Firma Elettronica: Regolamento eIDAS e valore legale in UE

La Firma Elettronica è uno dei capisaldi della trasformazione digitale delle imprese: questo strumento digitale, valido in tutti i Paesi dell’Unione Europea, garantisce infatti la piena validità legale di documenti, transazioni e contratti.

Esistono però diverse tipologie di Firma Elettronica, ognuna con un proprio livello di sicurezza e con un determinato valore giuridico. È quindi fondamentale capire come orientarsi tra le diverse opzioni e come integrarle al meglio nei processi aziendali.

Cos’è la firma elettronica?

Con firma elettronica si intende qualsiasi strumento digitale capace di collegare l’identità di un soggetto e un certo documento elettronico, confermandone così il contenuto. Un semplice codice PIN è già una firma elettronica, anche se non ha lo stesso valore legale di una firma su tablet grafometrico o di una firma apposta tramite un token USB acquisito da un fornitore certificato.

Essenzialmente, la firma elettronica serve a confermare che il documento è stato approvato da una persona specifica e a garantire che il file non sia stato alterato o modificato dopo essere stato firmato.

Quest’associazione può avvenire in modi molto diversi e con differenti profili di sicurezza e valore legale: la scelta di una tipologia di firma rispetto a un’altra dipende fondamentalmente dal tipo di documento da firmare. 

eIDAS: cos’è e cosa c’entra con la firma elettronica

Le firme elettroniche, come anche le identità digitali, sono regolate a livello europeo dal Regolamento eIDAS 2.0 (electronic IDentification Authentication and trust Services), che fornisce il quadro giuridico unificato per l’identificazione elettronica e i servizi fiduciari, cioè quelli che garantiscono il valore legale, la sicurezza e l'autenticità di documenti, informazioni e transazioni elettroniche.

Il Regolamento eIDAS classifica le diverse tipologie di firma elettronica e ne dà una definizione riconosciuta in tutti i Paesi dell’UE, garantendo l’interoperabilità dei diversi sistemi nazionali. La Firma Digitale italiana, per esempio, rientra nella definizione più ampia di Firma Elettronica Qualificata (o FEQ), e in quanto tale deve essere accettata e riconosciuta in tutti i Paesi comunitari.

Il regolamento eIDAS, in sostanza, garantisce che a nessun tipo di firma elettronica possa essere negato valore legale solo perché è in forma digitale.

Le tre tipologie di firma elettronica eIDAS

Il Regolamento eIDAS (Regolamento UE n. 910/2014), che in Italia trova attuazione nel Codice dell’Amministrazione Digitale (Decreto Legislativo 7 marzo 2005, n. 82, o CAD) riconosce tre tipologie di firma elettronica:

• FES, o Firma Elettronica Semplice: è qualsiasi insieme di dati elettronici utilizzati per firmare o accettare un documento (es.: una password, un codice PIN, la spunta sulla casella “Accetto i termini e le condizioni”);
• FEA, Firma Elettronica Avanzata: è collegata in modo univoco al firmatario, ne consente l’identificazione e viene generata su dispositivi sui quali il firmatario ha il controllo esclusivo (es.: la firma grafometrica su tablet richiesta in banca o allo sportello delle poste);
• FEQ, o Firma Elettronica Qualificata: si basa su un certificato qualificato e viene creata mediante un dispositivo per la creazione di una firma elettronica qualificata (es.: una Smart Card, una chiavetta USB o un sistema di firma remota basato su OTP). In Italia, corrisponde alla Firma Digitale.

A ognuna di queste tipologie di firma corrispondono, in tutta Europa, un certo livello di sicurezza e un determinato valore legale.

La validità legale delle firme elettroniche e quando usarle

Il livello di sicurezza crescente di Firma Elettronica Semplice, Avanzata e Qualificata corrisponde a un valore giuridico specifico: nei Paesi UE, per esempio, la FES offre un valore probatorio molto limitato, mentre la FEQ (o Firma Digitale) ha lo stesso identico valore della firma autografa apposta in presenza, e può quindi essere fatta valere contro terzi.

Per riassumere, il quadro vigente in Europa prevede i seguenti profili di validità giuridica:

• FES: non richiede alcuna verifica formale dell’identità, quindi offre un basso livello di garanzia. Si usa infatti per accordi informali e per l’accettazione di termini e condizioni generali, ma non per la sottoscrizione di contratti vincolanti;
• FEA: richiede una verifica dell’identità e permette di rilevare ogni successiva modifica al documento, motivo per cui il documento firmato con FEA ha l'efficacia probatoria prevista dall'Art. 2702 del Codice Civile (l'efficacia della scrittura privata). Questo tipo di firma può essere usata per contratti, approvazioni finanziarie, modulistica della Pubblica Amministrazione;
• FEQ o Firma Digitale: prevede una verifica (preventiva) dell’identità dal vivo o da remoto e la presenza di un certificato di firma rilasciato e gestito da un prestatore di servizi fiduciari qualificati accreditato (in Italia, presso l’AgID). Equivale a tutti gli effetti a una firma autografa e garantisce immodificabilità e paternità certa del documento. È la firma da usare per appalti pubblici, atti notarili, accordi transfrontalieri, contratti finanziari di elevato valore e atti immobiliari.

La firma elettronica nella vita delle imprese

Le aziende, anche quelle più piccole, gestiscono quotidianamente una certa quantità di documenti, che vanno dai contratti con clienti e fornitori alle comunicazioni con la Pubblica Amministrazione. 

Anche nel contesto aziendale ogni Firma Elettronica ha il suo uso specifico: se la FES è perfetta per termini d’uso, ordini su e-commerce e flussi interni a basso rischio, la FEA è la soluzione ideale per l’onboarding dei clienti e per la gestione del personale. Per sottoscrivere rapporti commerciali formali, gare d'appalto, bilanci o atti societari, invece, è fondamentale l’uso della FEQ, o Firma Digitale.

Scegliere il giusto tipo di firma garantisce la sicurezza e la validità dei documenti sottoscritti, ma avere un pool di firme elettroniche adatte nelle mani dei dipendenti preposti non è sempre sinonimo di efficienza. La necessità di firmare manualmente decine di documenti, al contrario, può creare dei veri e propri colli di bottiglia operativi.

Perciò, quando i documenti da firmare sono numerosi, integrare i servizi di firma tramite API diventa un’opzione imprescindibile. Collegandosi direttamente ai gestionali aziendali, le API di firma permettono di automatizzare l’intero ciclo di vita del documento, consentendo di applicare la giusta firma in maniera automatica e pienamente conforme al Regolamento eIDAS, oltre che di archiviare i documenti a norma di legge. Il tutto in un unico processo che avviene in tempo reale e che è facilmente scalabile in base alle necessità dell’azienda.