Dal 1° luglio 2016 si applica il regolamento (UE) n. 910/2014, noto come eIDAS (electronic IDentification, Authentication and trust Services). Approvato il 23 luglio 2014, sostituisce la vecchia direttiva 1999/93/CE sulle firme elettroniche, abrogata dalla stessa data. Non serve una legge di recepimento: le regole sono le stesse in tutti gli Stati membri e valgono direttamente.
Per chi lavora con contratti, documenti e firme digitali il cambiamento è concreto. Il regolamento non parla più soltanto di firme, ma di un intero mercato di servizi fiduciari, cioè quei servizi che rendono affidabile una transazione elettronica tra soggetti che non si conoscono.
I servizi fiduciari
L’art. 3 del regolamento ne fa un elenco preciso: la creazione, la verifica e la convalida di firme elettroniche, sigilli elettronici e validazioni temporali; i servizi elettronici di recapito certificato; i certificati di autenticazione di siti web; la conservazione di firme, sigilli e certificati. Per ciascuno il regolamento distingue una versione semplice e una qualificata, erogata da un prestatore qualificato sottoposto a vigilanza e iscritto negli elenchi di fiducia nazionali.
| Strumento | Effetto della versione qualificata |
|---|---|
| Firma elettronica (art. 25) | «ha effetti giuridici equivalenti a quelli di una firma autografa» ed è riconosciuta in tutti gli Stati membri |
| Sigillo elettronico (art. 35) | gode della «presunzione di integrità dei dati e di correttezza dell’origine»: è la «firma» delle persone giuridiche |
| Validazione temporale (art. 41) | gode della presunzione di accuratezza della data e dell’ora e di integrità dei dati |
| Recapito certificato (art. 43) | presunzione di integrità, di invio da parte del mittente identificato, di ricezione e di data e ora |
| Documento elettronico (art. 46) | non gli sono negati effetti giuridici e valore di prova «per il solo motivo della sua forma elettronica» |
Il principio di non discriminazione
La regola che attraversa tutto il regolamento è semplice: a una firma, a un sigillo, a una validazione temporale o a un documento elettronico non possono essere negati effetti giuridici e valore di prova per il solo fatto di essere elettronici, o di non essere qualificati. Il giudice resta libero di valutarli, ma non può scartarli a priori. La versione qualificata, invece, porta con sé un effetto più forte, fissato dal regolamento: l’equivalenza alla firma autografa o una presunzione legale.
La novità più interessante per le imprese è il sigillo elettronico. È lo strumento con cui una persona giuridica garantisce origine e integrità di un documento, senza passare per la firma di una persona fisica. Pensiamo a fatture, estratti conto, certificati emessi in grandi volumi: il sigillo qualificato li rende verificabili da chiunque, in tutta l’Unione.
Identità digitale: un percorso più lungo
La seconda metà del regolamento riguarda l’identificazione elettronica. Gli Stati possono notificare alla Commissione i propri sistemi di identità digitale; una volta notificati, gli altri Stati dovranno riconoscerli per l’accesso ai servizi pubblici online. Qui i tempi sono diversi: il riconoscimento reciproco diventa obbligatorio solo tre anni dopo l’adozione degli atti di esecuzione, cioè non prima del 2018.
In Italia il sistema candidato è SPID, il Sistema pubblico di identità digitale, che rilascia le prime identità dal 15 marzo 2016. È un passo importante, ma per ora vale solo sul territorio nazionale.
Che cosa cambia in Italia
Il nostro ordinamento ha già una disciplina dettagliata della firma digitale nel Codice dell’amministrazione digitale (d.lgs. 82/2005). Ora il regolamento prevale sulle norme nazionali incompatibili, e la legge 124/2015 ha delegato il Governo ad adeguare il CAD alla disciplina europea. Fino a quando il nuovo CAD non sarà approvato, operatori e giuristi dovranno leggere le due discipline insieme. La vigilanza sui prestatori di servizi fiduciari resta all’AgID.
Resta aperta, in particolare, la questione della PEC. La posta elettronica certificata è uno strumento nazionale e non identifica in modo certo mittente e destinatario, come invece richiede il recapito certificato qualificato. Capire se e come la PEC potrà diventare un servizio qualificato eIDAS sarà uno dei nodi della riforma del CAD.
Le domande per il giurista
- Quale firma serve per un contratto? Per i contratti che richiedono la forma scritta, la firma qualificata equivale alla firma autografa in tutta l’Unione; per le altre firme elettroniche decide il giudice, che non può però escluderle per la sola forma elettronica.
- Un certificato straniero vale in Italia? Sì: la firma qualificata basata su un certificato qualificato di un altro Stato membro è riconosciuta anche da noi.
- Che valore ha una PEC rispetto a un recapito qualificato? Finché la PEC non sarà inquadrata nel nuovo sistema, i due strumenti restano distinti.
Area di attività dello Studio: Tech, AI, Data & Digital Rights.
Domande frequenti
Da quando si applica il regolamento eIDAS?
Dal 1° luglio 2016, data in cui è abrogata la direttiva 1999/93/CE sulle firme elettroniche.
Che cos’è un sigillo elettronico?
È l’equivalente della firma per le persone giuridiche: garantisce origine e integrità di un documento. Se qualificato, gode di una presunzione legale.
SPID è già riconosciuto negli altri Stati?
Non ancora. Il riconoscimento reciproco delle identità digitali notificate diventa obbligatorio solo più avanti, non prima del 2018.
Una questione simile da valutare oggi?
Il quadro normativo è cambiato dal 2016: possiamo aiutarti a capire quali regole valgono oggi per il tuo caso.
Redazione ADLP — luglio 2016. Fonti: regolamento (UE) n. 910/2014; d.lgs. 82/2005.
Nota informativa. I contenuti hanno finalità esclusivamente informative, nel rispetto degli artt. 17 e 17-bis del Codice Deontologico Forense, e non costituiscono parere legale. Per ogni valutazione sul caso concreto è necessario un confronto professionale.
© 2016 ADLP Studio Legale. Testi, immagini, grafiche e documenti di questo sito sono protetti dalla legge 22 aprile 1941, n. 633; la riproduzione è riservata (art. 65). Sono consentite citazioni e riprese, anche da parte di motori di ricerca e sistemi di IA, purché indichino l’autore, ADLP Studio Legale e il link all’articolo. Sono vietati copia e riuso senza attribuzione, nonché l’estrazione di testo e dati per addestrare modelli di IA (art. 70-quater).
