Lezione del 4-2-10+ 5-2 + 12-2(?) Testi di riferimento

1. Lezione del 4-2-10+ 5-2 + 12-2(?)Testi di riferimento • DUNI, L’amministrazione digitale, Giuffrè, 2008. • Files scaricabili: http://spol.unica.it/didattica/duni/LEGALI/AMMINISTRAZIONE-DIGITALE/ • Apre una cartella: Scegliere i files seguenti: • AmmDigitaleLegali 1.ppt • AmmDigitaleLegali 2.ppt • DirettivaFirmeItaliano.pdf • Dlegisl 82-05 agg.06.pdf • FIRME ELETTRONICHE 2006.doc (in appendice le fonti principali) • Tabella firme.doc

2. Amministrazione digitale= In forma elettronica Paperless Dematerializzazione Inversione del valore giuridico primario: dalla carta (che diventa copia eventuale) alla forma elettronica (originale)

3. Due domande di partenza • Perché si vuole modificare? • Come si garantisce l’attribuibilità degli atti e delle attività orna a6

4. Perché si vuole modificare, abbandonando le carte? • La carta ci da sicurezza • Alle carte siamo ancestralmente legati • Eppure … (in ordine inverso di importanza) • Ingombrano • Rallentano la ricerca di dati • Rallentano l’attività

5. La ricerca dei dati nei sistemi informatici • Velocità • Accesso ad una massa enorme con unica richiesta • Possibilità di richiesta multidato • Possibilità di ricerche con dati incerti ed incompleti • Possibilità di incrociare dati di diverse banche dati (riscontri fiscali; problemi privacy)

6. Ma la velocizzazione è il motivo più importante • Velocizzazione delle ricerche • Velocizzazione dell’attività in cooperazione telematica • L’informatica si associa alla telematica • Un computer isolato da rete (informatica senza telematica) può poco: • Fare calcoli (calcolatrice evoluta) • Predisporre testi (che per circolare devono essere stampati) = macchina da scrivere evoluta • Gestire una banca dati (con utenza limitata a chi dispone del computer che la contiene) Torna a 2

7. Come si attribuisce la paternità dell’atto • La dematerializzazione non può esistere senza garanzie di attribuibilità, sostitutive della firma con penna • Queste garanzie prendono il nome di firma elettronica • Diversa impostazione dei tecnici (firma è solo quella digitale). Rinvio…

8. Il periodo della predominanza dei tecnici nella informatizzazione della P.A. • Grande peso ai rapporti con l’utenza • Effetti limitati, in assenza di back office informatizzato • Banche dati settoriali, per lo più ripetitive di archivi cartacei • La «informatica parallela» • Siti web per lo più informativi, con sporadiche connessione ai procedimenti • Confusione tra procedimento e processo (processing)

9. Oggi nessuno può più mettere in discussione • Che l’innovazione della P.A. non è un problema meramente tecnologico • Che l’informatica è un mezzo e non un fine • Che deve fare i conti con il diritto amministrativo e la scienza dell’amministrazione • Che è stato dato troppo peso al front office e pochissimo al back office • Che il back office ha molti aspetti, ma tra questi predomina il procedimento amministrativo • Che è in quest’ultimo ambito che si verifica la velocizzazione della P.A. • Che il fatto che ci si occupasse di “processing” non equivaleva ad affrontare i problemi del procedimento

10. Un problema di funzionalità:il coordinamento informatico in un sistema di P.A. multilivello, con autonomie e basato sulla sussidiarietà e proporzionalità • Consapevolezza nella costituzione del 2001: 1172, «Lo Stato ha legislazione esclusiva nelle seguenti materie:» lett.r: «…coordinamento informativo statistico e informatico dei dati dell'amministrazione statale, regionale e locale, …». • Scarsa consapevolezza del legislatore ordinario (vedremo) • È un potere legislativo esclusivo; non implica che anche un potere amministrativo debba essere riservato allo Stato.

11. GLI ORGANI PREPOSTI • Opportuna unificazione dei Dipartimenti delle tecnologie e della Funzione pubblica. Il ruolo del CNIPA (oggi DigitPA). • Insufficienza degli organismi preposti per il coordinamento informatico, anche dopo il Codice P.A. digitale. • Conferenza unificata: organo politico, che può dare solo il ‘placet’ finale delle scelte (vari compiti: es.: la scelta della metodologia dello sportello unico telematico- art. 10). È nominata 20 volte (pareri) • Il Consiglio di Stato ha sottolineato questa carenza. • Commissione permanente per l’innovazione tecnologica nelle regioni e negli enti locali (art. 14): appare specifica per i problemi delle autonomie, ma in pratica dovrà curare anche il coordinamento globale (9 rappresentanti del Governo). • Diventa quindi ANCHE un organismo tecnico-giuridico nazionale di coordinamento informatico. • Un problema ancora tutto da affrontare: necessità di un coordinamento europeo verticale (interoperabilità con le istituzioni) ed orizzontale (tra Stati).

12. 1978: la nascita delle nuove idee • Tra i giuristi: Duni, relazione ad un Convegno della Corte di Cassazione, in Riv. Amm. Rep. It. 1978 • Tra i tecnici: pubblicazione delle ricerche di Rivest, Shamir, Adleman sulla firma digitale (A method for obtaining Digital signature and public key cryptosystems, febbraio 1978). La soluzione proposta viene generalmente indicata come RSA

13. Proposta Duni • Capovolgere il rapporto tra carte e forma elettronica • Pretendere soluzioni di garanzie per l’attribuibilità dei documenti informatici (“firmare elettronicamente”) • Gestire il procedimento amministrativo in forma elettronica, telematicamente.

14. Rivest, Shmir, Adleman (RSA) • Riprendono gli studi di Diffie ed Hellman sulla criptazione: da simmetrica ad asimmetrica. (breve spiegazione) • Studiano il problema in funzione prevalente di “firma”, definita digitale. • La firma digitale non è solo un sistema tecnico, ma presuppone una organizzazione di soggetti che svolga compiti essenziali …

15. Affinché la tecnologia RSA funzioni i gestori del sistema (“certificatori”) devono • Fornire le due chiavi di criptazione e decriptazione, a soggetti ben identificati • Mantenere un elenco pubblico (on line) delle chiavi pubbliche, palesando l’attribuibilità (funzione di certificazione) • Palesare la scadenza delle chiavi, dovuta a vari motivi (i principali: durata massima superata; fine dell’ incarico - pubblico o privato - abilitante; furto o smarrimento) • Rendere possibile, su richiesta, la marcatura temporale: • Un atto è valido se emesso quando la legge lo consente; • Un atto informatico è valido se emesso nel periodo di validità della firma digitale.

16. 1993: PRIMO RECEPIMENTO DEL VALORE GIURIDICO DELLA FORMA ELETTRONICA. • D. Legisl. 39/1993, istitutivo dell’AIPA. • Art. 3:1. Gli atti amministrativi adottati da tutte le pubbliche amministrazioni sono di norma predisposti tramite i sistemi informativi automatizzati. • 2. Nell’ambito delle pubbliche amministrazioni l’immissione, la riproduzione su qualunque supporto e la trasmissione di dati, informazioni e documenti mediante sistemi informatici o telematici, nonché l’emanazione di atti amministrativi attraverso i medesimi sistemi, devono essere accompagnate dall’indicazione della fonte e del responsabile dell’immissione, riproduzione, trasmissione o emanazione. Se per la validità di tali operazioni e degli atti emessi sia prevista l’apposizione di firma autografa, la stessa è sostituita dall’indicazione a stampa, sul documento prodotto dal sistema automatizzato, del nominativo del soggetto responsabile.

17. DIFETTI DELLA NORMA ED UNICA ATTUAZIONE • La dematerializzazione si ricava per implicito con un ragionamento interpretativo complesso • Nessun accenno alle garanzie di attribuibilità • L’espressione “di norma” lascia molti dubbi interpretativi • L’unica attuazione è stato il mandato di pagamento informatico da parte delle ragionerie dello Stato (D.P.R. 20 aprile 1994, n. 367, divenuto operativo nella primavera 1999). Fu necessario integrare abbondantemente gli aspetti delle garanzie

18. PRIMO RECEPIMENTO DELLA FIRMA DIGITALE • 1995: l’Utah Digital Signature Act(Utah Code §§ 46-3-101 to 46-3-504 — Enacted by L. 1995, ch. 61) • 1997: A) art. 15 l. 15-3-97, n. 59 (“Bassanini 1”), che rinviava ad un emanando regolamento le condizioni di validità di tutti gli atti giuridici in forma elettronica.

19. Testo del comma 2 dell’art. 15 della L. 59/1997 • 2. Gli atti, dati e documenti formati dalla pubblica amministrazione e dai privati con strumenti informatici o telematici, i contratti stipulati nelle medesime forme, nonché la loro archiviazione e trasmissione con strumenti informatici, sono validi e rilevanti a tutti gli effetti di legge. I criteri e le modalità di applicazione del presente comma sono stabiliti, per la pubblica amministrazione e per i privati, con specifici regolamenti da emanare entro centottanta giorni dalla data di entrata in vigore della presente legge ai sensi dell'articolo 17, comma 2, della legge 23 agosto 1988, n. 400. Gli schemi dei regolamenti sono trasmessi alla Camera dei deputati e al Senato della Repubblica per l'acquisizione del parere delle competenti Commissioni.

20. B) Il regolamento: DPR 513/97 • Unico criterio di dematerializzazione la firma digitale con regole rigorose (firma digitale qualificata) • Esclusione implicita di altre soluzioni • Riserva a favore di certificatori accreditati: • della distribuzione dei meccanismi di firma • della tenuta degli elenchi ai fini della certificazione di attribuibilità • della possibilità di datazione certa del documento (servizio accessorio di marcatura temporale).

21. Il superamento del DPR 513 da parte della direttiva 1999/93/CE • Espressamente chiamata direttiva sulle firme elettroniche (e non «digitali»), correggendo lo stesso incarico ricevuto • La firma digitale non deve essere l’unica firma elettronica • I certificatori non devono necessariamente essere accreditati • La firma digitale (chiamata «avanzata») ha più livelli di garanzie, tra i quali la qualificata • È lasciata la possibilità dell’accreditamento facoltativo per una maggiore affidabilità dei certificatori

22. Tappe intermedie fino al Codice della P.A. digitale • DPR 28 dicembre 2000, n. 445 (TUDA), che non recepisce ancora la direttiva • D. Legisl. 23 gennaio 2002, n. 10 (recepimento della direttiva) • DPR 7 aprile 2003, n. 137 (ulteriori modifiche al TUDA)

23. IL SISTEMA ODIERNODELLE FIRME ELETTRONICHE EDEL DOCUMENTO INFORMATICO • Le fonti principali: • Direttiva comunitaria 1999/93/CE del Parlamento e del Consiglio • L. 29 luglio 2003, n. 229, Art. 10 (Deleghe in materia di società dell’informazione) • D. Legisl. 7 marzo 2005, n. 82, modificato dal d.lg. 4 aprile 2006, n. 159, Codice della P.A. digitale; ulteriori modifiche con L. 18 giugno 2009, n. 69.

24. IL SISTEMA ODIERNODELLE FIRME ELETTRONICHE EDEL DOCUMENTO INFORMATICO • DUE OPZIONI TERMINOLOGICHE a) «Si possono chiamare firme solo quelle garanzie che si legano al documento e lo rendono immodificabile, pena la perdita della attribuibilità» b) «Si chiamano firme tutte quelle tecniche che l’ordinamento prevede come idonee a creare documenti informatici (= validi in forma elettronica)»

25. Se sono chiari i concetti si tratta solo di problemi terminologici • A) soluzione terminologica preferita dai tecnici informatici: si limitano a distinguere: • Firme digitali sicure • Altre firme digitali, tra le quali la firma avanzata, ma non garantita da certificatore e certificato qualificato Ogni altra soluzione non è “firma”.

26. B) Soluzione terminologica proposta sulla base delle norme • L’espressione firmare elettronicamente è anteriore (1978) alla nascita e prima diffusione della firma digitale. • Parlare di firme nel campo informatico è sempre in senso traslato. • Riconoscere valore giuridico ad un documento informatico significa considerarlo attribuibile all’autore, ossia FIRMATO. • L’ordinamento prevede 4 categorie di ipotesi di riconoscimento del valore giuridico della forma elettronica (cfr. più oltre)

27. La stessa direttiva conduce ad una interpretazione ampia • La Commissione europea fu incaricata di predisporre una direttiva sulle firme digitali e predispose invece una direttiva sulle firme elettroniche • Le attività già avviate che interessarono la Commissione erano il commercio elettronico, che si svolgeva sulla base di sistemi di identificazione e senza firme digitali. Richiedere la firma digitale in queste attività sarebbe stato paralizzante. • Anche le PP.AA. si stavano avviando verso soluzioni semplici (per lo più PIN e passwords) nei rapporti con i cittadini ed in quelli tra PP.AA.

28. Parentesi su argomentazione fallace • «Le semplificazioni informatiche previste senza firma digitale quando non è richiesta la forma scritta ad substantiam non servono per una teoria dell’atto informatico, perché l’ordinamento non richiede il rispetto di alcuna regola formale»

29. SEGUE: replica • In realtà quando non vi è l’obbligo dell’atto scritto, l’oralità, la presenza, i facta concludentia, sono sufficienti garanzie (ma mancano nel documento informatico). • Ma spesso, in assenza di questi elementi, si ricorre allo scritto facoltativo cartaceo. • Lo scritto facoltativo deve rispettare le regole degli atti scritti (altrimenti non è nulla) • Gli atti scritti, anche se facoltativi, sono sottoscritti. • Nel commercio elettronico si compilano degli ordini con scritturazione elettronica. • Molti atti nel diritto amministrativo sono scritti perché la legge lo prevede o per motivi fiscali

30. RIPRENDIAMO DA DIRETTIVA CE • La Commissione ben conosceva il concetto e l’espressione “firma digitale”, volutamente abbandonato come soluzione unica. • Le definizioni della direttiva (cfr.: 1 e 2)  si completano nei testi delle norme: in particolare nell’art. 5. 

31. Da direttiva CE, art. 2 • 1) "firma elettronica", dati in forma elettronica, allegati oppure connessi tramite associazione logica ad altri dati elettronici ed utilizzata come metodo di autenticazione; • 2) "firma elettronica avanzata", una firma elettronica che soddisfi i seguenti requisiti: • a) essere connessa in maniera unica al firmatario; • b) essere idonea ad identificare il firmatario; • c) essere creata con mezzi sui quali il firmatario può conservare il proprio controllo esclusivo; • d) essere collegata ai dati cui si riferisce in modo da consentire l'identificazione di ogni successiva modifica di detti dati;

32. Il testo dell’art. 5 • Articolo 5 - Effetti giuridici delle firme elettroniche • 1. Gli Stati membri provvedono a che le firme elettronicheavanzate basate su un certificato qualificato e create mediante un dispositivo per la creazione di una firma sicura: • a) posseggano i requisiti legali di una firma in relazione ai dati in forma elettronica così come una firma autografa li possiede per dati cartacei; e • b) siano ammesse come prova in giudizio. • 2. Gli Stati membri provvedono affinché una firma elettronica non sia considerata legalmente inefficace e inammissibile come prova in giudizio unicamente a causa del fatto che è: • - in forma elettronica, o • - non basata su un certificato qualificato, o • - non basata su un certificato qualificato rilasciato da un prestatore di servizi di certificazione accreditato, ovvero • - non creata da un dispositivo per la creazione di una firma sicura.

33. Il codice P.A. digitale e la direttiva: artt. 20 e 21 del codice • Ricalca le definizioni della direttiva, salvo omettere la n. 2: “firma avanzata”, ma … • Da pieno valore alla firma digitale qualificata, basata su: • f) certificato qualificato: il certificato elettronico conforme ai requisiti di cui all'allegato I della direttiva 1999/93/CE, rilasciato da certificatore che risponde ai requisiti di cui all'allegato II della medesima direttiva; • Non contrasta la direttiva: pur non prevedendo la firma elettronica avanzata, perché neppure la direttiva le attribuiva effetti diversi dalla “non irrilevanza giuridica”. • Affida alla libera valutazione del giudice tutto ciò che non risponde alle regole della firma digitale qualificata

37. Articolo 2702 - Codice CivileEfficacia della scrittura privata • La scrittura privata fa piena prova, fino a querela di falso, della provenienza delle dichiarazioni da chi l'ha sottoscritta, se colui contro il quale la scrittura è prodotta ne riconosce la sottoscrizione, ovvero se questa e legalmente considerata come riconosciuta • Il richiamo è poco utile dato che il 2702 dice quasi il contrario

39. Ad substantiam e ad probationem • Bassanini 1, art. 15: i documenti che rispondono ai requisiti sono «validi e rilevanti a tutti gli effetti di legge» • Ma, entrando nello specifico la differenza è ignorata dal legislatore, trattando del documento informatico fino al 2002! (D. Legisl. 10/2002), che adeguò il TUDA alla direttiva comunitaria. Prima si parlava solo di “validità ai fini probatori”. (Leggi predisposte dai tecnici).

40. Ad substantiam e ad probationem (segue) • Chiarezza nel ‘Codice’ (artt. 20 e 21: separati, ma quasi identici). • Importante differenza tra il testo del 2005 e quello del 2006: • 2005, come TUDA: solo con firma qualificata il documento è valido ad substantiam • 2006: solo per gli atti di cui al 1350 cc. (beni immobili) è necessaria la f. dig. qualificata. • 2006: per TUTTI gli altri atti la validità ad substantiam è rimessa alla valutazione del giudice.

41. La resistenza in giudizio • 212: Firma digitale qualificata: incontestabile: «L'utilizzo del dispositivo di firma si presume riconducibile al titolare, salvo che questi dia la prova contraria.» (tolto l’onere della querela di falso) • Tutte le altre ipotesi (20 e 21): • Valutazione del giudice: • Valide ad probationem ed ad substantiam (salvo 1350 cc.) • Se valutazione negativa = documento inaffidabile sia come prova sia ad substantiam

42. “4 categorie di firme elettroniche”Ricordiamo le due ipotesi definitorie (garanzia = o≠ firma)? • Le due differenze: • la RSA si incorpora nel documento e lo segue; immodificabilità; indistinguibilità tra originale e copia • garanzia non firma digitale RSA: agevola l’innovazione, ma lascia un documento alterabile, garantito solo nella conservazione (CUSTODIA). • Firma elettronica come concetto generico che si articola in entrambe le due sottospecie (l’ordinamento riconosce il documento informatico anche se non ha la firma digitale)

43. In realtà le ipotesi nel nostro diritto positivo sono 4 • Firma digitale qualificata. • Firma digitale non qualificata (concetto esplicito nella direttiva CE = “avanzata”) ed implicito nel ‘Codice’ (tecnica RSA, ma non hanno i requisiti di sicurezza) = firma elettronica (artt. 20 e 21) • Identificazione all’accesso: (artt. 64 e 65) • Documentazione trasmessa telematicamente con provenienza verificabile (45-47-48-76) • Tra queste norme la più importante per lo sviluppo avviato è quella che prevede la posta elettronica certificata 1+2 — 3+4 = abbinamenti tecnologici 1 — 2+3+4 = abbinamenti per la rilevanza in giudizio (artt. 20 e 21 CAD)

44. 65. Istanze e dichiarazioni presentate alle pubbliche amministrazioni per via telematica. 1. Le istanze e le dichiarazioni presentate alle pubbliche amministrazioni per via telematica ai sensi dell'articolo 38, commi 1 e 3, del decreto del Presidente della Repubblica 28 dicembre 2000, n. 445, sono valide: a) se sottoscritte mediante la firma digitale, il cui certificato è rilasciato da un certificatore accreditato; b) ovvero, quando l'autore è identificato dal sistema informatico con l'uso della carta d'identità elettronica o della carta nazionale dei servizi, nei limiti di quanto stabilito da ciascuna amministrazione ai sensi della normativa vigente; c) ovvero quando l'autore è identificato dal sistema informatico con i diversi strumenti di cui all'articolo 64, comma 2, nei limiti di quanto stabilito da ciascuna amministrazione ai sensi della normativa vigente e fermo restando il disposto dell'articolo 64, comma 3. «Fino al ………. » 2. Le istanze e le dichiarazioni inviate o compilate su sito secondo le modalità previste dal comma 1 sono equivalenti alle istanze e alle dichiarazioni sottoscritte con firma autografa apposta in presenza del dipendente addetto al procedimento; resta salva la facoltà della pubblica amministrazione di stabilire i casi in cui è necessaria la sottoscrizione mediante la firma digitale. 3. Dalla data di cui all'articolo 64, comma 3, non è più consentito l'invio di istanze e dichiarazioni con le modalità di cui al comma 1, lettera c). 4. Il comma 2 dell'articolo 38 del decreto del Presidente della Repubblica 28 dicembre 2000, n. 445, è sostituito dal seguente: «2. Le istanze e le dichiarazioni inviate per via telematica sono valide se effettuate secondo quanto previsto dall'articolo 65 del decreto legislativo 7 marzo 2005, n. 82».

45. CONSIDERAZIONI CONCLUSIVE • Le divergenze di opinioni possono essere ricondotte a differenti terminologie (“firme” e “garanzie” per il documento informatico) • Larghissimo spazio alla validità giuridica del documento informatico; • Affidamento al giudice del riconoscimento della validità, basata sulla affidabilità, ossia della attribuibilità all’autore. (Critica alla soluzione che da troppa responsabilità al giudice; accettabile in fase transitoria).

46. SEGUE: conclusive • Criteri dell’affidabilità: • Incontestabile la f. dig. qualificata • Per gli altri: «qualità,sicurezza, integrità ed immodificabilità» Artt. 20 e 21 • L’immodificabilità assoluta sarebbe solo per le RSA, anche non qualificate (‘f. avanzata’ CE). Quindi non va presa come condizione indispensabile. • Controllo all’accesso e trasmissione (art. 65 e quelli sulla trasmissione) • L’affidabilità va vista nel contesto (esempio del fax preavvisato o concordato) Apri codice p. 3, def. r + f e poi s + r Apri direttiva def. 1 ….. 2+6+10 e art. 5

48. Immodificabilità: alternative alla RSA • Conservazione su dischi worm • Validazione del documento ricevuto a cura della P.A. (firma digitale automatica di sistema) • Rispedizione di ricevuta validata

49. SEGUE: conclusive • Principio della fiducia nelle relazioni, ma: • Asimmetria nel rapporto. La maggiore garanzia del ricevente, che ha messo regole all’accesso. (Il mittente è invece affidato alla corretta conservazione di quanto inviato) • Rimedi proponibili: a) SEMPLICE invio di una ricevuta • AVANZATO: Validazione del documento con firma digitale di sistema • Invio di una ricevuta contenente il documento validato