Palazzo Giustizia  Roma

Palazzo Giustizia Milano

1. Le quattro firme elettroniche “ufficiali” del CAD

Con il D.Lgs. 30 dicembre 2010, n. 235, è stato significativamente modificato anche il quadro delle firme elettroniche presente nel Codice dell’amministrazione digitale, contenuto nel D.Lgs. 7 marzo 2005, n. 82. Infatti, l’art. 1 del D.Lgs. 235/2010, in iterativo recepimento della normativa europea contenuta nella Direttiva del Parlamento europeo e del Consiglio, 13 dicembre 1999, n. 1999/93/CE, ha reintrodotto la cosiddetta firma elettronica “avanzata”.

A onor del vero, si tratta di una delle due tipologie previste fin dal 1999 in Europa assieme alla firma elettronica (semplice), che era stata già introdotta nel nostro ordinamento dall’abrogato D.Lgs. 10 gennaio 2002, n. 10, anche se poi era stata confermata nel regolamento emanato con DPR 7 aprile 2003, n. 137, tuttora vigente. In maniera inspiegabile, invece, era stata tolta dal dettato normativo del CAD emanato con il D.Lgs. 82/2005 e ora, quindi, reintrodotta. Non si tratta dunque, com’è stato dichiarato, di una vocazione europeista, ma di un preciso obbligo imposto dalla normativa comunitaria.

La novità, però, non si ferma qui. Per il legislatore italiano i genus di firma adesso sono due: la firma elettronica e la firma elettronica avanzata. La differenza, com’è noto, è ontologica: la prima tipologia di firma, definita in modo generalissimo e quasi evanescente dal legislatore, ricomprende qualsiasi tipo di identificazione che in qualche modo consenta una qualsiasi associazione logica tra un determinato soggetto e determinati dati: da un normalissimo PIN del bancomat, alle normali credenziali di accesso costituite da nome utente e password. Firma e documento in ogni caso rimangono sempre entità distinte, ancorché logicamente associate.

La seconda tipologia di firma invece si caratterizza per il fatto di essere “collegata ai dati” a cui si riferisce, in modo da consentire di rilevare eventuali alterazioni successive. Firma e documento quindi si fondono in un’unica entità, e vengono separate solo al momento della verifica della firma. Che poi nella prassi, per economia di calcolo, si firmi non direttamente il documento, ma la sua impronta, non rileva ai nostri fini perché ogni variazione del documento si ripercuote direttamente sulla sua impronta.

Nella novella legislativa tuttavia il genus di firma “avanzata” con una certa originalità viene ora suddiviso in due species: la firma elettronica “qualificata” e la firma “digitale”, che vengono ridefinite e ricondotte entrambe al più ampio genus, appunto, della firma elettronica avanzata.

Ecco allora le definizioni proposte dall’art. 1 del D.Lgs. 235/2010:

Firma elettronica
(lett. q)
L’insieme dei dati in forma elettronica, allegati oppure connessi tramite associazione logica ad altri dati elettronici, utilizzati come metodo di identificazione informatica

Firma elettronica avanzata
(lett. q-bis)
Insieme di dati in forma elettronica allegati oppure connessi a un documento informatico che consentono l’identificazione del firmatario del documento e garantiscono la connessione univoca al firmatario, creati con mezzi sui quali il firmatario può conservare un controllo esclusivo, collegati ai dati ai quali detta firma si riferisce in modo da consentire di rilevare se i dati stessi siano stati successivamente modificati

Firma elettronica qualificata
(lett. r)
Un particolare tipo di firma elettronica avanzata che sia basata su un certificato qualificato e realizzata mediante un dispositivo sicuro per la creazione della firma

Firma digitale
(lett. s)
Un particolare tipo di firma elettronica avanzata basata su un certificato qualificato e su un sistema di chiavi crittografiche, una pubblica e una privata, correlate tra loro, che consente al titolare tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l’integrità di un documento informatico o di un insieme di documenti informatici

Non possiamo non permetterci una prima considerazione: la vera innovazione sarebbe stata dimezzare le tipologie da quattro a due, oppure eliminare almeno la firma elettronica qualificata. In ogni caso, sarebbe stato lecito sperare in una diversa e migliore definizione della firma qualificata, eliminando la perniciosa autoreferenzialità della sua definizione, che riconducendo la firma qualificata all’utilizzo di un dispositivo “qualificato” non contribuisce di certo a generare chiarezza nel sistema.

Invece di procedere in questa direzione il legislatore ha optato da un lato per l’inserimento della firma avanzata, dall’altro per modificare la definizione della firma digitale ricondotta ora direttamente all’insieme delle firme avanzate, e saltando qualsiasi riferimento alle firme qualificate.

Ora, a tale nuovo ardore definitorio è necessario dare un qualche significato. Una prima soluzione potrebbe essere quella di ritenere che la nuova firma digitale non sia più necessariamente riconducibile all’insieme delle firme qualificate, ma direttamente all’ambito della firma avanzata. Non si avrebbe più quindi una sorta di piramide classificatoria, con alla base la firma elettronica, quindi la firma avanzata, e poi via via la firma qualificata ed infine quella digitale, ciascuna intesa come sottoinsieme della precedente categoria, ma si avrebbe una sorta di piramide dall’equilibrio forse precario, con al vertice gli insiemi non perfettamente corrispondenti delle firme qualificate e digitale, ciascuna con parziali ambiti di indipendenza.

Una seconda soluzione, forse preferibile, sarebbe invece quella di ritenere pur sempre valida la piramide e, pertanto, ritenere che allo stato attuale la firma “digitale” non possa che essere anche firma “qualificata”. E questo perché ad oggi la firma digitale è apposta attraverso un dispositivo di firma “sicuro” per la creazione della firma, cioè attraverso un dispositivo “qualificato”, condizione necessaria e sufficiente per ricondurre la stessa anche nell’ambito delle firme qualificate.


2. Un nuovo nome per la firma digitale?

In questa sede di riforme poi, sarebbe stato senz’altro non disprezzabile cogliere la palla al balzo e procedere ad una ridefinizione e chiarificazione della non cristallina nomenclatura dei vari e numerosi tipi di firma, abolendo per lo meno quel sintagma “firma digitale” che poco significa nell’eterna crasi e intercambiabilità dei termini “elettronica” e “digitale”. Una firma digitale sempre elettronica è: al di là dello strutturalismo, perché utilizzare significanti diversi per lo stesso significato? In una climax, avrebbe potuto essere coniata una “firma elettronica certificata”, rimanendo, pur nella lunghezza, sullo stesso piano lessicale e semantico. O forse ancora, posto che la firma digitale è - come noto - l’unica che per espresso dettato normativo è vincolata ad una precisa tecnologia e segnatamente alla tecnologia della crittografica asimmetrica, tanto valeva chiamarla con il nome riferito alla specifica tecnologia. Per esempio, “firma a crittografica asimmetrica” o semplicemente “firma asimmetrica”. Sarebbe stato un nome sicuramente perfettibile, ma certamente meno equivoco del termine “digitale” che vuol dire tutto e nulla.

La vita è fatta di scelte, anche in questo campo: o si utilizza l’espressione “firme digitali” oppure “firme elettroniche”, perché, com’è noto fin dai primi insegnamenti di Renato Borruso, la normativa va scritta come un algoritmo: a parole uguali corrisponde un significato uguale. D’altronde, se è un tipo di firma elettronica, perché non aggiungere un aggettivo che mantenga una coerenza tra parole e concetti?

Probabilmente non c’è in questa proposta il dono della sintesi, ma della chiarezza e della normalizzazione. In occasione della reintroduzione della firma elettronica avanzata, in armonia con la direttiva comunitaria, lo sforzo avrebbe potuto, dunque, essere completato in questo senso, visto che l’Europa prevede le electronic signatures e non le digital signatures[1].

A maggior ragione, dunque, restano da tenere d’occhio le regole tecniche per la firma avanzata perché, in forza della disposizione del nuovo CAD, può esservi lo spazio per una ricostruzione in cui firma qualificata e firma digitale non siano totalmente sovrapponibili come nuove “firme avanzate”, come invece ora avviene.


3. Un’altra firma elettronica: l’invio di PEC
Prima di entrare nel merito, vale la pena ricordare che nell’ordinamento italiano la vicenda delle firme elettroniche rappresenta un classico esempio di instabilità normativa, ma anche di non rispetto della gerarchia delle fonti.

Infatti, mentre la firma elettronica avanzata era stata introdotta con un norma di recepimento di rango legislativo (D.Lgs. 23 gennaio 2002, n. 10), la firma qualificata era stata inserita con una norma regolamentare, che aveva anche reintrodotto la firma digitale (DPR 7 aprile 2003, n. 137).

Come si è visto, i novellati sulle tipologie di firma elettronica sono sempre avvenuti con norme di rango non inferiore al DPR. Invece, con il DPCM 6 maggio 2009, che inerisce a un sottoinsieme di posta elettronica certificata, la CEC-PAC (detta ora “Postacertificat@), era stato novellato come segue:

art. 4, comma 4
L’invio tramite PEC costituisce sottoscrizione elettronica ai sensi dell’art. 21, comma 1, del decreto legislativo n. 82 del 2005.

Al di là degli errori lessicali e concettuali (“invio” in luogo di “il documento inviato” e “sottoscrizione” in luogo di “firma”), già più volte segnalati[2], con l’entrata in vigore del nuovo CAD, per buona sorte, l’art. 21, comma 1, è rimasto inalterato, lasciando però aperta una strada di scarsa chiarezza.

L’art. 21, come noto, è rubricato «Valore probatorio del documento informatico sottoscritto» e il comma 1 inerisce soltanto all’efficacia probatoria:

art. 21, comma 1
Il documento informatico, cui è apposta una firma elettronica, sul piano probatorio è liberamente valutabile in giudizio, tenuto conto delle sue caratteristiche oggettive di qualità, sicurezza, integrità e immodificabilità.

Ne deriva che il richiamo del DPCM al CAD è da intendersi come volto a definire semplicemente l’efficacia probatoria dell’invio tramite PEC, nel senso di ritenere liberamente valutabile in giudizio l’imputabilità e l’ascrivibilità del messaggio al titolare dell’account di posta. In una parola, la provenienza (giuridica e diplomatistica), ma nulla di più.

La conseguenza più importante per il pubblico ufficiale e per il notaio è che la richiesta di autenticazione di un messaggio di PEC è irricevibile, soprattutto ai fini dell’art. 25, comma 2 del CAD, sul quale ritorneremo. In questo senso, l’invio tramite PEC non rappresenta una firma elettronica dal punto di vista sostanziale, ma risulta solamente equiparato ad essa a esclusivi fini probatori.

Andava quindi puntualmente chiarito, in sede di regolamentazione tecnica o in sede esplicativa (ci sono ben tre circolari ministeriali solo sulla PEC nel 2010!)[3], che il messaggio in alcun modo non firma i file allegati, soprattutto nel caso di presentazione di istanze o di dichiarazioni, come simultaneamente regolamentato dall’art. 38 del DPR 445/2000 e dall’art. 65 del CAD. Lo strumento PEC, da intendersi esclusivamente come vettore qualificato, in particolare per i concorsi pubblici, è infatti solamente uno degli strumenti dell’amministrazione digitale e con essi va integrato.

È forse possibile formulare qualche ulteriore osservazione sui limiti di tale equiparazione tra l’invio tramite PEC e la firma elettronica, soprattutto richiamando l’art. 21 che, come noto, è rubricato «Valore probatorio del documento informatico sottoscritto» e il primo comma di tale articolo, a cui specificamente il richiamo si riferisce, non fa che occuparsi proprio di detta efficacia probatoria.

Cercando quindi di dare un’interpretazione razionale a tale richiamo, tenuto anche conto della fenomenologia sociale prevalente secondo la quale ovviamente chi invia un messaggio di posta, ancorché certificata, non vuole certo firmare il messaggio, ma appunto solo inviarlo, è forse possibile e sicuramente preferibile ritenere che il rinvio citato sia più che altro da intendersi come volto a definire semplicemente l’efficacia probatoria dell’invio tramite PEC, ma non si spinga oltre. Non si spinga in altre parole ad identificare tale “invio” con la firma, ma con una sorta di (censurabile) sineddoche che utilizza il tutto (“firma”), per indicare solo una parte, cioè a dire la mera efficacia probatoria della stessa.

Non si ha in sostanza vera firma, ma semplice equiparazione parziale di alcuni limitati effetti della firma. Prima conseguenza di stampo strettamente giuridico e civilistico è che eventuali documenti inviati unitamente al messaggio non devono ritenersi “firmati”, ma semplicemente “inviati” dal titolare dell’account di posta, punto e basta. Sempre ammesso che il titolare agisca per proprio conto e non come vettore qualificato di terzi (ad esempio, di un coniuge, di un figlio, etc.) e ferma restando l’impossibilità di verificare integrità e provenienza dei file inviati se privi di firma digitale.


4. Un problema complesso: la firma analogica scansita come firma elettronica

Pesanti riserve rimangono sul fronte della possibilità di considerare come “firma elettronica” la firma scansita, quella cioè che riproduce in un’immagine informatica la firma autografa, ad esempio direttamente da tablet o da scanner.

Il novellato dell’art. 25, comma 2, sulla firma autenticata, infatti, recita:

L’autenticazione della firma elettronica, anche mediante l’acquisizione digitale della sottoscrizione autografa, o di qualsiasi altro tipo di firma elettronica avanzata consiste nell’attestazione, da parte del pubblico ufficiale, che la firma è stata apposta in sua presenza dal titolare, previo accertamento della sua identità personale, della validità dell’eventuale certificato elettronico utilizzato e del fatto che il documento sottoscritto non è in contrasto con l’ordinamento giuridico.

Vengono, innanzitutto, poste alcune condizioni, quali la firma in presenza del pubblico ufficiale, il rispetto della legalità, l’accertamento dell’identità personale e la validità del certificato elettronico. La previsione normativa, peraltro, riprende quanto già introdotto nel nostro ordinamento con l’art. 52-bis della legge 16 febbraio 1913, n. 89, cioè la c.d. “legge notarile” modificata dal D.Lgs. 2 luglio 2010, n. 110.

Tuttavia, l’identificazione di un’immagine informatica riproducente una caratteristica personale quale la firma autografa con una firma elettronica rappresenta un monstrum giuridico e del buon senso, che manda in soffitta le differenze tra digitale e analogico[4].

Il problema non è l’interpretazione giuridica, che può essere forzata al punto di considerare la scansione un “insieme dei dati in forma elettronica”, ma ancora una volta la costruzione di un sistema promiscuo, a metà strada tra innovazione e tradizione.

La ratio legis è pensata per non obbligare chi non possiede una firma digitale a procurarsela per sottoscrivere un atto notarile informatico. Intenzione ottima, ma concettualizzata in contrasto con quanto dal 1997 si è detto sulla impossibilità metodologica di scambiare la firma scansita con una firma elettronica. Una scappatoia che cerchi di salvare una certa coerenza lessicale forse si può provocatoriamente ipotizzare considerando il termine “digitale” come proveniente non dall’inglese digit (cifra), ma dal latino digitus (dito).

Insomma, ora la firma digitale si fa con le dita.

A ben vedere, può essere interessante notare come tale promiscuità semantica esista forse dalla notte dei tempi, in quanto digit e digitus hanno la stessa radice indoeuropea, poi latina e questo perché gli esseri umani da sempre usano contare i numeri prima di tutto con le dita. E dalla notte dei tempi quindi ritorna con incredibile modernità tale promiscuità di significati, che tuttavia sarebbe stato opportuno riuscire ad evitare.

Così facendo, i contraenti non saranno costretti ad avere una firma digitale per vendere o comperare un immobile, ma risulterà sufficiente far trasumanare la propria firma autografa a cura del notaio o del pubblico ufficiale, cioè una firma tradizionale olografa e autografa, contestualmente scansita e autenticata.

Ma allora c’è da chiedersi: ha ancora senso la parola “innovazione” nell’amministrazione digitale italiana? Non sarebbe stato maggiormente congruo rivoluzionare l’atto notarile informatico attribuendolo, ai sensi dell’art. 2699 del codice civile, solo al pubblico ufficiale senza alcun altro intervento, tra l’altro giuridicamente non imprescindibile, come avviene per gli atti noncupativi (ad esempio, per un testamento dettato ma non sottoscritto in punto di morte)?

Tale soluzione de iure condendo sarebbe stata certamente possibile. E a ben vedere il nostro ordinamento contiene già in nuce alcuni elementi che potrebbero legittimare una tale ricostruzione. Da un lato infatti esiste sicuramente l’atto notarile privo della firma delle parti, impossibilitate per varie disgrazie della vita a sottoscrivere (focomelici, ipovedenti, ma anche semplicemente persone momentaneamente impossibilitate a sottoscrivere ad esempio per una banale fasciatura). In tal caso l’atto viene firmato solo dal notaio con l’aggiunta però dei testimoni.

Ma anche a prescindere da tali ipotesi residuali, può essere interessante notare che anche la firma apposta in calce al tradizionale atto pubblico cartaceo a ben vedere non è affatto una firma.

Essa è piuttosto una sottoscrizione leggibile e per disteso con il nome e il cognome. Non è quindi un segno grafico dotato di particolari caratteri di riconoscibilità ed irripetibilità, ma è anzi un segno grafico che prescinde da essi, dovendo appunto essere leggibile e pertanto potenzialmente diverso dalla firma abituale del soggetto e a lui biometricamente riferibile.

Anche nel rogito notarile cartaceo quindi, così come nell’atto notarile informatico, l’unica persona che firma veramente è il notaio. Ed anche nel rogito cartaceo, la firma del notaio è già una firma-funzione, in quanto accanto alla firma deve essere apposta l’impronta del sigillo, che attesta appunto la funzione svolta dal pubblico ufficiale, simmetricamente a quanto accade per i certificati di firma digitale del notariato, che appunto attestano, oltre alla titolarità del dispositivo, anche la funzione svolta dal titolare.

La ratio della norma che impone la leggibilità della sottoscrizione non è facile da individuare e per comprenderla è necessario calarsi nella realtà sociale dell’Italia del primo Novecento, nella quale la vigente legge notarile ha iniziato la sua vita. In tale contesto, tornato incredibilmente attuale per certi versi a seguito della forte immigrazione riscontratasi in Italia negli ultimi anni, con un’altissima percentuale di analfabetismo, la sottoscrizione leggibile con il nome ed il cognome è riconducibile non tanto alla necessità di controllare l’identità delle parti (già attestata dal pubblico ufficiale) quanto piuttosto all’esigenza di operare un doppio controllo sull’operato di tale pubblico ufficiale al fine di evitare che egli stesso possa adottare anche inconsapevolmente comportamenti non corretti con persone analfabete.

La legge notarile infatti dispone cautele aggiuntive laddove intervengano all’atto contraenti analfabeti, finalizzate ad accertare con maggiore prudenza e cautela l’effettiva volontà degli stessi. Tali formalità però potrebbero agevolmente essere scavalcate anche all’insaputa del pubblico ufficiale con una firma illeggibile la quale, in quanto mero scarabocchio, è in sostanza apponibile quasi da chiunque, anche da un analfabeta.

Una sottoscrizione leggibile invece, con nome e cognome indicati per disteso è più difficile da apporre, essendo più probabile che il soggetto che riesca a produrla sia anche in grado di leggere e scrivere. La sottoscrizione leggibile e per disteso quindi non è una firma. Essa invece - pur mantenendo certamente il significato sociale e psicologico di approvazione definitiva - è piuttosto anche una prova aggiuntiva del fatto che la parte è in grado di leggere e scrivere[5].

Ora, anche la firma acquisita tramite scansione ottica, o tramite tavoletta informatica non è affatto una firma, nemmeno elettronica. È uno strano ornitorinco in parte digitale in parte analogico difficile da inquadrare. Essa si sarebbe forse potuta evitare ed è possibile che sia stata mutuata dall’esperienza francese senza eccessivo approfondimento. È da verificare tuttavia se tale simulacro di firma, mediato dalla tavoletta informatica, mantenga almeno la seconda funzione che la saggezza della legge notarile le ha assegnato riguardo al controllo sulle capacità “letterali” delle parti.


5. Brevi conclusioni

La soluzione complessiva per l’amministrazione digitale italiana non pare in linea con lo scarso livello di alfabetizzazione del sistema Italia, che permane a tinte sfumate almeno per tre ordini di motivi: le sempre più scarse risorse destinate alla formazione, l’assenza di regole tecniche e l’instabilità del quadro normativo.

Innovare significa anche cambiare metodi e strategie, in un contesto che deve essere preparato gradualmente e continuativamente, fino a divenire permeabile. In questo caso, la formazione strategica diventa fondamentale. I segnali che giungono, invece, vanno verso la riduzione sempre più consistente delle risorse economiche, nonostante il richiamo alla formazione contenuto nell’art. 13 del CAD (si veda, solo come ultimo esempio, la legge 30 luglio 2010, n. 122).

Il nuovo dettato normativo contiene un misto di principi generali e di indicazioni pratiche che, però, attendono da alcuni anni di essere attuati attraverso una regolamentazione tecnica ampiamente prevista e annunciata, ma non ancora concretizzatasi.

Premesso che il quadro sulle firme elettroniche richiederebbe una semplificazione, l’elemento più critico è la sua stabilizzazione. Semplificare, però, non significa banalizzare. Da un lato abbiamo quattro firme ufficiali inserite in un decreto legislativo, dall’altro l’invio di PEC che, con qualche forzatura inserito in un DPCM, viene equiparato a una firma elettronica e, infine, un escamotage in un altro testo (D.Lgs. 110/2010), recepito nel nuovo CAD, che si pone l’obiettivo di far firmare nel mondo analogico qualcosa che sarà gestito esclusivamente nel mondo digitale.

I prossimi dodici mesi, pertanto, saranno decisivi per il futuro dell’amministrazione digitale, visto che si affronteranno i nodi delle regole tecniche, sperando che il legislatore abbia l’accortezza strategica di coinvolgere le diverse professionalità e le associazioni che le rappresentano, tenendo per ferma l’esperienza di questi anni che ha ampiamente dimostrato che la riforma calata dall’altro non attecchisce.

[1] Direttiva del Parlamento europeo e del Consiglio, 13 dicembre 1999, n. 1999/93/CE, Quadro comunitario per le firme elettroniche (GUCE 19.01.2000, L 13). Su questo tema sono intervenuti in molti. Si rinvia per la chiarezza a C. Giustozzi, Firme digitali e... analogie elettroniche, «Interlex», 2003.

[2] I seguenti articoli sono stati pubblicati nel 2010 su questa stessa rivista: A. Lisi - Gianni Penzo Doria, Che PEC-ato!; G. Penzo Doria, La firma elettronica del quinto tipo; G. Penzo Doria, PEC e CEC-PAC: proviamo a fare chiarezza.

[3] Presidenza del Consiglio dei Ministri, Circolare 18 febbraio 2010, n. 1, Uso della posta elettronica certificata nelle amministrazioni pubbliche; Presidenza del Consiglio dei Ministri, Circolare 19 aprile 2010, n. 2, Informazioni per la gestione delle caselle di posta elettronica certificata; ma soprattutto questa: Presidenza del Consiglio dei Ministri, Circolare 3 settembre 2010, n. 12, Procedure concorsuali ed informatizzazione. Modalità di presentazione della domanda di ammissione ai concorsi pubblici indetti dalle amministrazioni. Chiarimenti e criteri interpretativi sull’utilizzo della PEC.

[4] Come ha ricordato recentemente Giovanni Manca, esiste anche un’ulteriore tipologia di firma elettronica avanzata che è quella biometrica. Risulta simile alla firma analogica scansita, ma più robusta sul piano della sicurezza, generata come biometria comportamentale del titolare in quanto gestita sul piano grafologico. Si tratta di una firma dai risvolti affascinanti, soprattutto per il digital divide, purché in presenza di soluzioni applicative adeguate. Per approfondimenti, cfr. inter alia CNIPA, Linee guida per le tecnologie biometriche, 2004 (www.cnipa.gov.it/site/_files/Linee%20guida%20tecnologie%20biometriche.pdf).

[5] Tale funzione può forse far sorridere o sembrare lontana dalla realtà, ma nell’esperienza sul campo più di una volta il sostanziale analfabetismo di un comparente si è palesato solo al momento della sottoscrizione. Persone apparentemente “letterate” si sono invece rivelate sostanzialmente analfabete solo al momento della richiesta di ripetere la firma in modo leggibile, risultando in grado di apporre un sostanziale scarabocchio mandato a memoria, ma incapaci a scrivere correttamente il proprio nome e cognome per disteso.