La sottoscrizione di documenti informatici con firma elettronica è disciplinata sia a livello comunitario che nazionale; la normativa di riferimento è dettata principalmente:
- dal Regolamento eIDAS (Regolamento (UE) n. 910/2014), che istituisce un quadro giuridico per le firme elettroniche e i documenti elettronici, stabilisce i principi giuridici fondamentali e generali ed è direttamente applicabile in Italia e negli altri Stati membri dell’Unione europea;
- dal Codice dell’Amministrazione Digitale o CAD (Lgs. 7 marzo 2005, n. 82, come successivamente modificato) e relative disposizioni attuative, che disciplina a livello nazionale l’uso della firma elettronica e i relativi effetti giuridici;
- dal Decreto del Presidente del Consiglio dei Ministri del 22 febbraio 2013 (Regole tecniche in materia generazione, apposizione e verifica delle firme elettroniche avanzate, qualificate e digitali, ai sensi degli articoli 20, comma 3, 24, comma 4, 28, comma 3, 32, comma 3, lettera b), 35, comma 2, 36, comma 2, e 71).
Il Regolamento eIDAS, le cui definizioni sono richiamate dal CAD (art. 1), distingue tre tipologie di firma elettronica: i) firma elettronica, ii) firma elettronica avanzata e iii) firma elettronica qualificata.
- i) Il Regolamento eIDAS definisce la firma elettronica semplice all’art. 3, n. 10, come: “l’insieme di dati in forma elettronica, acclusi oppure connessi tramite associazione logica ad altri dati elettronici e utilizzati dal firmatario per firmare”. Essa costituisce la fattispecie più semplice di sottoscrizione informatica, che non richiede il coinvolgimento di soggetti terzi che eroghino soluzioni di firma elettronica avanzata o qualificata; è detta anche “leggera”, perché costituisce la sottoscrizione meno sicura ed affidabile ma alla quale, per espressa previsione di legge, non possono essere negati effetti giuridici.
Esempi di firma elettronica semplice sono il messaggio di posta elettronica, la fotoriproduzione della firma stessa sovraimpressa su un documento informatico, ovvero quella realizzata con prodotti hardware che acquisiscono l’immagine digitale della firma del sottoscrivente attraverso un tablet, senza che in tale procedimento venga acquisito alcun dato biometrico.
ii) L’art. 3, n. 11 del Regolamento definisce come “Firma Elettronica Avanzata” quella che soddisfa i requisiti di cui all’art. 26:
- è connessa unicamente al firmatario;
- è idonea a identificare il firmatario;
- è creata mediante dati per la creazione di una firma elettronica che il firmatario può, con un elevato livello di sicurezza, utilizzare sotto il proprio esclusivo controllo;
- è collegata ai dati sottoscritti in modo da consentire l’identificazione di ogni successiva modifica di tali dati.
La normativa eIDAS segue il principio di neutralità tecnologica: non individua specifici formati, ma solo standard tecnici di riferimento, ai quali possono ricondursi diverse soluzioni di firma.
Tuttavia, qualora i sistemi di firma elettronica in concreto adottati non dovessero assicurare i requisiti innanzi richiamati, la firma elettronica generata non potrà soddisfare le caratteristiche di qualità, sicurezza, integrità e immodificabilità.
La regolamentazione di dettaglio delle firme elettroniche avanzate contenuta nelle regole tecniche approvate con DPCM 22 febbraio 2013.
In particolare, dall’art. 57 delle Regole tecniche si evince che in capo ai soggetti che realizzano soluzioni di firma elettronica avanzata è posto l’obbligo di identificare l’utente in modo certo tramite un valido documento di riconoscimento, di informarlo circa gli esatti termini e condizioni relativi al servizio, compresa ogni eventuale limitazione dell’uso, di subordinare l’attivazione del servizio stesso alla previa sottoscrizione di una dichiarazione di accettazione delle condizioni del servizio da parte dell’utente, conservando copia dei documenti di riconoscimento e della dichiarazione di accettazione delle condizioni d’uso relativi a ogni utente per almeno venti anni.
Una tipologia molto diffusa di firma elettronica avanzata è la firma grafometrica che consiste in una firma apposta su un particolare tablet con uno speciale dispositivo (pen drive) che consente di memorizzare alcune caratteristiche biometriche del soggetto, quali la velocità di scrittura, la pressione della firma, l’angolo di inclinazione della penna, l’accelerazione del movimento.
La firma grafometrica, rilevata previa identificazione del firmatario nel rispetto delle regole tecniche vigenti e della normativa in materia di privacy (rientrando i dati biometrici, per espressa previsione normativa, nella categoria dei dati particolari ex art. 9 Regolamento europeo 2016/679), soddisfa il requisito della connessione univoca e della identificazione certa del firmatario e del suo controllo esclusivo sullo strumento di firma.
iii) Secondo l’art. 3, n. 12 del Regolamento, la “Firma Elettronica Qualificata” è “una firma elettronica avanzata creata da un dispositivo per la creazione di una firma elettronica qualificata e basata su un certificato qualificato per firme elettroniche”.
In aggiunta alle informazioni previste dal Regolamento, ai sensi dell’art. 28 del CAD, nel certificato di firma elettronica possono essere inseriti il codice fiscale, un codice identificativo univoco o anche altri dati pertinenti e non eccedenti rispetto alle finalità di firma come, ad esempio, l’appartenenza ad Ordini professionali, l’iscrizione in Albi, la qualifica di pubblico ufficiale. Si tratta, in partica, di un attestato elettronico che collega i dati di una firma elettronica ad una persona fisica: ad esempio una SIM card con chip che contiene alcuni dati anagrafici e il codice fiscale.
Il Codice dell’Amministrazione Digitale disciplina, oltre alle firme elettroniche sopra indicate, la “Firma Digitale” (art. 1, lett. s), che è un particolare tipo di firma elettronica qualificata basata su un sistema di chiavi crittografiche, una pubblica e una privata, correlate tra loro, che consente al titolare di firma elettronica tramite la chiave privata e a un soggetto terzo tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l’integrità di un documento informatico o di un insieme di documenti informatici.
Il dispositivo di firma si presenta sotto forma di smart card (da collegare ad un apposito lettore) o di chiavetta USB ed è necessario possedere un software di firma rilasciato da un’Autorità di certificazione. Se il Certificatore è accreditato eIDAS (i servizi certificati eIDAS sono solitamente contrassegnati con il logo del lucchetto blu con le stelle degli stati europei), i suoi servizi rispettano gli standard di interoperabilità fissati in ambito comunitario.
Le firme qualificate e digitali sono richieste per la sottoscrizione degli atti per cui la legge richiede la forma scritta “ad substantiam” (ovvero quelli elencati analiticamente dal n.1 al n. 12 dell’articolo 1350 del Codice Civile, relativi, in particolare, al trasferimento della proprietà di beni immobili e alla costituzione di diritti sugli stessi, nonché ai contratti di locazione di beni immobili per una durata superiore ai nove anni).
Il Regolamento eIDAS, recepito dal Codice dell’Amministrazione Digitale, ha sancito il principio di non discriminazione del documento informatico sottoscritto con firma elettronica, prevendo:
Art. 46 – Effetti giuridici dei documenti elettronici: “a un documento elettronico non sono negati gli effetti giuridici e la ammissibilità come prova in procedimenti giudiziali per il solo motivo della sua forma elettronica”.
Art. 25 – Effetti giuridici delle firme elettroniche: “a una firma elettronica non possono essere negati effetti giuridici e l’ammissibilità come prova in procedimenti giudiziari per il solo motivo della sua forma elettronica o perché non soddisfa i requisiti delle firme elettroniche qualificate”.
In sostanza, quindi, la lettera della legge riconosce che qualunque documento elaborato per il tramite di un meccanismo di firma elettronica è certamente dotato del requisito di forma scritta e, dal punto di vista probatorio, deve essere valutato dal giudice in relazione all’attitudine che la firma apposta possiede, di rendere tale documento immodificabile e riferibile all’estensore apparente.
In particolare, per quanto riguarda la firma elettronica semplice, la neutralità tecnologica che ne caratterizza la definizione normativa, giustifica che la determinazione del valore probatorio del documento informatico su cui è apposta questa tipologia di firma sia rimessa alla decisione del giudice che dovrà tenere conto, caso per caso, delle sue caratteristiche oggettive di qualità, sicurezza, integrità e immodificabilità.
A tale proposito, l’art. 20 CAD prevede che: “… l’idoneità del documento informatico a soddisfare il requisito della forma scritta e il suo valore probatorio sono liberamente valutabili in giudizio, in relazione alle caratteristiche di sicurezza, integrità e immodificabilità”).
Con riferimento alla discrezionalità con cui il giudice è chiamato a valutare il documento firmato con una firma elettronica semplice, si possono considerare le peculiari caratteristiche tecniche, di volta in volta riscontrabili, in grado di avvicinare questa tipologia di firma elettronica in concreto utilizzata alla firma elettronica avanzata.
Si può quindi ritenere, che, in caso di contenzioso, al di là della necessità di integrare la prova con ulteriori elementi (es: conferma testimoniale, documentazione, mancanza di una specifica contestazione), la firma elettronica semplice costituisce un indizio di prova (in forma scritta), idoneo ad indirizzare il convincimento del giudice (cfr. Tribunale di Parma, Sez. Lavoro, del 9/06/2020, Cass. Civ. Sez. Lavoro, n. 5523/2018, Tribunale di Milano, sentenza n. 11402/2016).
Il valore probatorio delle Firme Elettroniche avanzate e qualificate, invece, è garantito dal fatto che il documento informatico così firmato ha l’efficacia di una scrittura privata prevista dall’art. 2702 c.c., ovvero quella di fare piena prova, fino a querela del falso, della provenienza delle dichiarazioni da chi l’ha sottoscritta: “Il documento informatico soddisfa il requisito della forma scritta e ha l’efficacia prevista dall’articolo 2702 del Codice civile quando vi è apposta una firma digitale, altro tipo di firma elettronica qualificata o una firma elettronica avanzata o, comunque, è formato, previa identificazione informatica del suo autore, attraverso un processo avente i requisiti fissati dall’AgID ai sensi dell’articolo 71 con modalità tali da garantire la sicurezza, integrità e immodificabilità del documento e, in maniera manifesta e inequivoca, la sua riconducibilità all’autore” (Art. 20 CAD).
Pertanto, poiché l’insieme dei dati che connotano il processo di firma elettronica avanzata permette non solo l’identificazione del firmatario del documento, ma garantisce anche la loro connessione univoca al firmatario, si applica la presunzione di riconducibilità del dispositivo al titolare, fino a querela di falso.