Livelli di firma: un confronto tra firme elettroniche semplici, avanzate e qualificate

Punti chiave in sintesi: Il regolamento eIDAS riconosce tre livelli di firma. La firma elettronica semplice (EES) ha il livello di valore probatorio più basso; la firma elettronica avanzata (FES) collega in modo univoco la firma a una persona; e la firma elettronica qualificata (QES) è l’unico livello che soddisfa il requisito legale della forma scritta. Per la maggior parte dei processi aziendali è sufficiente una FES. Il livello necessario dipende esclusivamente dal tipo di documento in questione.

Non tutti i documenti richiedono lo stesso livello di tutela giuridica. Un’approvazione interna comporta requisiti meno rigorosi rispetto a un contratto di prestito: una banca richiede un livello di sicurezza più elevato per quest’ultimo rispetto a quello richiesto da un ente pubblico per una nota di approvazione interna. Il regolamento eIDAS (UE) n. 910/2014 riflette questa distinzione attraverso tre livelli gerarchici di firma. L’idea alla base di questa graduazione non è nuova: già la precedente direttiva UE sulle firme elettroniche 1999/93/CE riconosceva questi tre livelli. Dal 2016, l’eIDAS li ha resi obbligatori in tutta l’UE e li ha integrati con disposizioni relative alle firme a distanza. Per le imprese, ciò significa che possono scegliere consapevolmente il livello richiesto dalla legge per la transazione in questione, anziché optare automaticamente per il livello più elevato e più costoso.

Una breve nota sulla terminologia: in termini tecnici, per «firma digitale» si intende un processo crittografico, mentre «firma elettronica» è il termine giuridico definito dall’eIDAS. Nel linguaggio comune, i due termini sono usati in modo intercambiabile. In questo articolo ci riferiamo alla firma elettronica in senso giuridico.

Una firma elettronica semplice consiste in qualsiasi segno digitale attribuibile a una persona specifica. Ciò include una firma autografa scansionata, una firma in calce a un’e-mail o l’immagine di una firma inserita in un file PDF. La firma elettronica semplice non richiede alcuna verifica dell’identità né misure tecniche di sicurezza. Il suo valore probatorio è di conseguenza basso: in caso di controversia, non è possibile dimostrare in modo affidabile chi abbia firmato il documento, né se questo sia stato successivamente alterato. È sufficiente per transazioni informali che riguardano piccole somme, ma non è adatta a contratti di rilievo.

Una firma elettronica avanzata associa in modo univoco la firma a una persona specifica. A tal fine, un tablet per firme signotec registra caratteristiche biometriche quali la pressione, la velocità di scrittura, il tempo e l’accelerazione. In alternativa, l’attribuzione univoca può essere stabilita tramite autenticazione utilizzando una password SMS monouso o una verifica dell’identità. Non è la biometria a garantire che le successive modifiche al documento rimangano rilevabili, bensì la firma crittografica basata su certificato con cui il software sigilla il PDF. Per la stragrande maggioranza dei processi aziendali in cui non sussiste l’obbligo di forma scritta previsto dalla legge, la FES è giuridicamente sufficiente. Le banche la utilizzano, ad esempio, per l’apertura di conti; le compagnie assicurative per i moduli di richiesta; e i dipartimenti delle risorse umane per la maggior parte dei contratti di lavoro.

La firma elettronica qualificata rappresenta il livello più elevato. Si basa su un certificato qualificato rilasciato da un prestatore di servizi di fiducia qualificato e richiede una previa verifica dell’identità, ad esempio tramite identificazione video. Dal punto di vista tecnico, funziona secondo lo stesso principio basato sui certificati della FES, con la differenza che il certificato deve essere rilasciato da un prestatore qualificato. La QES è l’unica forma di firma per la quale la legge prevede una presunzione di validità. Ciò significa che, ai sensi dell’articolo 25, paragrafo 2, del regolamento eIDAS, in caso di controversia la firma è inizialmente considerata autentica, per cui spetta alla controparte dimostrare il contrario. La QES è quindi equivalente a una firma autografa e soddisfa il requisito della forma scritta ai sensi dell’articolo 126a del Codice civile tedesco (BGB).

La maggior parte dei contratti nell’ambito delle attività commerciali quotidiane non è soggetta ad alcun requisito formale e può essere conclusa in modo giuridicamente valido mediante una firma elettronica (FES). Una firma elettronica qualificata (QES) è obbligatoria solo nei casi in cui la legge richieda la forma scritta e consenta l’invio elettronico. Ciò vale, ad esempio, per i contratti di credito al consumo ai sensi dell’articolo 492 del Codice civile tedesco (BGB) e per i contratti di locazione a tempo determinato di durata superiore a un anno ai sensi dell’articolo 550 del BGB. Rientrano in questa categoria anche alcuni contratti di lavoro a tempo determinato ai sensi dell’articolo 14, paragrafo 4, della legge sul lavoro a tempo parziale e a tempo determinato – una situazione che riguarda regolarmente, ad esempio, gli uffici delle risorse umane. In alcuni casi, la forma elettronica è del tutto esclusa. Ai sensi dell’articolo 766, seconda frase, del Codice civile tedesco (BGB), una dichiarazione di garanzia da parte di un privato deve essere firmata a mano su carta. In questo caso, nemmeno una firma elettronica qualificata (QES) è sufficiente.

Implicazioni pratiche: prima di digitalizzare un processo, verificare quale livello di firma richieda effettivamente il tipo di documento in questione. Ciò consentirà di evitare inutili sforzi causati dall’uso indiscriminato della firma elettronica qualificata (QES), garantendo al contempo la conformità legale.

Una semplice firma elettronica ha valore legale?
Sì, è ammissibile come prova, ma ha il minor peso probatorio. Può essere sufficiente per transazioni non soggette ad alcun requisito formale, laddove l’importo in questione sia modesto.

Come faccio a sapere di quale livello ho bisogno?
Il fattore chiave è se il tipo di documento è soggetto a un requisito di forma scritta previsto dalla legge. In assenza di tale requisito, di solito è sufficiente una firma elettronica semplice (FES); laddove si applichi il requisito della forma scritta, è necessaria una firma elettronica qualificata (QES).

Un tablet per firme può generare una QES?
Non direttamente, poiché ciò richiede un certificato rilasciato da un fornitore di servizi di fiducia qualificato. Il processo può essere implementato in combinazione con signoSign/Universal da signotec e un fornitore collegato.

La FES è meno sicura della QES?
Dal punto di vista tecnico, anche la FES offre protezione contro la manomissione e l’identificazione inequivocabile del firmatario. La differenza è principalmente di natura giuridica: solo la QES sostituisce la forma scritta e comporta la presunzione legale di prova.

Una firma tedesca è valida anche in altri paesi dell’UE?
Sì. Il riconoscimento reciproco delle firme elettroniche in tutti gli Stati membri dell’UE è un obiettivo fondamentale del regolamento eIDAS e si applica a tutti e tre i livelli.

I tre livelli di firma garantiscono una progressione logica dalle transazioni quotidiane informali ai contratti che richiedono la forma scritta. Per la maggior parte dei processi aziendali, la FES rappresenta la scelta più adeguata ed economica, mentre la QES è riservata a casi specifici in cui la legge richiede la forma scritta. signotec copre tutti e tre i livelli con il proprio hardware e software e aiuta le aziende a selezionare il livello corretto per ogni tipo di documento.

Fonti primarie: Regolamento (UE) n. 910/2014 (Regolamento eIDAS); Direttiva 1999/93/CE; Art. 126a del Codice civile tedesco (BGB); Art. 492 del Codice civile tedesco (BGB); § 550 del Codice civile tedesco (BGB); § 766, seconda frase, del Codice civile tedesco (BGB); § 14, comma 4, della legge tedesca sul lavoro a tempo parziale e a tempo determinato (TzBfG). Schema consigliato: Schema «Articolo» + Schema «FAQ».