Con il progredire della tecnologia e la diffusione delle identità digitali previste dal Governo, ossia CIE (Carta di Identità Elettronica) e SPID (Sistema Pubblico di Identità Digitale), sono aumentati anche gli ambiti in cui queste possono risultare utili, tra cui quello della Firma Elettronica.
Fra tutte le domande che ci vengono rivolte riguardo la Firma Elettronica, una in particolare è la più frequente. Ossia, la possibilità di utilizzare SPID come Firma Digitale.
Cercheremo di porre fine ai dubbi rispondendo chiaramente alla domanda: chi ha lo SPID ha anche la Firma Digitale?
La risposta è no e cercheremo di illustrare la ragione in modo logico e chiaro.
Infatti, ci sono diversi aspetti da considerare per motivare questa risposta:
-
la normativa che disciplina la Firma Elettronica, ossia il Decreto legislativo 7 marzo 2005 n. 82, noto come (CAD) Codice dell’Amministrazione Digitale e il Regolamento UE n°910/2014 meglio conosciuto come Regolamento eIDAS;
-
le Linee Guida AgID per firmare i documenti online aggiornate al 2020.
1.Il DPCM 13 febbraio 2013
Un po' di confusione intorno al binomio SPID - Firma Digitale, probabilmente è stata creata anche dalla mal interpretazione dell’articolo 61 del DPCM 13 febbraio 2013, il quale ha introdotto la Firma Elettronica Avanzata come mezzo di sottoscrizione tramite PEC e CIE.
Tuttavia, lo stesso articolo ai punti 1 e 2 chiarisce che per le Imprese e per i cittadini l’invio tramite PEC di un documento nei confronti della PA sostituisce la Firma Elettronica Avanzata (FEA) e che l’utilizzo di uno strumento di identità digitale (non si nomina SPID anche per ovvie ragioni, considerando che si tratta di un testo di Legge pubblicato nel 2013 mentre SPID è diventato attuativo nel 2014), tra cui la CIE, sostituisce per i cittadini la Firma Elettronica Avanzata (FEA) nei rapporti con la PA.
Quindi, l’utilizzo improprio come sinonimi (molto diffuso in Italia) dei termini Firma Elettronica, Firma Elettronica Avanzata, Firma Elettronica Semplice, Firma Elettronica Qualificata e Firma Digitale potrebbe aver portato molta confusione.
Ma questo non risponde ancora alla nostra domanda.
2.La normativa
Facendo un passo in più, occorre necessariamente cogliere la differenza fra FEQ e FD. Purtroppo, come anticipato, in Italia c’è la tendenza errata ad utilizzare i termini Firma Elettronica e Firma Digitale o Firma Elettronica Qualificata e Firma Digitale come sinonimi.
Infatti, la domanda più corretta da porre sarebbe: Chi ha SPID ha anche la Firma Elettronica Qualificata?
Cerchiamo di capire quindi le differenze.
La FEQ è definita dal Regolamento eIDAS all’art. 3 punto 12 e dal CAD come:
“una firma elettronica avanzata creata da un dispositivo per la creazione di una firma elettronica qualificata e basata su un certificato qualificato per firme elettroniche.”
Questa definizione rende chiara la necessarietà di un certificato qualificato per firme elettroniche e l’utilizzo di un dispositivo di firma per la loro creazione.
Inoltre, all’articolo 25 del Regolamento eIDAS si definiscono gli Effetti giuridici delle firme elettroniche, chiarendo che:
- punto 2 “Una firma elettronica qualificata ha effetti giuridici equivalenti a quelli di una firma autografa.”
- punto 3 "Una firma elettronica qualificata basata su un certificato qualificato rilasciato in uno Stato membro è riconosciuta quale firma elettronica qualificata in tutti gli altri Stati membri.”
La Firma Digitale, invece, è prevista solo dal CAD e disciplinata all’art. 24 in quanto si configura come una particolare tipologia di FEQ che, in estrema sintesi, viene generata da una particolare procedura informatica basata sulla crittografia asimmetrica e su un sistema a doppia chiave: una privata ed una pubblica per leggere e verificare i documenti firmati digitalmente.
Chiarite le differenze, per non lasciare spazi a dubbi e fraintendimenti tra le due, occorre analizzare l’ultima lente per dare una risposta definitiva a questa domanda.
3. Le Linee Guida AgID per la firma dei documenti online
Assodato che sia più corretto domandarsi “Chi ha SPID ha anche la FEQ?”, possiamo semplicemente considerare quanto stabilisce AgID, ossia l’Agenzia per l’Italia Digitale, che sul suo portale chiarisce:
“Grazie alle Linee Guida, la firma con SPID avrà lo stesso valore giuridico di quella autografa, consentendo ai cittadini di sottoscrivere atti e contratti. Uno strumento che si va ad aggiungere alla firma elettronica qualificata favorendo il processo di dematerializzazione dei documenti.
AgID ha emanato le Linee Guida che consentono di firmare documenti online con SPID, in conformità all’art. 20 del CAD.”
Quindi, sia per cittadini che per le imprese SPID ha lo stesso valore giuridico di una firma autografa, ossia di una Firma Elettronica Qualificata (vedi art. 25 Regolamento eIDAS).
Ma questo non significa che tutti i cittadini o tutte le imprese che dispongono di SPID abbiano anche e automaticamente una FEQ. Infatti, questa possibilità dipende dal servizio offerto dal provider a cui il soggetto privato/giuridico ha fatto richiesta e poi ottenuto SPID.
Infatti, non tutti i provider SPID ad oggi hanno implementato la c.d. “FEQ SPID” nel rispetto delle Linee Guida fornite da AgID.
Di conseguenza, per evitare di cadere in errore, occorrerebbe accertarsi che il proprio provider SPID abbia previsto quest’altra configurazione.
Diversamente, SPID sia per cittadini che per imprese, in materia di firma elettronica, serve “solo” come meccanismo di autenticazione per ottenere (in quanto mezzo di identificazione certa del soggetto) il rilascio di un certificato di Firma Elettronica Qualificata o Firma Digitale “normale” non una “FEQ SPID”.
In altre parole, chi ha SPID ha anche la FEQ? Dipende.