1

Documento elettronico e Firma Digitale

Prof. Avv. Gianluigi Ciacci

Studio Legale Ciacci

2

Le tecnologie informatiche� L’elaboratore elettronico è la macchina più

efficiente per la produzione e conservazione delle informazioni;

� la gestione informatizzata dell’attività di documentazione dei privati e della Pubblica Amministrazione si è quindi sempre più affermata;

� questo in particolare poi con l’avvento della telematica e di Internet, che hanno permesso di estendere tale efficienza anche alla comunicazione delle informazioni.

2

3

Le tecnologie informatiche

� Il computer, sia in un momento dinamico (elaborazione dei dati o trasmissione degli stessi), sia in un momento statico (archiviazione e conservazione dei dati elaborati), lavora con realtà elettroniche digitali;

� “digitali” (dall’inglese “digit” cioè “cifra”) perché basate su un sistema binario di interpretazione della realtà, corrispondente ad una sequenza di combinazioni di 0 e di 1.

4

Le tecnologie informatiche� Il lavoro con le realtà elettroniche digitali può avvenire

a livello circuitale o di reti telematiche nel momento dinamico, oppure nell’ambito dei supporti magnetici od ottici, corrispondenti alle memorie ausiliarie, nel momento “statico” (archiviazione e conservazione) ;

� Il singolo circuito, o la singola parte di materiale magnetico o ottico, che può avere un duplice valore (passa o no corrente,

magnetizzato o no, “buco” o “piano”) prende il nome di “bit”;

� un insieme di “bit”, a cui è possibile attribuire un significato, prende il nome di “byte”;

3

5

Le tecnologie informatiche

� Grazie all’evoluzione repentina ed esponenziale delle tecnologie informatiche, oggi è possibile, in base a strumenti di acquisizione delle informazioni particolarmente avanzati, rendere una qualsiasi realtà percepibile dai nostri sensi in maniera gestibile dal computer, in particolare quindi attraverso byte, cioè in formato digitale

� è proprio il concetto di informazione, a causa dell’interazione con i nuovi strumenti automatici di gestione della stessa, a cambiare, a diventare “informazione automatica””””, “informatica”””” ;

6

Alcune riflessioni … informatiche

�alla luce di tale processo e di queste modalità operative, informazione è sicuramente un testo scritto, ma è anche un suono, un odore, un’immagine: tutti elaborabili attraverso un sistema automatizzato

�se il computer permette di ampliare a questo livello il concetto

di informazione, allora anche il concetto di “documento” ne risulta altrettanto ampliato

� oggi si rileva, accanto al “documento” inteso in senso tradizionale (cosa rappresentativa di un fatto), anche un nuovo tipo, il “documento informatico”.

4

7

Il Documento informatico� “documento informatico” deve quindi essere inteso

come documento, nel senso ampio appena visto, prodotto da un sistema informatico

� Pertanto, tenendo presente le modalità di gestione delle informazioni da parte del computer, per documento oggi può essere inteso un testo, ma anche un’immagine, o un insieme di immagini, o ancora un suono o un insieme di suoni, oppure tutte queste realtà (testo, immagini e suoni) insieme

8

Il Documento informatico nella legge

� La definizione normativa di “documento informatico”è stata inizialmente legata a ciò che contiene e non a ciò che è contenuto (art. 3 l. 547/1993): “qualunque supporto informatico contenente dati o informazioni aventi efficacia probatoria o programmi specificamente destinati ad elaborarli”.

� Successivamente si è più correttamente prestato attenzione alla specificità del medium: “la rappresentazione informatica di atti, fatti o dati giuridicamente rilevanti”;

� si abbandona così il legame con il supporto, e si da la prevalenza al contenuto (smaterializzato) sul contenente.

5

9

Il Documento nella Delibera C.N.I.P.A. 19/2/2004

� La normativa in materia, dopo aver definito “documento” la rappresentazione informatica o in formato analogico di atti, fatti e dati intelligibili direttamente o attraverso un processo di elaborazione elettronica,distingue

– documento analogico, a sua volta distinto in “originale” (che

verrà ulteriormente sotto-distinto in “unico” e “non unico”) e

“copia”,

– documento informatico, che viene ancora definito come “la rappresentazione informatica di atti, fatti o dati giuridicamente rilevanti”

10

Il documento informatico e il suo valore

� Fino a poco tempo fa i documenti che venivano prodotti e gestiti attraverso il computer non avevano alcun valore giuridico, costringendo ad una duplice gestione dell’attività di documentazione, informatizzata e parallelamente cartacea;

� la legge richiedeva infatti la necessaria stampa su carta di quanto era stato scritto con l’elaboratore elettronico e l’attuazione di procedure “tradizionali” (ad es. l’uso della sottoscrizione autografa) per la sua imputazione;

� ciò a causa della “sfiducia” del giurista, e del legislatore, a concedere un valore ad un media così facilmente alterabile.

6

11

Il documento informatico e il suo valore

� Infatti affinché possa essere attribuita efficacia giuridica al documento elettronico, deve essere garantita la sua genuinità e sicurezza, oltre alla provenienza e non ripudiabilità nel caso questo venga trasmesso a distanza;

� requisiti difficilmente realizzabili usando il computer per gestire l’attività di documentazione (come d’altro canto avviene quotidianamente);

� tale risultato, dopo anni di intensi dibattiti dottrinari, si è ottenuto, casualmente, anche per i documenti informatici, attraverso un’applicazione specifica delle tecnologie crittografiche, che ha reso possibile la c.d. firma digitale.

12

Per “firma digitale” si deve intendere la sottoscrizione predisposta mediante un computer sulla base della tecnica della crittografia a chiave asimmetrica e di particolari funzioni matematiche

niente a che vedere quindi con la tradizionale sottoscrizione posta alla fine, o a margine, di un foglio di carta, né proprio con la firma autografa

in questo caso si tratta infatti di un sistema puramente tecnico che si basa sull'esclusività del suo uso per rendere possibile l'imputazione di un documento elettronico

La Firma Digitale

7

13

Tale metodologia tecnica costituisce oggi il criterio legale in base al quale è possibile imputare a un determinato soggetto un documento redatto mediante il computer.

Diventa cioè il sistema mediante il quale l’ordinamento giuridico riesce ad attribuire il valore di piena prova alla documentazione prodotta, gestita e trasmessa attraverso l’uso del computer, prescindendo dalla necessità della relativa stampa, e quindi della relativa sottoscrizione.

Risultato reso possibile da una specifica applicazione delle tecnologie crittografiche.

La Firma Digitale

14

Secondo le tecnologie crittografiche

Crittografia è la tecnica che permette, con l’aiuto di un algoritmo matematico, di trasformare un messaggio leggibile da tutti in una forma illeggibile per quegli utenti che non possiedano una chiave segreta di decifrazione.

La funzione è reversibile, per cui l’applicazione dello stesso algoritmo e della chiave segreta al testo cifrato restituisce il testo originaleLa crittografia esiste fin dall’antichità: se ne

parla nelle “Vite Parallele” di Plutarco

(la “scitala”) e nella “Vita dei Cesari”

di Svetonio.

8

15

Le Tecniche di crittografia

• Crittografia c.d. Asimmetrica

• Crittografia c.d. Simmetrica: – si usa una sola modalità per rendere illeggibile e poi

leggibile il testo, una sola chiave segreta, la stessa per criptare e decriptare il documento

enigma

16

La Crittografia Simmetrica� si usa una sola modalità per rendere illegibile

il testo, una sola chiave segreta, la stessa per criptare e decriptare il documento

� le parti devono scambiarsi la chiave di criptazione, la cui trasmissione implica un serio problema di sicurezza

� nel caso di comunicazione con diversi soggetti, si devono adottare chiavi diverse per ognuno di essi

� la sicurezza dell’integrità del documento, si ottiene nei confronti dei terzi, ma non tra le parti

Aspetti negativi

9

17

La Crittografia Asimmetrica• si usa una coppia di chiavi, complementari, diverse

per “chiudere” ed “aprire” il documento, di cui una viene resa pubblica (in appositi elenchi consultabili telematicamente) e l’altra mantenuta segreta

• può avere 2 distinte applicazioni: a fini di segretezza, oppure a fini di autenticazione

chiave pubblica chiave privata

18

La Crittografia Asimmetrica a fini di segretezza

Quando A chiude il documento con la chiave pubblica di B, è sicuro che solo B, titolare della complementare chiave privata, potrà aprirlo (in questo modo si ha la sicurezza della riservatezza del messaggio, fine per cui è stata inventata tale tecnica)

A BA cifra con la chiave pubblica diB B decifra con la sua chiave privata

10

Ma la Crittografia Asimmetrica può avere anche

un’altra interessante applicazione

20

La Crittografia Asimmetrica a fini di autenticazione

Se B può aprire con la chiave pubblica di A, vuol dire che tale documento è stato chiuso dalla chiave privata di A, e quindi si ha la sicurezza che solo A può esserne stato l’autore (in questo modo si accerta la provenienza del messaggio, applicazione ulteriore di tale tecnica)

A BA cifra con la sua chiave privata B decifra con la chiave pubblica di A

11

21

La Crittografia Asimmetrica a fini di autenticazione e di segretezza

E’ l’unione delle due tecniche, permette di ottenere la riservatezza del messaggio di cui è possibile accertare la provenienza

A B1- A cifra con la sua chiave privata 1- B decifra con la sua chiave privata

2- A cifra nuovamente con la chiave pubblica di B

2- B decifra di nuovo con la chiave pubblica di A

22

Crittografia Asimmetrica e autenticazione

�Abbiamo detto che caratteristica della crittografia asimmetrica è il necessario collegamento tra chiave privata e chiave pubblica (assioma tecnico)

�quindi se si riesce ad aprire un determinato testo con la chiave pubblica di Tizio, vuol dire che quel testo può essere stato chiuso solo dalla corrispondente chiave privata di Tizio

�ma se è stato chiuso dalla chiave privata di Tizio, questi, che ne è per definizione l’esclusivo utilizzatore (presupposto “di sistema”), ne sarà anche stato l’autore

12

23

Crittografia Asimmetrica e autenticazione

�E’, dunque, un sistema che basa l'imputazione del documento sull'esclusività dell'uso del mezzo, e non sull'univocità della calligrafia di firma.

�In questo modo, seppure in presenza di un mediumestremamente alterabile come il documento informatico, è possibile essere certi della provenienza dello stesso e della sua non ripudiabilità (cioè l'impossibilità di non riconoscerlo più come proprio una volta inviato), conferendogli valore giuridico;

�ed è poi per questo che si parla di “firma digitale”, anche se più correttamente dovrebbe usarsi l’espressione “sigillo elettronico”

24

Alcuni difetti della crittografia asimmetrica

• applicare direttamente la chiave privata ad un documento può avere alcune conseguenze negative:– a livello di efficienza del sistema

– a livello di sicurezza,

entrambi inversamente proporzionali alla lunghezza del documento

• occorre poi risolvere il problema della effettiva non ripudiabilità del messaggio

13

25

La Funzione di Hash

�Per tali motivi prima di procedere alla criptazione del documento si applica allo stesso la cd “funzione di hash”; questa, partendo da un certo documento, permette

di ottenere una stringa di testo di lunghezza prefissata (cd “impronta”), a prescindere dalla lunghezza del documento originario;

�cambiando anche solo un carattere del testo originario, si avrà un’impronta totalmente diversa (aspetto che rende impossibile manomettere il testo clandestinamente)

26

La “Firma Digitale”� Applicando quindi ad un certo documento

prima la funzione di hash, poi la chiave privata, ottengo come risultato di raggiungere la sicurezza circa la provenienza e la non ripudiabilità dello stesso documento;

� l’impronta criptata con la chiave privata dell’autore del documento costituisce la “firma digitale” (come disciplinata in origine nel D.P.R. 10 novembre 1997, n. 513 e nel suo regolamento tecnico, oggi dal D.Lgs. 82/2005).

14

Vediamo analiticamente come si appone e si verifica

una “Firma Digitale”

28

Accetto di acquistare1 libro a € 20

::,;kkk)//6%%$£ertt uyyytr o’’^????

Accetto di acquistare1 libro a € 20___________⌧�� �����

⌧�� ����

B

Applico la funzione di hashal documento originario

Ottengo l’impronta

Applico la chiave privata (di A) all’impronta

Ottengola firma digitale(l’impronta criptata)

Unisco la stringa con la firma digitaleal documento originario

Invio il documento così ottenuto a B

Apposizione di FirmaDigitale ad un documento elettronico

15

29

Accetto di acquistare1 libro a € 20__________⌧�� �����

::,;kkk)//6%%$£ertt uyyytr o’’^????

⌧�� ����

Applico la funzione di hashal documento originario

Ottengo l’impronta

Applico la chiave pubblica di A

Estraggo la firma digitale

Confronto le due impronteSe coincidono, ho la sicurezza della provenienza

e della genuinità del documento

Accetto di acquistare1 libro a € 20

::,;kkk)//6%%$£ertt uyyytr o’’^????

Estraggo il documento originario

Verifica della FirmaDigitale

30

Un problema di basilare importanza

• Se il metodo per capire chi è l’autore di un determinato messaggio riguarda la titolarità della chiave pubblica, occorre essere sicuri della corrispondenza chiave-titolare;

• questa certezza è raggiunta attraverso una terza parte che garantisce tale corrispondenza, il cd Certificatore.

16

31

Il Certificatore� svolge la funzione di identificare il titolare della chiave

pubblica, rilasciare un certificato digitale che attesti tale riconoscimento, e in genere metterlo a disposizione dei terzi insieme alla stessa chiave pubblica, attraverso l'inserimento in un elenco consultabile on-line;

� i Certificatori facevano capo all'A.I.P.A., che certificava le loro chiavi, gestiva l'elenco pubblico in cui venivano inseriti e vigilava relativamente alla presenza ed al mantenimento di specifici requisiti espressamente previsti dalla legge.

� il D.Lgs. 10/2002, poi abrogato e sostituito dal D.Lgs. 82/2005 (Codice dell’Amministrazione Digitale), ha cambiato tale struttura

32

Il Certificatore1. Actalis S.p.A.(dal 28/03/2002)

2. Aruba Posta Elettronica Certificata S.p.A.(dal 06/12/2007)

3. Banca d’Italia (dal 24/01/2008)

4. Banca Monte dei Paschi di Siena S.p.A.(dal 03/08/2004)

5. Cedacri S.p.A.(dal 15/11/2001)

6. CNDCEC (dal 10/07/2008)

7. Comando C4 Difesa - Stato Maggiore della Difesa (dal 21/09/2006)

8. Consiglio Nazionale del Notariato (dal 12/09/2002)

9. Consiglio Nazionale Forense (dal 11/12/2003)

10. I.T. Telecom S.r.l.(dal 13/01/2005)

11. In.Te.S.A. S.p.A.(dal 22/03/2001)

12. Infocert S.p.A.(dal 19/07/2007)

13. Intesa Sanpaolo S.p.A.(dal 08/04/2004)

14. Lombardia Informatica S.p.A. (dal 17/08/2004)

15. Namirial S.p.A. (dal 2/11/2010)

16. Postecom S.p.A.(dal 20/04/2000)

17. SOGEI S.p.A.(dal 26/02/2004)

17

La procedura per la Firma Digitale in pratica

34

La Firma Digitale in pratica

o Innanzitutto il soggetto che vuole dare valore giuridico alle sue dichiarazioni elettroniche deve predisporsi per l'utilizzo del sistema,

o quindi dotarsi di una stazione operativa informatizzata (essenzialmente un computer collegato ad Internet), e munirsi del dispositivo di firma completo del software per l'attività di sottoscrizione elettronica

o dispositivo che potrà essere una smart card, un pen-drive, …

18

35

La Firma Digitale in pratica

o Questo (il dispositivo di firma) dovrà permettere la generazione della coppia di chiavi, contenere la funzione di hashe consentire l'uso delle tecniche crittografiche, e quindi rendere possibile l'apposizione e la verifica delle firme digitali,

o sarà fornito (direttamente o tramite il soggetto che erogherà un determinato servizio ai propri utenti) dallo stesso ente che successivamente svolgerà la fondamentale funzione di garantire l'associazione chiave-titolare, il Certificatore.

36

La Firma Digitale in pratica

o Con dispositivo di firma e software l’utente creerà la coppia di chiavi per l’attività di firma;

o dovrà quindi renderne pubblica una attraverso la procedura di certificazione;

o tale procedura consiste nella richiesta presentata ad un certificatore di attestare la corrispondenza chiave-titolare, di rilasciare quindi il relativo certificato (che dovrà essere allegato ogni volta in cui il soggetto appone la propria firma digitale), e di inserirlo insieme alla chiave pubblica dell'utente nell'elenco delle chiavi di sua gestione.

19

37

La Firma Digitale in pratica

o Terminata con questa operazione la fase preparatoria dell'uso del sistema di firma digitale, l'utente è pronto a sottoscrivere i propri documenti (nel modo già visto in precedenza)

o Attività che, una volta espletate le formalità inizialirelative alla procedura di certificazione, consisteràsemplicemente nell'inserire il propria carta "intelligente"in un apposito lettore, che lavorerà poi insieme alsoftwareper la firma ed ai programmi di video scritturao di gestione della posta (o semplicemente a livellofile)per svolgere le indicate operazioni.

Il legislatore ha dato valore al processo tecnologico della

Firma Digitale

20

39

Fonti in materia

� art. 15, c. 2, l. 15 marzo 1997 n. 59: “Gli atti, dati e documenti formati dalla P.A. e dai privati con strumenti informatici o telematici, i contratti stipulati nelle medesime forme, nonché la loro archiviazione e trasmissione con strumenti informatici, sono validi e rilevanti a tutti gli effetti di legge(…)”

� D.P.R. 10 novembre 1997, n. 513;

� D.P.C.M. 8 febbraio 1999;

� D.P.R. 28 dicembre 2000, n. 445, T.U. delle disposizioni

legislative e regolamentari in materia di documentazione amm.;

� D.Lgs. 23 gennaio 2002 n 10, recepisce Direttiva 1999/93/CE sulle firme elettroniche.(Abrogato dal D.Lgs. 82/2005)

40

Fonti in materia

� D.Lgs. 7 marzo 2005 n. 82(e successive modifiche), c.d. Codice dell’Amministrazione Digitale

� D.P.C.M. 30 marzo 2009, Regole tecniche in materia di generazione, apposizione e verifica delle firme digitali e validazione temporale dei documenti informatici.

� Deliberazione n.45 del 21 maggio 2009, Regole per il riconoscimento e la verifica del documento informatico (modificata dalla Determinazione DigitPA 69/2010)

� D.P.C.M. 10 febbraio 2010 (Autocertificazione dispositivi automatici di firma)

� D.Lgs. 30 dicembre 2010 n. 235 (Modifiche ed integrazioni al C.A.D.)

21

41

… con precise e rivoluzionarie affermazioni (D.Lgs. 82/2005)

� art. 20, c.1: “Il documento informatico da chiunque formato, la memorizzazione su supporto informatico e la trasmissione con strumenti telematici conformi alle regole tecniche di cui all’art. 71 sono validi e rilevanti a tutti gli effetti di legge ai sensi delle disposizioni del presente codice”

� art. 23, quater: Viene inserita la categoria delle “riproduzioni informatiche” all’interno dell’art. 2712 c.c.

� art. 21, c. 1: “Il documento informatico, cui è apposta una firma elettronica, sul piano probatorio è liberamente valutabile in giudizio, tenuto conto delle sue caratteristiche oggettive di qualità, sicurezza, integrità e immodificabilità

42

(segue D.Lgs. 82/2005)

� art. 21, c. 2 : “Il documento informatico, sottoscritto con firma elettronica avanzata, qualificata o digitale, formato nel rispetto delle regole tecniche di cui all’art. 20 comma 3, che garantiscano l’identificabilità dell’autore, l’integrità e l’immodificabilità del documento, ha l’efficacia prevista dall’articolo 2702 del codice civile (Scrittura Privata). L’utilizzo del dispositivo di firma si presume riconducibile al titolare, salvo che questi dia prova contraria.”

22

(segue D.Lgs. 82/2005)

�art. 21, c. 2-bis : “Salvo quanto previsto dall' articolo 25 , le scritture private di cui all'articolo 1350, primo comma, numeri da 1 a 12, del codice civile, se fatte con documento informatico, sono sottoscritte, a pena di nullità̀, con firma elettronica qualificata o con firma digitale.

(segue D.Lgs. 82/2005)

�art. 23-ter : “1. Gli atti formati dalle pubbliche amministrazioni con strumenti informatici, nonché i dati e i documenti informatici detenuti dalle stesse, costituiscono informazione primaria ed originale da cui è possibile effettuare, su diversi o identici tipi di supporto, duplicazioni e copie per gli usi consentiti dalla legge.

�2. I documenti costituenti atti amministrativi con rilevanza interna al procedimento amministrativo sottoscritti con firma elettronica avanzata hanno l'efficacia prevista dall'art. 2702 del codice civile”

23

La rivoluzione della firma digitale ha numerosi

collegamenti

46

La rivoluzione della firma digitale ha numerose collegamenti

� si pensi alla carta identità elettronica

� al protocollo informatico

� alla possibilità di archiviazione ottica della documentazione

� a livello strutturale, alla vecchia R.U.P.A., ora al Sistema Pubblico di Connettività e alla Rete Internazionale della P.A.

24

47

La rivoluzione della firma digitale ha numerose collegamenti

� alla possibilità concreta dei pagamenti elettronici

� ai principali problemi della new economy (ad es. riservatezza e sicurezza)

� al processo elettronico

� alle ultime novità del Libro Unico del Lavoro (c.d. L.U.L., che può essere tenuto in formato digitale, art. 39 del D.L. 112/2008, convertito con l. 133/2008) e del Regolamento ISVAP n. 27 del 14/10/2008 (piena validità alla tenuta digitale dei registri e documenti amministrativi)

� alla P.E.C. (posta elettronica certificata)

� ....

Posta Elettronica

� server provider del mittente

� destinatario �mittente

� server provider del destinatario

� Internet

25

Posta Elettronica Certificata

� server provider del mittente

�firma digitalmente il log del messaggio

� destinatario �mittente

� server provider del destinatario�firma digitalmente il log del

messaggio

� Internet

Alcuni dati

26

51

Alcuni dati

�Sono state già distribuite 3.200.000 smart card(dispositivi di firma), 600.000 a liberi professionisti

�2.500.000 le pratiche del Registro delle imprese gestite in formato elettronico (1/3 sono bilanci societari), mentre 130 milioni all’anno i documenti firmati. Si stima in 360 milioni il risparmio annuo dall’introduzione della firma digitale nel Registro delle imprese

�Per quanto riguarda la trasmissione di documentazione fiscale in via telematica, le dichiarazioni presentate on line sono state più di 50.000.000

52

Alcuni dati un po’ vecchi … (ma sempre utili per farsi un’idea delle grandezze)

�Certificati rilasciati a novembre 2006:

2.460.000 Certificati qualificati

595.000 Certificati di autenticazione

296.000 Certificati CNS (carta nazionale servizi)