Firma elettronica e GDPR: sovranità dei dati

• A seconda della procedura, una firma elettronica comporta il trattamento di dati personali quali nome, data e ora o indirizzo IP; nel caso della rilevazione biometrica si aggiungono caratteristiche quali la pressione esercitata, la velocità di scrittura e l’andamento temporale.
• I dati relativi alle firme biometriche possono rientrare nell’ambito di applicazione dell’art. 9 del GDPR se vengono utilizzati per l’identificazione univoca di una persona: a tal fine è determinante la specifica configurazione tecnica.
• In caso di trattamento da parte di un fornitore esterno, di norma è necessario un contratto di trattamento dei dati ai sensi dell’art. 28 del GDPR.
• signoSign/2 funziona in locale; signoSign/Universal è disponibile on-premises o come soluzione SaaS ospitata in Germania.

Il presente articolo non sostituisce la consulenza legale in casi specifici né una valutazione d’impatto sulla protezione dei dati personalizzata.

Una firma elettronica è conforme al GDPR? La risposta breve: Sì, se il trattamento dei dati generati in tale contesto si basa su una base giuridica, è garantito contrattualmente con il fornitore ed è progettato tecnicamente in modo tale che vengano raccolti e memorizzati solo i dati necessari. In questo contesto, ciò che conta non è tanto la firma in sé, quanto piuttosto quali dati vengono generati in background e dove finiscono.

Ogni firma elettronica genera almeno alcuni metadati: il nome del firmatario, la data e l’ora, spesso l’indirizzo IP e un valore hash del documento firmato. Se la firma viene acquisita a mano su un tablet per firme signotec, si aggiungono caratteristiche biometriche quali la velocità di scrittura, la pressione esercitata e l’andamento temporale. Queste caratteristiche servono a poter attribuire la firma a una persona in caso di controversia – in modo analogo a un campione di firma su carta, ma analizzabile in formato digitale.

I dati biometrici rientrano nelle categorie di dati oggetto di protezione speciale quando vengono trattati al fine di identificare in modo univoco una persona. L’art. 4, n. 14 del GDPR lega la definizione al fatto che i dati consentano o confermino un’identificazione univoca; l’art. 9 del GDPR vieta in linea di principio il trattamento di tali dati, a meno che non si applichi una delle eccezioni ivi menzionate. Nella pratica, a seconda della finalità concreta, può essere preso in considerazione in particolare il consenso esplicito. La base giuridica altrimenti spesso utilizzata dell’adempimento del contratto ai sensi dell’art. 6, par. 1, lett. b del GDPR non è di per sé sufficiente per i dati di cui all’art. 9.

Nelle soluzioni signotec, i dati biometrici grezzi della firma vengono crittografati e incorporati nel documento PDF in modo a prova di manomissione: non è il documento stesso a essere crittografato, bensì i dati biometrici al suo interno. Essi non vengono conservati in una banca dati centrale a fini identificativi; servono alla verifica a posteriori di una persona già nota, non all’identificazione iniziale a partire da un insieme di dati. Questa distinzione viene valutata in modo diverso nella pratica. Le aziende con elevate esigenze di protezione dovrebbero chiarire la classificazione con il proprio responsabile della protezione dei dati e documentarla nel registro delle attività di trattamento.

Se la soluzione di firma elettronica viene gestita da un fornitore esterno o da un fornitore di servizi di fiducia, quest’ultimo tratta i dati personali per conto del titolare del trattamento. A tal fine è necessario un contratto di trattamento per conto di terzi ai sensi dell’art. 28 del GDPR, che disciplini, tra l’altro, la finalità, la durata, la natura dei dati, le categorie di interessati, le misure tecniche e organizzative nonché i termini di cancellazione. Se per la firma elettronica qualificata viene coinvolto un fornitore di servizi di fiducia, si aggiunge il suo obbligo di conservazione dei certificati di firma, previsto dalla legge, che opera indipendentemente dal proprio piano di cancellazione dell’azienda.

Una differenza fondamentale rispetto a molte soluzioni di firma: signoSign/2 funziona in locale sul computer della postazione di lavoro o sul server terminale. signoSign/Universal può essere gestito on-premises nel proprio centro dati. I dati delle firme e i documenti firmati rimangono così all’interno della propria infrastruttura IT. Per le aziende soggette a rigorosi requisiti di conformità, ad esempio nel settore sanitario o in quello finanziario, ciò può ridurre l’onere di coordinamento nell’elaborazione degli ordini, poiché si può fare a meno di un ulteriore elaboratore esterno.

Chi utilizza signoSign/Universal come SaaS può inoltre identificare chiaramente la sede di archiviazione: signotec dichiara che per la soluzione cloud l’hosting e la localizzazione dei dati avvengono in Germania. Il trattamento è regolato da un contratto di elaborazione dei dati ai sensi dell’art. 28 del GDPR, che definisce la finalità, la durata e le misure tecniche.

• Documentare l’attività di trattamento nel registro ai sensi dell’art. 30 del GDPR, indicando la finalità e la base giuridica
• Verificare se, nella configurazione specifica, i dati relativi alla firma biometrica rientrino nell’ambito di applicazione dell’art. 9 del GDPR e documentare il risultato
• Stipulare un contratto di elaborazione dei dati con il fornitore di servizi di firma o con il fornitore di servizi di fiducia
• Chiarire il luogo di conservazione dei dati: in loco, in un centro dati nell’UE o in un paese terzo
• Stabilire i termini di cancellazione dei dati relativi alle firme, tenendo conto degli obblighi di conservazione previsti dalla legge per i certificati
• Garantire tecnicamente i diritti degli interessati, ad esempio il diritto di accesso ai dati di firma memorizzati

I dati relativi alle firme biometriche sono automaticamente considerati dati particolarmente protetti?

No, dipende dalla configurazione tecnica e dalla finalità di utilizzo. È determinante stabilire se i dati vengano utilizzati per l’identificazione univoca o servano esclusivamente alla verifica di una firma già nota. Da questa classificazione dipende quale base giuridica è necessaria per il trattamento.

Ogni firma elettronica richiede il consenso ai sensi del GDPR?

Non necessariamente. Spesso il trattamento si basa sull’esecuzione del contratto ai sensi dell’art. 6, comma 1, lett. b del GDPR. La situazione è diversa se, nella configurazione concreta, i dati biometrici della firma rientrano nell’ambito di applicazione dell’art. 9 del GDPR. In tal caso, l’esecuzione del contratto da sola non è sufficiente; deve inoltre trovare applicazione un’eccezione ai sensi dell’art. 9, comma 2, del GDPR, che nella pratica, a seconda della finalità, può essere ad esempio il consenso esplicito.

Per quanto tempo possono essere conservati i dati relativi alle firme?

Ciò dipende dalla finalità del trattamento e da eventuali obblighi di conservazione previsti dalla legge, ad esempio dal diritto commerciale o fiscale. Non esiste un termine forfettario.

Una soluzione di firma in cloud è automaticamente inammissibile?

No, anche le soluzioni cloud possono essere gestite in conformità al GDPR, a condizione che il trattamento per conto di terzi, l’ubicazione dei dati e le misure tecniche siano adeguatamente regolamentati. La soluzione on-premises riduce semplicemente il numero dei responsabili del trattamento coinvolti.

Chi è responsabile in caso di perdita di dati da parte del fornitore del servizio di firma?

In linea di principio, l’azienda, in qualità di titolare del trattamento, rimane responsabile nei confronti degli interessati, ma può tutelarsi nei rapporti interni stipulando un contratto di elaborazione dei dati con il fornitore.

La conformità al GDPR in materia di firme elettroniche non è uno stato che uno strumento può garantire da solo, ma è il risultato di una progettazione tecnica, di garanzie contrattuali e di documentazione. Chi utilizza signoSign/2 in locale o signoSign/Universal On-Premises può ridurre il numero dei responsabili del trattamento coinvolti. Per la versione SaaS di signoSign/Universal, signotec garantisce l’hosting in Germania. Contattate il nostro team se desiderate configurare o verificare la conformità alla normativa sulla protezione dei dati del vostro sistema di firma.