La rapida evoluzione tecnologica e il carattere globale di Internet hanno reso necessario un approccio aperto da parte delle autorità europee alle varie tecnologie e ai relativi servizi. Di qui il proliferare di iniziative europee in tema di commercio elettronico, che ormai si susseguono dall’aprile del 1997[1], data in cui la Commissione europea presenta una prima comunicazione in materia. Strettamente collegato al tema del commercio elettronico, perché destinato all’autenticazione dei dati, è quello delle firme elettroniche. La funzione principale della sottoscrizione in forma elettronica è, tecnicamente prima che giuridicamente, quella di assicurare l’autenticità oggettiva e la veridicità del contenuto del documento sottoscritto, oltre a quella di garantire la riferibilità soggettiva. La situazione di divergenza tra gli Stati membri sulle norme in materia di riconoscimento giuridico delle firme elettroniche e di accertamento di prestatori di servizi di certificazione, rappresentava un grave ostacolo all’uso delle comunicazioni elettroniche. Per rafforzare la fiducia nelle nuove tecnologie e la loro accettazione generale è scesa nuovamente in campo Bruxelles che, con la direttiva europea n.93/99 ( pubblicata sulla Gazzetta Ufficiale delle Comunità europee L 13 del 19 gennaio 2000), definisce il quadro giuridico per il riconoscimento in tutta l’Europa delle firme elettroniche. La direttiva chiarisce le specifiche e i requisiti minimi che le firme elettroniche e i servizi di certificazione devono rispettare, nell’ottica di assicurare un livello minimo di sicurezza e di garantire il corretto funzionamento del mercato interno. Gli elementi principali della direttiva sono:
- riconoscimento giuridico della firma elettronica;
- libera circolazione nel mercato interno dei prodotti e dei servizi legati alle firme elettroniche;
- responsabilità del fornitore dei servizi di certificazione in merito a validità e contenuto dei certificati, attestanti la validità e l’autenticità della firma elettronica, forniti al pubblico;
- disciplina della certificazione al pubblico dell’identità del firmatario;
- riconoscimento delle firme elettroniche a prescindere dalla tecnologia usata;
- previsione di meccanismi di cooperazione con i Paesi terzi (extra CEE), sulla base del mutuo riconoscimento ovvero di accordi bilaterali o multilaterali.
A partire dalla data di pubblicazione sulla Gazzetta Ufficiale, gli Stati membri dispongono di diciotto mesi per recepire il contenuto della direttiva. È bene tenere presente che la direttiva non è diretta ad armonizzare le normative nazionali sui contratti, in particolare in materia di conclusione ed esecuzione dei contratti, o altre formalità concernenti l’apposizione della firma digitale. I criteri armonizzanti relativi agli effetti giuridici delle firme elettroniche dettati dalla direttiva manterranno difatti un quadro giuridico coerente in tutta la Comunità, ma sarà il diritto nazionale a stabilire i differenti requisiti per la creazione di una firma sicura, giuridicamente equivalente alla firma autografa e a definire i campi giuridici in cui possono essere impiegati documenti elettronici e firme elettroniche. Al fine di contribuire all’accettazione generale dei metodi di autenticazione elettronici, l’Unione europea ha invitato gli Stati membri a garantire che le firme elettroniche possano essere utilizzate come prove nei procedimenti giudiziari in tutti gli Stati membri, nonché ad assicurare che i prestatori di servizi di certificazione osservino la legislazione nazionale in materia di protezione dei dati e della vita privata degli individui. La rivoluzione tecnologica non si limiterà a investire unicamente il mondo delle imprese, ma alla firma elettronica farà largo ricorso anche il settore pubblico nell’ambito delle amministrazioni nazionali e comunitarie.
Come sottolineato in precedenza, il legislatore comunitario lascia agli Stati membri il compito di regolamentare in dettaglio l’utilizzo della firma elettronica. L’Italia, in anticipo rispetto a molti altri Paesi europei, ha provveduto a questo compito con i seguenti provvedimenti:
- la legge 15 marzo 1997 n.59 art.15 (meglio conosciuta come legge Bassanini) che, per la prima volta, afferma il principio della piena validità del documento informatico, rinviando alla fonte regolamentare il compito di fornire le condizioni tecniche e giuridiche che soddisfano il requisito di certezza nell’attribuzione di ogni documento al suo autore;
- il Dpr 10 novembre 1997 n.513, che dà in parte attuazione alla predetta disciplina;
- il Dpcm 8 febbraio 1999, che fissa le regole sulla validità dei contratti on line e sulla certificazione della firma elettronica.
È opportuno ricordare che la firma elettronica rappresenta un genus di cui la firma digitale è una species. La firma digitale è definita come il risultato della procedura informatica basata su un sistema a chiavi asimmetriche a coppia, una pubblica e una privata, che consente al sottoscrittore tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l’integrità di un documento elettronico. Le norme del codice civile riguardanti l’efficacia, anche probatoria, degli atti e dei documenti redatti su carta, prescrivono delle condizioni di forma, al solo scopo di rendere validi e rilevanti gli effetti che le informazioni contenute su supporto cartaceo producono. Utilizzando questa chiave di lettura si comprende l’importanza delle regole che il legislatore italiano ha reso completamente disponibili nel corso del 1999, relative ai criteri da seguire per la formazione, l’archiviazione e la trasmissione di documenti con strumenti informatici e telematici. Come già anticipato, il procedimento informatico in grado di generare, apporre e verificare una firma digitale è un meccanismo di crittografia a chiavi asimmetriche. Chi intende firmare elettronicamente un documento in formato elettronico, deve disporre di una “coppia di chiavi di cifratura”, una pubblica e una privata, correlate tra loro. La coppia è generabile da un software specifico. Dal documento da firmare si deve ricavare un’impronta di qualche centinaio di bit con un algoritmo di compressione. L’impronta del documento è quindi cifrata con la chiave privata, conosciuta solo dal sottoscrittore, ottenendo un altro insieme di bit che costituisce la firma digitale. La firma digitale, così ricavata, non è unica anche utilizzando la stessa chiave privata ma varia al variare del documento firmato, costituendo, quindi, una sorta di “sigillo elettronico” dello stesso documento. Per verificare l’autenticità del documento occorre che la firma digitale, il documento elettronico e l’algoritmo per produrre la sua impronta siano disponibili al momento della verifica, anche se possono essere veicolati da messaggi diversi. La verifica consiste nel decifrare, tramite la chiave pubblica, la firma digitale e nel confrontare il risultato ottenuto con l’impronta del documento. Se i due insiemi di bit coincidono, si può essere certi dell’integrità del documento. Infatti, anche la modifica di un solo bit determina un diverso valore dell’impronta che non coinciderà più con la decodifica della firma digitale. Solo il possessore della chiave privata accoppiata con la chiave pubblica utilizzata per la verifica può aver firmato e quindi generato il documento scambiato. È necessario però che qualcuno certifichi l’identità del soggetto titolare della coppia di chiavi. Questo compito è demandato a speciali enti – le “Autorità di certificazione” – che hanno anche il compito di garantire l’unicità della coppia di chiavi e la loro validità e di gestire speciali registri, consultabili per via telematica, contenenti le chiavi pubbliche dei soggetti titolari delle stesse chiavi. Senza l’Autorità di certificazione tutto il processo descritto diventa impraticabile. Le regole tecniche e i requisiti organizzativi per dare piena attuazione al regolamento sono appunto stati definiti dal Dpcm 8 febbraio 1999. Con il sistema delle chiavi asimmetriche è anche possibile garantire la riservatezza delle informazioni scambiate. Come già anticipato, la firma elettronica non ha nulla a che vedere con una “firma” riprodotta digitalmente, ma è uno strumento che consente di riconoscere a chi riceve un messaggio per via telematica chi è l’autore del messaggio. In altre parole, la firma elettronica consente uno scambio d’informazione con controllo automatico della genuinità della fonte di origine del messaggio stesso. Si comprende facilmente come lo sviluppo dello specifico strumento consente di effettuare, con lo strumento della telematica, transazioni che in precedenza dovevano essere concluse solo di persona e con l’incontro effettivo delle parti contraenti.
Si ritiene opportuno evidenziare la battuta d’arresto che il documento informatico ha subito, in Italia, a seguito dell’approvazione da parte del Consiglio dei Ministri, in data 25 agosto 2000, del Testo Unico sulla documentazione amministrativa. Tale provvedimento legislativo dovrebbe mettere definitivamente ordine nel caotico settore delle carte, dei fascicoli, dei faldoni che ingombrano spesso disordinatamente gli uffici pubblici, e regolare una volta per tutte lo scambio di documenti all’interno dell’amministrazione e tra questa e i cittadini. Infatti, il Testo Unico disciplina la formazione, la trasmissione e l’archiviazione dei documenti, lo scambio degli stessi tra le diverse amministrazioni, l’accesso da parte dei cittadini, il protocollo e via discorrendo. Tuttavia, il Testo Unico dà per scontato l’uso della carta d’identità elettronica e, naturalmente, della firma digitale, che è l’elemento essenziale per l’efficacia legale dei documenti. Una lettura non superficiale del testo rivela incongruenze e lacune che potrebbero sortire effetti opposti a quelli sperati. Il primo elemento, e forse il più rilevante, che salta all’occhio è il recepimento, con poche ma non trascurabili differenze, dell’intero testo del D.P.R. 513/97, abrogato dall’art.75. La conseguenza sembra gravissima: le regole tecniche (Dpcm 8 febbraio 1999) previste dall’art.13 del D.P.R.513/97, sono automaticamente abrogate, ma non sostituite in alcun modo né fatte salve da altre disposizioni. In questo modo si verifica un vuoto normativo tale da rendere inoperante tutto il sistema della firma digitale, fino all’emanazione delle nuove regole previste dall’art.8 del Testo Unico, per le quali, per di più, non si detta un termine certo. La situazione è talmente disarmante da portare ad una riflessione: “o chi ha scritto questo testo non sa nulla di firma digitale, o si tenta di affossarla deliberatamente”[2]. Nonostante la battuta d’arresto, i lavori diretti alla creazione delle infrastrutture idonee alla diffusione della sottoscrizione elettronica non sembrano fermarsi. Infatti, l’Unappa (Unione nazionale professionisti pratiche amministrative), che rappresenterà lo sportello periferico di Infocamere per quanto riguarda la firma digitale, ha firmato con Infocamere una convenzione che riconosce all’Unione il ruolo di tramite per tutte le questioni attinenti alla sottoscrizione elettronica. Probabilmente per veder “decollare” la firma elettronica in Italia bisognerà attendere la fatidica data del 19 luglio 2001, entro la quale il nostro Legislatore dovrà procedere all’emanazione di una normativa di recepimento della direttiva 1999/93/CE relativa ad un quadro comunitario per le firme elettroniche.
STUDIO LEGALE G.G.M.
[1] Il 15 aprile 1997 la Commissione ha presentato al Parlamento europeo, al Consiglio, al Comitato economico e sociale e al Comitato delle regioni una comunicazione intitolata “Un’iniziativa europea in materia di commercio elettronico”, relativa ad un’iniziativa europea in materia di commercio elettronico; l’8 ottobre 1997 la Commissione ha presentato al Parlamento europeo, al Consiglio, al Comitato economico e sociale e al Comitato delle regioni una comunicazione intitolata “Garantire la sicurezza e l’affidabilità nelle comunicazioni elettroniche”.
[2] Vedi Cammarata M., Così si distrugge il documento informatico, pubblicati il 14/09/2000 sul sito www.interlex.it