Firma digitale: gli errori da correggere

di Manlio Cammarata -24.09.08

Il disegno di legge AC1441-bis  - Disposizioni per lo sviluppo economico, la semplificazione, la competitività, la stabilizzazione della finanza pubblica e la perequazione tributaria - contiene diverse proposte che riguardano l'uso delle tecnologie. In particolare, l'art. 14 contiene interventi per la diffusione dei collegamenti a banda larga, l'art 48 introduce disposizioni sulla dematerializzazione dei documenti e l'art. 49 prevede una delega al governo per introdurre modifiche al decreto legislativo 85/05 (codice dell'amministrazione digitale, CAD).

Dell'art. 48 ci siamo occupati la settimana scorsa (Atti on line e firma digitale: una delega da rivedere) e qui non resta che ribadire l'opportunità che queste norme, con le auspicabili modifiche, siano introdotte nel CAD, per non peggiorare la già compromessa unitarietà della normativa.
Sull'art. 49 c'è un'interessante proposta di emendamento dell'onorevole Lo Presti, che esaminiamo nell'articolo Emendamento interessante, si può migliorare.
Qui approfondiamo la prospettiva, mettendo a confronto le definizioni della direttiva europea sulle firme elettroniche e quelle del CAD: le differenze saltano all'occhio e fanno capire come sia urgente adeguare (e soprattutto semplificare) la normativa italiana.

Concludiamo con alcune proposte di emendamenti che riguardano anche altre parti del codice dell'amministrazione digitale, emendamenti che possono essere utili per eliminare le contraddizioni più vistose del testo.
 

Il testo della direttiva non è chiarissimo, ma la traduzione in italiano è un disastro. Infatti il termine signature è stato tradotto con "firma" anche nella prima definizione, nella quale non c'è alcun riferimento alla persona (entity authemtication). Si tratta dunque solo di un metodo per la validazione dei dati (data authentication). La prima versione del CAD traduceva "a orecchio" firma elettronica: l'insieme dei dati in forma elettronica, allegati oppure connessi tramite associazione logica ad altri dati elettronici, utilizzati come metodo di autenticazione informatica. Durante l'elaborazione della seconda versione del codice era stato fatto notare che il termine "autenticazione" nell'ordinamento italiano ha un altro significato, ed era stato suggerito il più corretto "validazione". Niente da fare. Il redattore della norma ha scritto "identificazione". Risultato: viene introdotto nella definizione il concetto di entity authentication, con il risultato che la "firma elettronica" ora corrisponde alla advanced electronic signature (firma semplice)  e nel codice manca la previsione dello strumento per la validazione dei dati, previsto dalla direttiva.

Sulla trasposizione della "firma elettronica avanzata basata su un certificato qualificato e creata mediante un dispositivo per la creazione di una firma sicura (rectius: di un dispositivo sicuro per la creazione della firma) il legislatore italiano ha creato un pasticcio di sei diversi commi: ogni commento è superfluo.
Ma il massimo del caos si verifica con la "firma digitale", che dal punto di vista tecnico è la stessa cosa della firma elettronica. La definizione pone una questione questione singolare: alla lettera s) si prevede che la firma digitale "consente al titolare tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l'integrità di un documento informatico o di un insieme di documenti informatici". Questa previsione non compare per la firma digitale qualificata, sicché quest'ultima, stando alla lettera delle disposizioni, non consentirebbe di "rendere manifesta... e di verificare...". Il che è palesemente assurdo.

La delega al Governo per mettere ordine nelle definizioni, seguendo la traccia dell'emendamento Lo Presti, potrebbe suonare così:

c) modificare e integrare la normativa in materia di firma digitale al fine di incentivarne l'adozione e l'uso generalizzato da parte della pubblica amministrazione, dei cittadini e delle imprese, nel rispetto dei princìpi e delle definizioni comunitarie, che distinguono segnature per la validazione dei dati e firme per la validazione dell'identità,  con la piena equiparazione della firma elettronica qualificata alla firma autografa, nonché al fine di consentire anche la certificazione di ruoli e funzioni.

Un altro problema che ha avuto una soluzione insufficiente nel CAD è quello della certezza della disponibilità esclusiva del dispositivo di firma da parte del titolare. Un emendamento efficace potrebbe essere questo:

...) Precisare che il titolare deve essere personalmente identificato con certezza dal certificatore o da un suo incaricato e che il dispositivo di firma deve tassativamente essere consegnato nelle mani dello stesso titolare, prevedendo l'ipotesi di falso documentale nei casi di mancato rispetto di tale procedura.

Resta infine, ma non ultimo,  c'è il problema della trasmissione dei documenti dai cittadini alla pubblica amministrazione e tra i diversi uffici di questa. Le norme attuali fanno di ogni erba un fascio, mettendo insieme il documento con firma digitale (che offre la massima sicurezza) con il fax (insicuro per definizione), passando per la carta d'identità elettronica e la carta nazionale dei servizi (che validano l'identità, ma non i dati). Ecco un'ipotesi di emendamento per risolvere la questione:

...) Integrare le disposizioni sulla trasmissione dei documenti, distinguendo i casi in cui è necessaria la certezza dell'identità del mittente da quelli in cui è necessario accertare l'integrità dei dati e prevedendo esplicitamente il pieno effetto, ai fini amministrativi, della firma elettronica qualificata e della posta elettronica certificata.

Nota. Un esame complessivo delle differenze tra la normativa europea e quella italiana è nel mio libro Firme elettroniche - Problemi normativi del documento informatico, Monti & Ambrosini Editori, 2007.