Nell'ambito di una nota mailing list che si occupa dei problemi di sicurezza dei sistemi informatici (ml@sikurezza.org), numerosi esperti hanno recentemente segnalato che, utilizzando prodotti di firma digitale attualmente in commercio, sarebbe possibile modificare il contenuto di un documento informatico, anche dopo la sua sottoscrizione con firma digitale.

L'argomento, di grande interesse per quanti si occupano dei problemi legati all'introduzione delle nuove tecnologie ed, in particolare, alle firme elettroniche, ha generato un'aspra polemica che vede attualmente contrapposti produttori, certificatori, giuristi e tecnici. I primi, in particolare, sembrano sostenere la piena rispondenza alla legge in vigore dei sistemi che, al momento di convalidare la verifica della firma digitale, consentono al documento di ricalcolare i valori dei campi e di mostrare all'utente i nuovi valori in funzione delle variabili d'ambiente presenti sul computer (ad esempio, un documento in formato Microsoft Word contenente un campo variabile al posto della data, può mostrare il campo aggiornato, con una data diversa, anche se il sistema effettua validamente la verificazione della firma).

La questione sembra toccare, peraltro, anche il tema della responsabilità del certificatore o del fornitore del sistema di firma e delle conseguenze che la legge connette alla mancata osservanza delle regole tecniche per la generazione delle chiavi di cifratura e per l'apposizione delle firme elettroniche (attualmente contenute nel DPCM 8 febbraio 1999).

Va premesso, in ogni caso, che nell'attuale sistema normativo il documento informatico può considerarsi valido e rilevante ad ogni effetto di legge (quindi: equipollente al documento formato su carta) solo se è conforme alle disposizioni regolamentari emanate in attuazione dell'articolo 15, comma 2 della legge n. 59/97.
Com'è noto, queste norme, dapprima previste nel DPR 513/97 sono state successivamente trasfuse nell'ambito del testo unico sulla documentazione amministrativa, emanato con DPR 28 dicembre 2000, n. 445.

Chiunque può intuire, anche senza ricorrere ad una raffinata esegesi normativa, che un documento informatico, per essere equivalente al più tradizionale documento cartaceo, deve correttamente rappresentare, attraverso la firma digitale che su di esso viene apposta, il consenso del firmatario sul contenuto (giuridicamente rilevante) del documento così come esso si presenta in un determinato luogo ed in determinato momento.
In altri termini, poiché è dalla firma apposta su un documento che si trae la presunzione che l'autore dello scritto è colui che vi appare come firmatario, è evidente che qualsiasi successiva modificazione dello scritto inizialmente sottoscritto, all'insaputa del suo autore, rende del tutto inidoneo lo scritto, già sul piano dei principi generali, a far piena prova . della provenienza delle dichiarazioni di chi l'ha sottoscritto secondo le disposizioni dell'articolo 10 del citato testo unico n. 445. In altri termini, il secondo documento, rispetto al primo, è, giuridicamente, un falso.

Pensiamo alla sottoscrizione di un contratto di vendita, che preveda il pagamento del prezzo in diverse soluzioni differite nel tempo: se le date dei pagamenti sono contenute in campi variabili (che al momento della sottoscrizione possono essere resi del tutto invisibili al firmatario) è ben possibile che, successivamente, queste possano cambiare, stravolgendo completamente gli accordi tra le parti. Se, tuttavia, la firma del contraente viene correttamente verificata dal sistema, utilizzando il documento informatico il venditore potrebbe ottenere facilmente, in via giudiziale, l'adempimento forzato di quelle obbligazioni, poiché (a causa della sciagurata modifica dell'articolo 10 del TU 445/00 operato dall'articolo 6 del decreto legislativo 10/02) il documento informatico, quando è sottoscritto con firma digitale . fa piena prova, sino a querela di falso, della provenienza delle dichiarazioni di chi l'ha sottoscritto.

E' pertanto impensabile che un documento dai contenuti "variabili" nel tempo possa considerarsi validamente formato e sottoscritto.
Un rapido esame del quadro normativo di riferimento sembra confermare questa conclusione.
In primo luogo, la firma digitale si definisce come la procedura informatica che consente . di verificare . l'integrità di un documento informatico (art. 1 lett. m del DPR 445/00) ed è evidente che il concetto giuridico di integrità comprende sia l'interezza sia la completezza formale e sostanziale dell'originale firmato.

Ancora, va rilevato che un sistema di firma sicuro per la generazione di una firma digitale deve rispondere (art. 1 lett. f del DLgv 10/02) ai requisiti dell'allegato III della direttiva 1999/93/CE (art. 10 DLgv. n. 10/02 cit.) e, conseguentemente, non deve consentire alterazioni dei dati sottoposti alla firma (all. III n. 2) e che a norma dell'articolo 10 delle regole tecniche attualmente in vigore (DPCM 8.2.99 cit.) gli strumenti di verifica della firma digitale devono presentare all'utente chiaramente e senza ambiguità . i dati a cui la firma si riferisce (cioè i dati che costituivano il documento originale, sottoscritto dall'autore; non altri).

Quali sono, dunque, le responsabilità che incombono su chi impiega tecnologie di firma digitale non conformi alle citate disposizioni di legge?
Va premesso - in generale - che nell'ambito del rapporto contrattuale, il debitore che non esegue correttamente la prestazione dovuta è tenuto al risarcimento del danno (art. 1218 cod. civ.) e che, in particolare, nei rapporti tra venditore ed acquirente, il primo deve garantire che la cosa venduta sia immune da vizi che la rendono inidonea all'uso a cui è destinata (art. 1490 cod. civ.). Non sembra dubitabile, sotto questo profilo, che un sistema di firma digitale non conforme alle disposizioni di legge è inidoneo ad assicurare al documento firmato la stessa efficacia del documento cartaceo ed è quindi, se questo è lo scopo per cui il programma è stato acquistato, irrimediabilmente viziato.

L'attuale quadro normativo offre, tuttavia, altri spunti di riflessione con riferimento agli obblighi che incombono, specificamente, su chiunque intenda utilizzare un sistema di chiavi asimmetriche o di firma digitale, che è tenuto ad adottare tutte le misure organizzative e tecniche idonee ad evitare danno ad altri, secondo la disposizione dell'articolo 28 del citato testo unico sulla documentazione amministrativa (applicabile, per questa parte, anche ai rapporti tra privati, ex art. 2 dello stesso TU).

Ciò significa, evidentemente, che spetta al danneggiato di provare, esclusivamente, la sussistenza di un danno risarcibile ed il fatto che all'origine del fatto dannoso vi sia l'utilizzazione del sistema di firma digitale viziato: non altro, poiché il meccanismo processuale che pone a carico dell'utilizzatore la presunzione di colpa, impone a quest'ultimo, una volta convenuto in giudizio, di provare di aver fatto tutto quanto era possibile per evitare di cagionare danno ad altri.

In questo schema, sembra rientrare anche il rapporto tra certificatore (che distribuisce a pagamento un proprio sistema di firma digitale) e utente del servizio, poiché entrambi utilizzano il sistema basato sulle chiavi asimmetriche e, in particolare, il certificatore garantisce, proprio con quel sistema, attraverso il certificato, la corrispondenza tra chiave pubblica e chiave privata, attestando l'identificazione del titolare- firmatario.
Lo schema seguito dal legislatore sembra ricalcare, in questo caso, l'inversione dell'onere della prova previsto, per l'esercizio di attività pericolose, dall'articolo 2050 del codice civile.

Ma v'è di più.
Il secondo comma dell'articolo 28 del TU 445/00 impone al certificatore di attenersi alle regole tecniche di cui all'articolo 8 comma 2 (lett. d) e richiama, pertanto, una specifica responsabilità connessa alla violazione delle prescrizioni regolamentari.
Conseguentemente, l'uso di un sistema non conforme alle regole tecniche vigenti comporta la responsabilità del certificatore e l'obbligo di risarcire il danno.
Queste considerazioni presuppongono, evidentemente un uso soltanto colposo (cioè caratterizzato da violazione delle norme, imperizia, negligenza od imprudenza) del documento informatico sottoscritto con strumenti non idonei di firma digitale.

L'uso intenzionale (doloso) di un documento informatico a campi variabili, ancor di più se associato alla predisposizione consapevole degli strumenti che comportano la futura variazione del contenuto dell'atto (si pensi all'esempio del contratto in cui sino mutate le condizioni di pagamento) comporta - evidentemente - la responsabilità penale dell'autore dell'illecito.
E' noto, infatti, che la falsità penalmente rilevante di un documento (anche informatico) può essere esclusa solo quando le modificazioni dell'atto non incidono, in alcun modo, sull'esistenza, sull'efficacia e sul contenuto del documento, cioè solo nei casi in cui - come scrive la Corte di Cassazione (sent. 24 giugno 1988, imp. Cioffi, Riv. Pen., 1989, pag. 621) e quando lo stesso documento conserva tutte le sue originarie caratteristiche di struttura e di contenuto.

L'uso consapevole del falso documento, dunque, configura il delitto di falso in scrittura privata (art. 485 c.p. - in relazione all'articolo 491 bis c.p. che definisce il documento informatico ai fini della legge penale) e l'applicazione delle sanzioni ivi previste (reclusione da sei mesi a tre anni) poiché si considerano alterazioni anche le aggiunte falsamente apposte ad una scrittura vera, dopo che questa fu definitivamente formata (art. 485 cod. pen. comma secondo).