Occorre maggiore chiarezza. Diversi messaggi arrivati in questi giorni sulla questione del "baco" dei programmi di firma digitale chiedono spiegazioni o insistono su questioni che sembravano ormai risolte (chi non avesse seguito gli articoli precedenti, li trova tutti nelle prime pagine dei numeri 224 e 225). Partiamo dalla e-mail del lettore che, una settimana fa parlava di "inesattezze decisamente fuorvianti".

Mi permetto di chiederle ancora un chiarimento in merito alla sua risposta. Continuo a non comprendere completamente la sua argomentazione; non sono riuscito a districarmi fra gli ampi contributi pubblicati sull'ultimo numero di Interlex.
Mi sembra però di intendere che, da un lato, disciplinando l'alternativa digitale alla "carta" si debbano chiaramente distinguere le problematiche giuridiche (l'integrità dell'"evidenza") da quelle tecniche (l'integrità del "documento", opportunamente definito).
D'altro canto mi sembra anche di capire che la sua tesi resti "il software non è conforme alla normativa". Le chiedo se sia veramente così, e se sia vera qualcuna delle seguenti affermazioni:
* la (colpevole) responsabilità della variabilità dell'"evidenza" si deve attribuire al software di firma , piuttosto che alla scelta del formato che condiziona l'"evidenza", indipendentemente dalla firma digitale;
* il software ha la (colpevole) responsabilità di permettere capziosamente operazioni legittime e legali (l'apposizione della firma digitale ad un file, se tale fosse l'operazione disciplinata dalla normativa) in contesti illegali (l'attribuzione del nome "documento informatico" ad un file che può avere "evidenza" variabile);
* ci si avvede che "apporre la firma ad un documento informatico" non è un operazione sufficientemente disciplinata per mancata precisazione della distinzione fra "evidenza" e "documento".
Le sarò grato se potrà aiutarmi a comprendere meglio il problema.

Sono domande interessanti, perché indicano quali difficoltà incontrino i tecnologi di fronte alle espressioni proprie del diritto, dove ogni parola ha (o dovrebbe avere) un significato preciso, come una formula matematica. Dunque il problema non è "l'attribuzione del nome", ma la "natura giuridica" del documento informatico (non il nome, quindi, ma una qualità derivante dalla presenza dei requisiti di legge). Se non ci sono i requisiti, non è un documento informatico ai sensi della normativa, quindi non può produrre gli effetti giuridici previsti dalla normativa stessa.
Il software non può avere una "colpa": essa, eventualmente, può essere di chi lo produce e/o lo distribuisce come rispondente ai requisiti di legge, mentre non lo è.

Tecnologi e giuristi attribuiscono alle stesse parole significati diversi e questo porta pericolosi malintesi.
Per esempio, quando il tecnico dice "documento" intende un "file". Per il giurista, invece, il documento è "la rappresentazione informatica di fatti, atti o dati giuridicamente rilevanti". Di conseguenza per il tecnico il programma di  firma digitale (cioè il software che calcola hash, lo cifra ecc.) "funziona" perché verifica l'integrità del file. Ma per il giurista il programma di firma digitale (che per lui è l'applicazione rilasciata dal certificatore o dalla software house) non funziona perché fa vedere come "vero" ciò che è "falso": la rappresentazione informatica di fatti, atti o dati giuridicamente rilevanti non è la stessa che è stata firmata.
Perché quando scrivo "software" dal punto di vista del diritto intendo l'applicazione che viene effettivamente impiegata dall'utente e che comprende molte altre funzioni, come quella di visualizzare il documento, chiedere la conferma della volontà di sottoscrivere "quel" documento e così via.

Ciò premesso, vediamo le osservazioni di un ingegnere, che scrive:

Si fa oggi una gran parlare del "bug" scoperto con Dike e che a tutti gli addetti ai lavori (informatici) era noto da tempo (ma non come baco !!)[...]. L'attribuire il problema alla firma è tanto fuorviante quanto inutile: il problema sta nel concetto di documento informatico. NON è possibile considerare un puro documento informatico un documento che contenga functions che peraltro, sono volontariamente e a proprio rischio introdotte dell'utilizzatore all'atto della redazione del documento. La funzione "date" (come qualunque altro "field") non si intrufola malignamente ma è frutto di una scelta specifica del redattore che quindi deve conoscerne gli effetti [...] Francamente mi pare che si sia scatenata una tempesta in un bicchier d'acqua [...].

Ecco la dimostrazione di quanto ho appena affermato. Il lettore scrive che  "non è possibile considerare un puro documento informatico un documento che contenga...". Questa è un'osservazione tecnica, a noi interessano le conseguenze legali. Per la legge non esiste il "puro" documento informatico, ma solo il "documento informatico". Il quale o è provvisto di tutti i requisiti previsti dai regolamenti, o non è valido e rilevante a tutti gli effetti di legge. Non ci sono vie di mezzo o diversi gradi di "purezza". Il problema è nella mancata rispondenza del software alle prescrizioni normative, non nel "concetto di documento informatico".

Il principale requisito del documento informatico valido e rilevante a tutti gli effetti di legge è la firma digitale, che deve consentire di verificare l'integrità del documento, come si legge nelle definizioni dell'art. 1 del TU sulla documentazione amministrativa. Siccome in presenza di contenuti dinamici la firma digitale attesta come integro un documento che può essere diverso da quello originale, non è una firma digitale ai sensi del TU: quindi il documento in questione non è valido e rilevante a tutti gli effetti di legge.
Dal punto di vista giuridico poco importa che il file ("evidenza informatica" nella normativa) sia integro, perché non è integra la "rappresentazione", che è quella che produce gli effetti giuridici.

E' il caso di ripetere anche che con i contenuti variabili non viene rispettata un'altra disposizione essenziale: l'art. 10, comma 1 delle regole tecniche stabilisce che Gli strumenti e le procedure utilizzate per la generazione, l'apposizione e la verifica delle firme digitali debbono presentare al sottoscrittore, chiaramente e senza ambiguità, i dati a cui la firma si riferisce. Se c'è un contenuto dinamico questa regola non è rispettata; quindi, in questi casi, il programma  a disposizione dell'utente non risponde ai requisiti dettati dalle norme: non tutti i documenti firmati con esso possono essere validi e rilevanti a tutti gli effetti di legge.
Ma l'utente non è informato su questo fondamentale dettaglio: è materia che può riguardare anche l'Autorità garante della concorrenza e del mercato.

Se la firma non è valida, non è valido un contratto che richiede per legge la "forma scritta", come un contratto di assicurazione. Se la firma non è valida, cioè non è generata secondo le norme, il documento non può avere il valore di "scrittura privata". E non si può chiedere all'utente di compiere verifiche da informatico sul programma o sul documento: sarebbe come imporgli l'analisi chimica dell'inchiostro usato per apporre un firma autografa.
Ed è una ben debole scusa l'osservazione che nella pubblica amministrazione non sono ammessi i documenti con contenuti dinamici: la norma non vale per i privati.

Dire che le polemiche sul difetto dei programmi di firma sono una tempesta in un un bicchier d'acqua o, come afferma un altro lettore, che stiamo facendo "tanto rumore per nulla" significa non considerare che la normativa sulla firma digitale è stata costruita per dare la massima fiducia nel documento informatico come sostitutivo del documento cartaceo a tutti gli effetti di legge. Se questa fiducia viene meno, torniamo indietro di anni.

E' singolare come anche nella risposta di InfoCamere ai nostri primi articoli si trascurino aspetti di tale rilievo. Quando il certificatore scrive che "da un punto di vista informatico la variazione dei valori contenuti nella macro non comporta alcuna alterazione del documento" incorre nello stesso errore del tecnico, perché la variazione della macro serve appunto a cambiare il contenuto non del file ("evidenza informatica"), ma del documento, che è l'unico oggetto rilevante per la legge.
Il "punto di vista informatico" non rileva per un giudice chiamato ad applicare la legge e, se del caso, decidere da chi deve essere risarcito il danno subito da qualcuno che si è fidato di una scrittura che solo all'apparenza era un documento informatico valido e rilevante a tutti gli effetti di legge. E invece, per un effetto imprevisto o per malafede della controparte, ha firmato qualcosa che non intendeva firmare o ha verificato come integra una scrittura che non lo era.

A questo punto chiunque è libero di pensare che si tatti di una tempesta in un bicchier d'acqua. Ma farebbe bene a leggere  La responsabilità del certificatore nel sistema di firma digitale di Gianni Buonomo. Un giudice, appunto, e anche uno dei componenti della commissione AIPA che cinque anni fa scrisse le prime regole sulla firma digitale.