Lo schema di DPR approvato dal Consiglio dei Ministri nella riunione del 25 marzo 2004, su proposta di Lucio Stanca, Ministro per l'Innovazione e le Tecnologie, e Luigi Mazzella, Ministro per la Funzione Pubblica, sembrerebbe riconoscere piena validità giuridica ai documenti trasmessi per posta elettronica: si tratta di una vera novità? Ne discutiamo con Andrea Lisi, avvocato, curatore di Scint.it, e con Michele Iaselli, anch'egli avvocato, dipendente del Ministero della Difesa ed esperto di tematiche giuridiche sull'ICT.

ZN: È veramente innovativo questo schema di DPR che sta facendo tanto discutere? o alla fin fine si ribadiscono concetti che già "si respiravano" in Italia?

Iaselli: "Definirei questo decreto, chiaramente alla luce di quello che si è potuto sapere dalle prime comunicazioni ufficiali, opportuno più che innovativo. Difatti rappresenta una logica integrazione di tutti quei provvedimenti che già hanno disciplinato la posta elettronica. Primi fra tutti l'art. 14 del D.P.R. 445/2000, la Direttiva di Stanca del 27 novembre 2003 e le "linee guida del servizio di trasmissione di documenti informatici mediante posta elettronica certificata" del Centro Tecnico per la Rete Unitaria della P.A. datate febbraio 2003".

ZN: Ma come si può affidare all'e-mail sprovvista di firma digitale il compito di assicurare la certezza ed integrità del messaggio inoltrato?

Iaselli: "E' questo un "pericoloso" equivoco dal quale bisogna sgomberare il campo. Il Decreto in argomento non fa altro che certificare e quindi garantire quelle due fasi fondamentali connesse alla trasmissione telematica e cioè l'invio e la ricezione. Ben altra cosa è garantire l'autenticità, l'integrità e la paternità del contenuto del messaggio di posta elettronica. Per realizzare simili obiettivi è necessaria la firma elettronica, almeno, avanzata".

Lisi: "Non mi sembra che il DPR in questione miri ad attribuire a questo documento "prova legale" (e quindi sicurezza assoluta) circa l'integrità e autenticità nella trasmissione e soprattutto nel contenuto del messaggio inoltrato... tale DPR mira evidentemente ad attribuire un minimo di rilevanza giuridica ad uno strumento utilizzatissimo ed economico come l'e-mail! Si tratta ovviamente di aspettare e verificare il contenuto specifico del DPR in modo che siano più chiari i contenuti tecnici della questione, ma alla fin fine non mi sembra che ci sia molta differenza rispetto alle semplici e-mail e il tutto sembra essere un modo elegante per conferire rilevanza alle semplici e-mail".

"I meccanismi tecnici di invio e ricezione semmbrerebbero rimanere invariati, salvo le previste "ricevute di trasmissione". Lo schema in questione conferma pertanto l'e-mail sia utilizzabile nei rapporti "interni" e di natura "privatistica" della P.A. e ovviamente nelle comunicazioni tra privati. Ovviamente quando per taluni rapporti emergeranno esigenze di certezza e di "autenticazione" tipiche della P.A. allora serviranno altri meccanismi che possano assicurare il rispetto di quelle esigenze (come l'utilizzo della firma digitale o di altre forme di firma elettronica avanzata)".

ZN: Quale ruolo assumerebbe il CNIPA in questa nuova forma di "posta certificata"?

Iaselli: "Il CNIPA avrà compiti di vigilanza e controllo sull'attività degli iscritti al previsto elenco ufficiale dei gestori di posta elettronica certificata. In realtà ritengo che in tale settore, specialmente avuto riferimento all'attività della pubblica amministrazione, il CNIPA dovrebbe, per il futuro, continuare nell'opera dell'AIPA consistente nell'analizzare il problema dell'integrazione ed interoperabilità tra il protocollo informatico, la posta elettronica e la firma elettronica avanzata".

Lisi: "Il ruolo del CNIPA rimarrebbe quello di vigilanza, operando nel caso specifico semplici "meccanismi" di silenzio-assenso che di fatto permetterebbero più o meno a tutti gli attuali gestori di servizi di posta elettronica di adeguarsi alle (per adesso poche) regole di invio e ricezione per la "posta certificata", al fine consentire "in automatico" le previste "ricevute" del messaggio di posta elettronica e, quindi, l'accertamento della avvenuta trasmissione del messaggio. Accertamento che comunque risultava tecnicamente possibile anche con l'invio delle semplici email".

"Occorre precisare e sottolineare ancora una volta che il sistema (se non associato a forme di firma elettronica avanzata, quali la firma digitale) mirerebbe ad assicurare soltanto maggiore "sicurezza" (o meglio maggiore "certezza probatoria") nella trasmissione dell'e.mail (invio e ricezione) senza assicurare nulla di più in merito al contenuto del messaggio (integrità e autenticità dello stesso)".

ZN: Ma può tale sistema di trasmissione essere paragonato alla lettera raccomandata a.r.?

Iaselli: "L'equiparazione alla raccomandata a.r. può essere fatta solo a livello formale non certo sostanziale. L'invio e la ricezione di documenti con strumenti informatici (e-mail) potrà avere un valore legale come nel caso della raccomandata cartacea, ma, come detto in precedenza, discorsi ben diversi si devono fare per il contenuto dei messaggi di posta elettronica".

Lisi: "Il sistema di invio di posta elettronica svolge una funzione sostanzialmente analoga a quella svolta dalla lettera raccomandata a.r. (o dal telefax) che può provare giudizialmente solo l'invio di un documento ad un determinato destinatario, ma non può certamente "accertare" che si tratta proprio di "quel documento" esibito in giudizio (nella sua integrità)".

ZN: Come si proverebbe in giudizio l'invio e la avvenuta ricezione dell'e-mail?

Iaselli: "Qui assume valore fondamentale l'attività del gestore del servizio di posta elettronica certificata. Difatti certificare le due fasi dell'invio e della ricezione significa che il mittente riceve dal proprio gestore di posta una ricevuta che costituisce prova legale dell'avvenuta spedizione del messaggio e dell'eventuale allegata documentazione. Allo stesso modo, quando il messaggio perviene al destinatario, il suo gestore di posta invia al mittente la ricevuta di avvenuta (o mancata) consegna, con l'indicazione della data e dell'orario, a prescindere dalla apertura del messaggio".

"Insieme alla ricevuta di consegna, inoltre, il gestore del destinatario può anche inviare al mittente la copia completa del testo del messaggio. Il decreto stabilisce inoltre che, nel caso in cui il mittente smarrisca le ricevute, la traccia informatica delle operazioni svolte venga conservata per ventiquattro mesi in un apposito registro informatico custodito dai gestori, con lo stesso valore giuridico delle ricevute. I dati contenuti nel suddetto registro devono essere disponibili ed accessibili per la consultazione a fini ispettivi, da parte del CNIPA, o in caso di contenzioso dai soggetti individuati per tale compito".

Lisi: "In realtà, il fatto che ai gestori di "posta certificata" venga richiesto anche un obbligo di conservazione dei "file di ricezione" di 24 mesi suona un pò strano visto che tale obbligo era già previsto nel T.U. sulla privacy.... insomma i gestori sembrerebbero dover fare poco di più rispetto a quello che già devono fare per l'e-mail semplice...se non inviare al CNIPA questa richiesta di autorizzazione, dichiarandosi pronti a svolgere questo "nuovo" servizio e poi aspettare che si verifichi il "meccanismo" di silienzio-assenzo (e cioè il decorrere di 60 giorni)".

ZN: Ma l'e-mail semplice perderebbe ogni rilievo documentale?

Iaselli: "Per la verità l'e-mail semplice non ha mai avuto un rilevante valore documentale proprio per la sua scarsissima affidabilità. Se vogliamo il DPR è stato previsto proprio per attribuire all'e-mail quel "quid" in più tale da equipararla alle riproduzioni fotografiche o cinematografiche, le registrazioni fonografiche e, in genere, ogni altra rappresentazione meccanica (ed ora elettronica) di fatti e di cose di cui all'art. 2712 cod.civ".

Lisi: "A mio avviso, alle e.mail semplici rimarrebbe una rilevanza formale simile alla"posta certificata", ma una minore valenza probatoria (d'altronde - come più volte riferito - la valenza formale "scritta" del documento informatico provvisto da forme "molto leggere" di firma elettronica, come l'e.mail semplice, va verificata dal punto di vista probatorio caso per caso dal giudice, come previsto dall'art. 10 del DPR 445/2000, come recentemente modificato dal D. Lgs. n. 10/2002)".

ZN: Tutti i gestori possono chiedere di essere ammessi a questo nuovo servizio?

Iaselli: "Per rispondere compiutamente a questa domanda è opportuno attendere il testo definitivo del decreto, ma è indubbio che tali soggetti, pubblici o privati che siano, debbano avere requisiti fondamentali quali: dimostrare l'affidabilità organizzativa e tecnica necessaria per svolgere il servizio di posta certificata; impiegare personale dotato delle conoscenze specifiche, dell'esperienza e delle competenze necessarie per i servizi forniti; applicare procedure e metodi amministrativi e di gestione adeguati e tecniche consolidate; utilizzare dispositivi e prodotti protetti da alterazioni e che garantiscano la sicurezza delle informazioni; adottare adeguate misure per garantire l'integrità e la sicurezza del servizio di posta certificata".

Lisi: "Certamente è criticabile il fatto che sembrerebbe essere limitato l'accesso al servizio di posta certificata ai soli gestori che siano costituiti in società di capitali e si devono attendere le adeguate giustificazioni sul punto... Occorre considerare, in ogni caso, che le regole tecniche che dovrebbero consentire l'inserimento del gestore nel registro tenuto dal CNIPA dovrebbero essere rispettate da qualsiasi gestore di posta elettronica (si tratta di standard tecnici verso i quali tendenzialembnte qualsiasi gestore si va adeguando o si adeguerà)".

"Inoltre, il sistema è stato pensato soprattutto per assolvere le funzioni di trasmissione dei documenti informatici ai sensi dell'art. 14 del DPR 445 del 2000 e, quindi, è stato pensato (come al solito) per le P.A. (come confermato dalla Linee Guida presenti sul sito del CNIPA). Rimarrebbe scoperto e privo di regolamentazione l'enorme flusso di informazioni telematiche che viaggia quotidianamente nel commercio elettronico internazionale (che si affida a servizi di posta non "certificati"). In questo ambito, a "farla da padrone" è sempre l'autoregolamentazione, in attesa di un desiderato (ma molto molto difficile) quadro giuridico sopranazionale in materia".