copie per gli usi consentiti
dalla legge.
Nelle operazioni riguardanti le attività di
produzione, immissione, conservazione, riproduzione e trasmissione di
dati, documenti ed atti amministrativi con sistemi informatici e
telematici, ivi compresa l'emanazione degli atti con i medesimi sistemi,
devono essere indicati e resi facilmente individuabili sia i dati
relativi alle amministrazioni interessate sia il soggetto che ha
effettuato l'operazione.
Le pubbliche amministrazioni
provvedono a definire e a rendere disponibili per via telematica moduli
e formulari elettronici validi ad ogni effetto di legge.
Le
regole tecniche in materia di formazione e conservazione di documenti
informatici delle pubbliche amministrazioni sono definite dall'Autorità
per l'informatica nella pubblica amministrazione d'intesa con
l'amministrazione degli archivi di Stato e, per il materiale
classificato, con le Amministrazioni della difesa, dell'interno e delle
finanze, rispettivamente competenti
Nell'art. 10, oltre alla
forma ed efficacia di cui già si è parlato in precedenza, viene
stabilito che "gli obblighi fiscali relativi ai documenti informatici
ed alla loro riproduzione su diversi tipi di supporto sono assolti
secondo le modalità definite con decreto del Ministro delle Finanze".
Ad oggi queste disposizioni risultano non emanate.
Di
particolare rilievo quanto stabilito nell'art. 11 in tema di contratti
stipulati con strumenti informatici o per via telematica. Si stabilisce
infatti che "I contratti stipulati con strumenti informatici o per
via telematica mediante l'uso della firma digitale secondo le
disposizioni del presente T.U. sono validi e rilevanti a tutti gli
effetti di legge. Si applicano le disposizioni in materia di contratti
negoziati al di fuori dei locali commerciali".
Non meno
importanti sono le disposizioni contenute nell'art. 13 relativamente a
libri e scrittura. Grazie a questa norma si stabilisce la piena
equiparazione della tenuta dei libri e delle scritture in formato
elettronico. Stabilisce infatti la norma citata
"I libri, i repertori e le scritture, di cui sia obbligatoria la tenuta,
possono essere formati e conservati su supporti informatici in
conformità alle disposizioni del presente T.U. e secondo le regole
tecniche definite con DPCM 8 febbraio 1999".
Per concludere alcuni riferimenti alla trasmissione di documenti, contenuti nell'art. 14 della Sezione III, sempre del Capo I del DPR 445/2000: "1. Il documento informatico trasmesso per via telematica si intende inviato e pervenuto al destinatario se trasmesso all'indirizzo elettronico da questi dichiarato. La data e l'ora di formazione, di trasmissione o di ricezione di un documento informatico sono opponibili ai terzi (se conformi alle disposizioni di cui al T.U. 2. La trasmissione del documento informatico per via telematica, con modalità che assicurino l'avvenuta consegna, equivale alla notificazione per mezzo della posta nei casi consentiti dalla legge.
Conclusioni
A seguito del recepimento della Direttiva
europea 93/99/CE diverse sono ora le tipologie di firme elettroniche
previste nel nostro ordinamento. Diversa è anche la loro efficacia,
soprattutto in relazione alla presenza di determinati requisiti volti a
garantire il massimo livello di sicurezza possibile.
In ogni
caso, tutte le firme elettroniche godono ora del pieno riconoscimento
giuridico nel nostro ordinamento, anche come mezzo di prova. Alcuni tipi
di firma, attese le caratteristiche intrinseche di qualità e sicurezza,
godono del riconoscimento massimo che si possa pensare nel nostro
ordinamento se si fa eccezione per gli atti pubblici. Per altri tipi
sarà il giudice di volta in volta a stabilire il rilievo loro
attribuibile come mezzo di prova in funzione del livello di sicurezza
presentato di volta in volta.
Esistono i presupposti per il
pieno riconoscimento dei certificati e dei dispositivi sicuri di firma
rilasciati o prodotti in altri Paesi dell'Unione Europea, ed a certe
condizioni anche di Paesi extraeuropei. La conformità ai requisiti di
sicurezza dei dispositivi "sicuri" sarà accertata da apposito organismo
creato mediante decreto del Ministro per l'innovazione e le tecnologie.
Risultano per il momento carenti le disposizioni in tema di formato dei documenti informatici che possono essere validamente soggetti a sottoscrizione. In particolare, le Regole Tecniche non prevedono ad oggi, a differenza di quanto accade le pubbliche amministrazioni, alcuna limitazione alla possibilità di sottoscrivere documenti informatici contenenti "macroistruzioni o codice eseguibile", come tali in grado di compromettere l'immodificabilità del documento informatico già sottoscritto. É auspicabile che la lacuna venga presto colmata stabilendo i formati ammissibili e le conseguenze giuridiche derivanti da un mancato rispetto di tali disposizioni.
Milano, 9 novembre 2003
Luigi Neirotti
Avvocato in Milano
Partner EYLaw
- Studio Legale Tributario
luigi.neirotti@it.eylaw.com
---------------------------------------------------------------------------------------------------
(1) in tema di riforma della pubblica amministrazione e semplificazione
amministrativa.
(2) Regolamento recante criteri e modalità per la formazione,
l'archiviazione e la trasmissione di documenti con strumenti informatici
e telematici.
(3) Regole tecniche per la formazione, la trasmissione, la
conservazione, la duplicazione, la riproduzione e la validazione, anche
temporale, dei documenti informatici ai sensi dell'articolo 3, comma 1,
del Decreto del Presidente della Repubblica, 10 novembre 1997, n. 513.
(4) Testo unico delle disposizioni legislative e regolamentari in
materia di documentazione amministrativa.
(5) Il recepimento della Direttiva ha comportato necessariamente
l'adozione di una nuova definizione della sottoscrizione informatica,
utilizzando l'espressione firma elettronica si suole ricomprendere tutta
la famiglia di segni informatici utilizzati quali strumenti ai
autenticazione e riconoscimento dell'autore di una dichiarazione. Come
vedremo l'originaria firma digitale è divenuta una specie particolare
della più ampia categoria delle firme elettroniche.
(6) Originariamente era stabilito un aggiornamento con cadenza
almeno biennale per tenere conto dell'evoluzione tecnologica. Alla
scadenza del biennio si è preferito tuttavia attendere di completare il
recepimento della Direttiva al fine di modificare una sola volta le
Regole Tecniche. I lavori poi si sono prolungati e così le Regole
Tecniche sono ancora in vigore nella formulazione originaria dopo
quattro anni dalla loro emanazione.
(7) Legge 29 luglio 2003, n. 229: Interventi in materia di qualità della regolazione, riassetto normativo e codificazione.
(8) Per la verità la prima parte della norma sembra ripetere la disposizione contenuta nell'art. 27-bis, comma 1, lett. D), evidentemente per un difetto di coordinamento, stante la stratificazione delle norme.
(9) Ciò significa che non è possibile per il momento ottenere la certificazione di nuovi dispositivi sicuri, e nemmeno autocertificarli, fermo restando che i dispositivi autocertificati quali rispondenti ai requisiti richiesti entro la scadenza del periodo transitorio (31 maggio 2002) rimangono tali.
(10) Tenuto conto anche del fatto che la querela di falso è competenza del Tribunale nella composizione collegiale e richiede l'intervento del pubblico ministero. Come si nota, si tratta di un procedimento complesso, il cui esaurimento richiede certamente un certo lasso di tempo (durante il quale gli effetti del documento attribuito al titolare del certificato si applicherebbero integralmente).
(11) Sarà solo l'esperienza giurisprudenziale che fornirà la misura della correttezza di questa norma. Certo il rischio è che all'inizio si assista ad una disuniformità di valutazione sui requisiti di sicurezza e quindi ad una sopra o sottovalutazione degli effetti giuridici di questi documenti.
(12) Considerando che in base all'art. 23 del DPR 445/2000
"L'apposizione ad un documento informatico di una firma elettronica
basata su un certificato elettronico revocato, scaduto o sospeso
equivale a mancata sottoscrizione."
(13) L'art. 2704 cod. civ. stabilisce che "La data della scrittura privata della quale non è autentica la sottoscrizione non è certa e computabile riguardo ai terzi, se non da giorno in cui la scrittura è stata registrata o dal giorno della morte o della sopravvenuta impossibilità fisica di colui o di uno di coloro che l'hanno sottoscritta o dal giorno in cui il contenuto della scrittura è riprodotto in atti pubblici o, infine, dal giorno in cui si verifica un altro fatto che stabilisca in modo egualmente certo l'anteriorità della formazione del documento".
(14) Allegate al DPCM 8 febbraio 1999.
(15) Si tratta comunque di un aspetto tutto da approfondire e per il quale un confronto con i tecnici informatici risulta indispensabile.
Profilo dell'avv. Luigi Neirotti
Luigi Neirotti ha più di
diciassette anni di esperienza professionale nell'area del diritto e dei
contratti dell'informatica, con particolare riguardo ai contratti
relativi a hardware, software e servizi di outsourcing,
nonché relativamente a protezione dei dati personali e firme
elettroniche; ha significativa esperienza anche in materia di contratti
e diritto societario.
Si è laureato a pieni voti in
Giurisprudenza presso l'Università di Torino nel 1986 ed ha conseguito
successivamente un Executive Master in Business Administration
presso l'Università Commerciale Luigi Bocconi di Milano nel 1991.
É partner dello Studio Legale Tributario, Ernst & Young Law, con
responsabilità del Dipartimento di Diritto Industriale e
Information Technology.
Dal 2001 è consigliere giuridico di
"Assocertificatori", associazione dei certificatori italiani della firma
digitale, organizzazione nell'ambito della quale si è occupato ad ampio
spettro di firme elettroniche, contribuendo anche al recepimento
nell'ordinamento italiano della Direttiva 1999/93/CE relativa ad un
quadro comunitario per le firme elettroniche. Contemporaneamente ha
assistito diversi certificatori italiani nel processo di accreditamento
nonché su una serie di tematiche varie legate allo svolgimento della
loro attività. Nel corso del 2003 ha assistito alcune grosse banche
italiane nel processo di adesione al circuito Identrus, per la ____
É anche consigliere giuridico del "Consorzio per la tutela della privacy
nelle società di ricerca e selezione di personale dirigente",
organizzazione formata dalle principali società internazionali di
executive search presenti in Italia, dove si è occupato particolarmente
di privacy e tutela dei dati personali nell'attività di ricerca e
selezione di personale.
Autore di alcuni scritti ed articoli
su contratti informatici, firma digitale e protezione dei dati
personali, coautore di alcuni "rapporti ABI" sui contratti software in
ottica di qualità ISO9000 pubblicati da Bancaria editrice, è anche
coautore del capitolo italiano del volume "E-commerce law in Europe
and the USA" per Springer editore (Berlino) 2002. É relatore
abituale in congressi e seminari, sia in Italia sia all'estero, su
diritto e contratti dell'informatica, protezione dei dati personali,
firme elettroniche.
Avvocato in Milano, è membro di ADINCOM -
associazione per lo studio del diritto dell'informatica e del diritto
delle comunicazioni multimediali e dell'Associazione Italiana dei
Giuristi d'Impresa.