Firma elettronica, digitale, avanzata: quale vale per che cosa

I quattro livelli di firma

La firma elettronica semplice è qualsiasi dato elettronico che una persona usa per firmare: il click su un pulsante di accettazione, il nome scritto in fondo a una email, la firma tracciata con il dito su uno schermo senza altri requisiti, la spunta di una casella. Il regolamento europeo eIDAS vieta di negarle valore giuridico solo perché è elettronica (art. 25 par. 1), ma la lascia al libero apprezzamento del giudice: in una lite vale quanto valgono le prove che la circondano, come i log del sito, l'indirizzo IP, l'account usato, le email di conferma e i pagamenti. La firma elettronica avanzata (FEA) è una firma semplice che rispetta quattro requisiti (art. 26 eIDAS): è connessa unicamente al firmatario, lo identifica, è creata con mezzi che egli può usare sotto il proprio controllo esclusivo e rileva ogni successiva modifica del documento. Sono FEA la firma grafometrica raccolta dalle banche su tablet con la registrazione di pressione e velocità, la firma con codice OTP inviato al telefono dopo l'identificazione del firmatario, la firma con SPID secondo le regole AgID e la firma con la carta d'identità elettronica. La firma elettronica qualificata (FEQ) è una FEA creata con un dispositivo qualificato e basata su un certificato qualificato rilasciato da un prestatore accreditato: ha in tutta l'Unione l'effetto giuridico della firma autografa (art. 25 par. 2 eIDAS) e ogni Stato deve riconoscere quelle degli altri. La firma digitale è il nome italiano della FEQ basata su chiavi crittografiche asimmetriche (art. 1 lett. s e art. 24 CAD): la smart card o la chiavetta del certificatore, la firma remota attivata con app e OTP; il certificato non deve essere scaduto, revocato o sospeso al momento della firma, altrimenti la firma non ha valore qualificato (art. 24 c. 3). La differenza tra FEA e FEQ non sta nella forma scritta, che entrambe soddisfano, ma nella prova e nell'ambito: solo la qualificata gode della presunzione che il dispositivo sia stato usato dal titolare (art. 20 c. 1-ter) ed è ammessa per gli atti immobiliari.

Quale firma serve per quale atto

La distinzione tra i numeri 1-12 e il numero 13 dell'art. 1350 è quella che conta: i primi riguardano i diritti reali immobiliari e le locazioni ultranovennali, e per essi il legislatore ha voluto solo la firma qualificata o digitale; il numero 13 raccoglie tutti gli altri atti a forma scritta per legge, e per essi basta la FEA. I contratti per cui la forma scritta è richiesta dalle parti (art. 1352 c.c.) seguono la volontà delle parti, che possono accettare anche una firma semplice. Per la forma scritta richiesta ad probationem, cioè solo per la prova, la firma semplice con elementi di contorno può bastare, ma il rischio è tutto di chi deve provare.

La prova e la contestazione

Il documento firmato con FEA, FEQ o digitale ha l'efficacia della scrittura privata (art. 2702 c.c.): fa piena prova, fino a querela di falso, della provenienza delle dichiarazioni da chi lo ha firmato, se questi riconosce la firma o se è legalmente considerata riconosciuta. Per contestarla il firmatario deve disconoscerla formalmente nella prima udienza o nella prima risposta successiva alla produzione (artt. 214-215 c.p.c.); da qui in poi le strade divergono. Per la FEA chi ha prodotto il documento deve chiederne la verificazione e provare che la firma è stata generata con l'identificazione e i mezzi sotto il controllo del firmatario: log del prestatore, dati di identificazione, numero di telefono dell'OTP, video o documento acquisiti. Per la FEQ e la digitale la legge presume che l'uso del dispositivo sia riconducibile al titolare, salvo prova contraria (art. 20 c. 1-ter CAD): tocca a chi disconosce dimostrare l'uso abusivo, di regola con la denuncia di furto o smarrimento e la richiesta di revoca anteriori alla firma; è la ragione per cui non si devono mai consegnare a terzi la smart card e il PIN, perché la firma apposta dal collaboratore con il dispositivo del titolare è, per la legge, del titolare. La firma semplice non ha nessuna di queste regole: il giudice valuta il documento come una riproduzione informatica (art. 2712 c.c.), che fa piena prova se chi la subisce non ne disconosce la conformità, e ricostruisce la paternità dagli elementi esterni. La data del documento è opponibile ai terzi se apposta con marca temporale o secondo le Linee guida (art. 20 c. 1-bis, ultimo periodo); per conservare nel tempo il valore della firma, che dipende da certificati che scadono, i documenti si conservano in un sistema di conservazione a norma o si rifirmano con marca temporale prima della scadenza. La PEC certifica invio, ricezione e data ma non firma il contenuto: la lettera inviata da PEC senza firma digitale resta un documento con firma semplice attribuito al titolare della casella.

SPID, CIE e portafoglio europeo

SPID e CIE sono strumenti di identificazione, non di firma: dimostrano chi sta accedendo a un servizio. Il CAD li rende però sufficienti per la validità delle istanze alla pubblica amministrazione (art. 65 c. 1 lett. b) e l'AgID ha definito il processo con cui, dopo l'identificazione con SPID, si può firmare un documento con una firma che ha il valore della FEA. Il regolamento 2024/1183, in vigore dal 20 maggio 2024, modifica eIDAS e introduce il portafoglio europeo di identità digitale, che ogni Stato deve mettere a disposizione dei cittadini e delle imprese: contiene i documenti e le attestazioni di attributi, permette di identificarsi presso i servizi pubblici e privati di tutta l'Unione e consente di apporre firme elettroniche qualificate, gratuite per gli usi non professionali. In Italia il portafoglio è IT-Wallet nell'app IO, che già contiene patente, tessera sanitaria e carta europea della disabilità e che dovrà integrare la firma. Le firme qualificate rilasciate in un altro Stato membro valgono in Italia come le nostre.

Che cosa fare

1. Classificare l'atto: forma libera, forma scritta di legge (n. 13), immobili (nn. 1-12), atto pubblico; scegliere la firma di conseguenza.
2. Verificare il prestatore: per FEQ e digitale il certificatore deve essere nell'elenco dei prestatori qualificati (AgID, lista europea); controllare la validità del certificato alla data.
3. Conservare le prove: file firmato in formato originale (p7m, PAdES), ricevute, log, email di conferma, marca temporale; conservazione a norma per i documenti che devono durare.
4. Proteggere il dispositivo: PIN e OTP mai condivisi; in caso di furto denuncia e revoca immediata, perché la presunzione dell'art. 20 c. 1-ter opera contro il titolare.
5. In caso di lite: disconoscere subito nella prima difesa; chiedere la verificazione o la querela di falso a seconda del tipo; per le firme semplici raccogliere gli elementi esterni.

La regola pratica: click per gli acquisti, firma avanzata per contratti e lavoro, firma digitale per casa e società, e nessuna delle tre per il testamento. Il recapito certificato che accompagna la firma è nella pagina su PEC e domicilio digitale; gli obblighi del sito che fa firmare con un click nella pagina su vendere online; il contratto che più spesso si vorrebbe firmare a distanza nella pagina sul contratto preliminare; la cessione che richiede la firma digitale nella pagina sulla cessione di quote di srl.