1999L0093—IT—19.01.2000—000.001—1
Trattandosidiunsemplice strumentodidocumentazione,essononimpegnalaresponsabilitàdelleistituzioni
►B DIRETTIVA1999/93/CEDELPARLAMENTOEUROPEOEDELCONSIGLIO
del13dicembre1999
relativa adunquadrocomunitarioperlefirme elettroniche
(GUL13del19.1.2000,pag.12)
Rettificatada:
►C1Rettifica,GUL119del7.5.2002,pag.4(1999/93/CE)
▼B
DIRETTIVA 1999/93/CE DEL PARLAMENTO EUROPEO E
DELCONSIGLIO
del13dicembre 1999
relativa adunquadrocomunitarioperlefirme elettroniche
ILPARLAMENTOEUROPEOEILCONSIGLIODELL'UNIONEEUROPEA,
visto il trattato che istituisce la Comunità europea, in particolare gli
articoli47,paragrafo2,55e95,
vistalapropostadellaCommissione(1),
vistoilpareredelComitatoeconomicoesociale(2),
vistoilpareredelComitatodelleregioni(3),
deliberandosecondolaproceduradicuiall'articolo251deltrattato(4),
considerandoquantosegue:
(1)il 16 aprile 1997 la Commissione ha presentato al Parlamento
europeo, al Consiglio, al Comitato economico e sociale e alComitato delle regioni una comunicazione relativa ad un'inizia-tivaeuropeainmateriadicommercioelettronico;
(2)l'8 ottobre 1997 la Commissione ha presentato al Parlamentoeuropeo, al Consiglio, al Comitato economico e sociale e alComitato delle regioni una comunicazione intitolata «Garantirela sicurezza e l'affidabilità nelle comunicazioni elettroniche —
Verso la definizione di un quadro europeo in materia di firme
digitaliedicifratura»;
(3)il 1odicembre 1997 il Consiglio ha invitato la Commissione a
presentarequantoprimaunapropostadidirettivadelParlamentoeuropeoedelConsigliorelativaallefirmedigitali;
(4)lecomunicazionielettronicheeilcommercioelettroniconecessi-tano di firme elettroniche e dei servizi ad esse relativi, atti aconsentirel'autenticazione deidati;ladivergenzadellenormeinmateriadiriconoscimento giuridicodellefirmeelettroniche edi
accreditamento dei prestatori di servizi di certificazione negli
Statimembripuòcostituireungraveostacoloall'usodellecomu-nicazioni elettroniche e del commercio elettronico; invece, unquadro comunitario chiaro relativo alle condizioni che si appli-cano alle firme elettroniche rafforzerà la fiducia nelle nuovetecnologie e la loro accettazione generale; la normativa negli
Statimembrinondovrebbeesserediostacoloallaliberacircola-
zionedibeniediservizinelmercatointerno;
(5)occorrerebbe promuovere l'interoperabilità dei prodotti di firmaelettronica; a norma dell'articolo 14 del trattato, il mercato
internocomportaunospaziosenzafrontiere interne,nelqualeè
assicurata la libera circolazione delle merci; per garantire lalibera circolazione nell'ambito del mercato interno e infonderefiducia nelle firme elettroniche, è necessaria la conformità airequisiti essenziali specifici relativi ai prodotti di firma elettro-nica, fatti salvi il regolamento (CE) n. 3381/94 del Consiglio,
del 19 dicembre 1994, che istituisce un regime comunitario di
controllo delle esportazioni di beni a duplice uso(
5), e la deci-
sione 94/942/PESC del Consiglio del 19 dicembre 1994,1999L0093—IT—19.01.2000—000.001—2
(1) GUC325del23.10.1998,pag.5.
(2) GUC40del15.2.1999,pag.29.
(3) GUC93del6.4.1999,pag.33.
(4) Parere del Parlamento europeo del 13 gennaio 1999 (GU C 104 del
14.4.1999, pag. 49), posizione comune del Consiglio del 28 giugno 1999(GUC243del27.8.1999,pag.33)edecisionedelParlamento europeodel
27ottobre 1999(nonancora pubblicata nella Gazzetta ufficiale). Decisione
delConsigliodel30novembre1999.
(
5) GUL367del31.12.1994,pag.1.Regolamentomodificatodalregolamento
(CE)n.837/95(GUL90del21.4.1995,pag.1).
▼B
relativa all'azione comune adottata dal Consiglio riguardante il
controllodelleesportazionidibeniadupliceuso(1);
(6)lapresentedirettivanonarmonizzalafornituradiservizirispettoal carattere riservato dell'informazione quando sono oggetto didisposizioninazionaliinerentiall'ordinepubblicooallapubblicasicurezza;
(7)il mercato interno consente anche la libera circolazione dellepersonelaqualesitraduceinunamaggiorenecessità,pericitta-
dini dell'Unione europea e per le persone che vi risiedono, di
trattare con le autorità di Stati membri diversi da quello in cuirisiedono;ladisponibilitàdicomunicazionielettronichepotrebbeesseredigrandeaiutoaquestoriguardo;
(8)larapidaevoluzionetecnologicaeilcarattereglobalediInternet
rendono necessario un approccio aperto alle varie tecnologie e
servizicheconsentonodiautenticareidatiinmodoelettronico;
(9)le firme elettroniche verranno usate in svariate circostanze edapplicazioni, che comporteranno un'ampia gamma di nuoviservizi e prodotti facenti uso di firme elettroniche o ad essecollegati; la definizione di tali prodotti e servizi non dovrebbe
essere limitata al rilascio e alla gestione di certificati, ma
comprenderebbe anche ogni altro servizio e prodotto facenteuso di firme elettroniche, o ad esse ausiliario, quali servizi diimmatricolazione, servizi di apposizione del giorno e dell'ora,servizi di repertorizzazione, servizi informatici o di consulenza
relativiallefirmeelettroniche;
(10)il mercato interno consente ai prestatori di servizi di certifica-
zione di sviluppare le proprie attività transfrontaliere ai fini diaccrescere la competitività e, pertanto, di offrire ai consumatoriealleimpresenuoveopportunitàdiscambiareinformazioniedieffettuarenegoziperviaelettronicainmodosicuro,indipenden-
temente dalle frontiere; al fine di stimolare la prestazione su
scala comunitaria di servizi di certificazione sulle reti aperte, iprestatori di servizi di certificazione dovrebbero essere liberi difornire i rispettivi servizi senza preventiva autorizzazione; perautorizzazione preventiva non si intende soltanto qualsiasi
permesso che il prestatore di servizi interessato deve ottenere
dalle autorità nazionali prima di poter fornire ipropri servizi dicertificazione,maancheognialtramisuraaventeeffettoequiva-lente;
(11)i sistemi di accreditamento facoltativo intesi a migliorare illivello di servizio fornito possono offrire ai prestatori di servizi
dicertificazioneilquadroappropriatoperl'ulterioresviluppodei
loroserviziversoilivellidifiducia,sicurezzaequalitàrichiestidall'evoluzionedelmercato;talisistemidovrebberoincoraggiarelosviluppodiprassiottimali traiprestatoridiservizidicertifi-cazione; questi ultimi dovrebbero essere liberi di aderire a tali
sistemidiaccreditamentoeditrarnevantaggio;
(12)i servizi di certificazione possono essere forniti o da un'entità
pubblicaovverodaunapersonagiuridicaofisicaquandoècosti-tuita secondo il diritto nazionale; gli Stati membri nondovrebbero vietare ai prestatori di servizi di certificazione dioperare al di fuori dei sistemi di accreditamento facoltativo; si
dovrebbe garantire che tali sistemi di accreditamento non ridu-
canolaconcorrenzanelsettoredeiservizidicertificazione;
(13)gliStatimembripossonodeciderecomegarantireilcontrollodelrispetto delle disposizioni contenute nella presente direttiva;quest'ultima non esclude l'istituzione di sistemi di controllo
basati sul settore privato; la presente direttiva non obbliga i
prestatori di servizi di certificazione a chiedere il controllo inbaseaunqualsiasisistemad'accreditamentoapplicabile;1999L0093—IT—19.01.2000—000.001—3
(1) GU L 367 del 31.12.1994, pag. 8. Decisione modificata da ultimo dalla
decisione1999/193/PESC(GUL73del19.3.1999,pag.1).
▼B
(14)è importante raggiungere l'equilibrio tra le esigenze dei consu-
matorieleesigenzedelleimprese;
(15)considerandochel'allegato IIIprevede requisiti relativi adispo-
sitiviperlacreazionediunafirmasicuraalfinediassicurarelafunzionalità delle firme elettroniche avanzate; esso non
contemplalaglobalitàdell'ambientedelsistemaincuitalidispo-
sitivioperano;ilfunzionamentodelmercatointernoimponeallaCommissione e agli Stati membri un'azione rapida al fine dipermettere la designazione degli organismi preposti alla valuta-zione della conformità dei dispositivi di firma sicura rispetto
all'allegatoIII;perrisponderealleesigenzedelmercato,lavalu-
tazionedellaconformitàdeveesseretempestivaedefficiente;
(16)la presente direttiva contribuisce all'uso e al riconoscimentogiuridico delle firme elettroniche nell'ambito della Comunità; le
firme elettroniche usate esclusivamente all'interno di sistemi
basatisuaccordivolontarididirittoprivatofraunnumerodeter-minato di partecipanti non esigono una disciplina legislativacomune; nella misura consentita dal diritto nazionale, andrebberispettata la libertà delle parti di accordarsi sulle condizioni di
accettazionedeidatifirmatiinmodoelettronico;allefirmeelet-
troniche utilizzate in tali sistemi non dovrebbero essere negatel'efficacia giuridica el'ammissibilità comemezzo probatorio neiprocedimentigiudiziari;
(17)la presente direttiva non è diretta ad armonizzare le normativenazionali sui contratti, in particolare in materia di conclusioneedesecuzionedeicontratti,odaltreformalitàdinaturaextracon-trattuale concernenti l'apposizione di firme; per tale motivo, ledisposizioni sugli effetti giuridici delle firme elettroniche non
dovrebbero pregiudicare i requisiti formali previsti dal diritto
nazionale sulla conclusione dei contratti o le regole di determi-nazionedelluogodellaconclusionedelcontratto;
(18)la registrazione e la copia di dati per la creazione di una firmapotrebberocostituireunaminaccia perlavalidità giuridicadellefirmeelettroniche;
(19)le firme elettroniche saranno utilizzate nel settore pubblico
nell'ambitodelleamministrazioninazionaliecomunitarieenelle
comunicazioni tra tali amministrazioni nonché con i cittadini egli operatori economici, ad esempio nei settori degli appaltipubblici, della fiscalità, della previdenza sociale, della sanità edell'amministrazionedellagiustizia;
(20)criteri armonizzati relativi agli effetti giuridici delle firme elet-troniche manterranno un quadro giuridico coerente in tutta laComunità; il diritto nazionale stabilisce differenti requisiti perla validità giuridica delle firme autografe; i certificati possono
essere usati per confermare l'identità di una persona che ricorre
allafirmaelettronica;lefirmeelettronicheavanzatebasatesuuncertificato qualificato miranoadunpiùaltolivellodisicurezza;lefirmeelettronicheavanzatebasatesuuncertificatoqualificatoe create mediante un dispositivo per la creazione di una firma
sicura possono essere considerate giuridicamente equivalenti
allefirmeautografesolosesonorispettatiirequisitiperlefirmeautografe;
(21)al fine di contribuire all'accettazione generale dei metodi di
autenticazione elettronici, è necessario garantire che le firme
elettroniche possano essere utilizzate come prove nei procedi-menti giudiziari in tutti gli Stati membri; il riconoscimentogiuridico delle firme elettroniche dovrebbe basarsi su criterioggettivi e non essere connesso ad un'autorizzazione rilasciata
al prestatore di servizi di certificazione interessato; il diritto
nazionale disciplina la definizione dei campi giuridici in cuipossono essere impiegati documenti elettronici e firme elettro-niche;lapresentedirettiva lasciaimpregiudicata lafacoltà degliorgani giurisdizionali nazionali di deliberare in merito allaconformità rispetto ai requisiti della presente direttiva e non1999L0093—IT—19.01.2000—000.001—4
▼B
lede le norme nazionali in materia di libero uso delle prove in
giudizio;
(22)la responsabilità dei prestatori di servizi di certificazione chefornisconotaliservizialpubblicoèdisciplinatadaldirittonazio-nale;
(23)lo sviluppo del commercio elettronico internazionale rendenecessarie soluzioni transfrontaliere che coinvolgano i paesiterzi; al fine di assicurare l'interoperabilità a livello globale,
potrebbero essere utili accordi su regole multilaterali con paesi
terziconcernentiilriconoscimentoreciprocodeiservizidicerti-ficazione;
(24)alfinediaccrescere lafiduciadapartedegliutentinellecomu-nicazionielettronicheenelcommercioelettronico,iprestatoridi
servizi di certificazione devono osservare la legislazione in
materiadiprotezionedeidatielavitaprivatadegliindividui;
(25)le disposizioni sull'uso degli pseudonimi nei certificati nondovrebbeimpedireagliStatimembridichiederel'identificazionedelle persone in base alla normativa comunitaria o alla legisla-zionenazionale;
(26)le misure necessarie per l'attuazione della presente direttivadevono essere adottate ai sensi dell'articolo 2 della decisione1999/468/CE del Consiglio, del 28 giugno 1999, recantemodalitàperl'eserciziodellecompetenzediesecuzioneconferiteallaCommissione(
1);
(27)dueanni dopola suaattuazione la Commissione presenterà unarelazione suquesta direttiva alfinedigarantire tral'altro che ilprogresso tecnologico o il mutamento del quadro giuridico nonabbiano creato ostacoli al raggiungimento degli obiettivi sancitinellastessa;laCommissionedovrebbeesaminareleimplicazionideisettoritecniciconnessiepresentareunarelazionealriguardo
alParlamentoeuropeoealConsiglio;
(28)secondoiprincipidisussidiarietàeproporzionalità dicuiall'ar-
ticolo 5 del trattato, l'obiettivo della creazione di un quadrogiuridicoarmonizzatoperlafornituradifirmeelettronicheedeiservizi relativi non può essere sufficientemente realizzato dagli
Stati membri e può dunque essere realizzato meglio a livello
comunitario;lapresentedirettivanonvaaldilàdiquantoneces-sarioperilraggiungimentodegliobiettivideltrattato,
HANNOADOTTATOLAPRESENTEDIRETTIVA:
Articolo 1
Ambitodiapplicazione
Lapresentedirettivaèvoltaadagevolarel'usodellefirmeelettroniche
e a contribuire al loro riconoscimento giuridico. Essa istituisce un
quadro giuridico per le firme elettroniche e taluni servizi di certifica-zionealfinedigarantireilcorrettofunzionamentodelmercatointerno.
Essa non disciplina aspetti relativi alla conclusione e alla validità dei
contrattioaltriobblighigiuridiciquandoesistonorequisitirelativiallaforma prescritti dal diritto nazionale o comunitario, né pregiudica lenorme e i limiti che disciplinano l'uso dei documenti contenuti neldirittonazionaleocomunitario.1999L0093—IT—19.01.2000—000.001—5
(1) GUL184del17.7.1999,pag.23.
▼B
Articolo 2
Definizioni
Aifinidellapresentedirettiva,valgonoleseguentidefinizioni:
1) «firma elettronica», dati in forma elettronica, allegati oppure
connessi tramite associazione logica ad altri dati elettronici ed
utilizzatacomemetododiautenticazione;
2) «firma elettronica avanzata», una firma elettronica che soddisfi i
seguentirequisiti:
a) essereconnessainmanieraunicaalfirmatario;
b) essereidoneaadidentificareilfirmatario;
c) esserecreataconmezzisuiqualiilfirmatariopuòconservareil
propriocontrolloesclusivo;
d) essere collegata ai dati cui si riferisce in modo da consentire
l'identificazionediognisuccessivamodificadidettidati;
3) «firmatario», una persona che detiene un dispositivo per la crea-
zione di una firma e agisce per conto proprio o per conto della
personafisicaogiuridicaodell'entitàcherappresenta;
4) «datiperlacreazione diunafirma»,datipeculiari, comecodicio
chiavicrittograficheprivate,utilizzatidalfirmatariopercreareunafirmaelettronica;
5) «dispositivo per la creazione di una firma», un software configu-
rato o un hardware usato per applicare i dati per la creazione di
unafirma;
6) «dispositivo per la creazione di una firma sicura», un dispositivo
perlacreazionediunafirmachesoddisfairequisitidicuiall'alle-gatoIII;
7) «datiperlaverificadellafirma»,dati,comecodiciochiavicritto-
grafichepubbliche,utilizzatiperverificareunafirmaelettronica;
8) «dispositivodiverifica dellafirma»,unsoftwareconfiguratooun
hardwareusatoperapplicareidatidiverificadellafirma;
9) «certificato», un attestato elettronico che collega i dati di verifica
dellafirmaadunapersonaeconfermal'identitàditalepersona;
10) «certificato qualificato», uncertificato conformeairequisitidicui
all'allegato I e fornito da un prestatore di servizi di certificazionechesoddisfairequisitidicuiall'allegatoII;
11) «prestatore di servizi di certificazione», un'entità o una persona
fisica o giuridica che rilascia certificati o fornisce altri serviziconnessiallefirmeelettroniche;
12) «prodotto di firma elettronica», hardware o software, oppure i
componenti pertinenti dei medesimi, destinati ad essere utilizzatida un prestatore di servizi di certificazione per la prestazione di
servizidifirmaelettronicaoppureperlacreazioneolaverificadi
firmeelettroniche;
13) «accreditamento facoltativo», qualsiasi permesso che stabilisca
diritti ed obblighi specifici della fornitura di servizi di certifica-zione, il quale sia concesso, su richiesta del prestatore di servizidi certificazione interessato, dall'organismo pubblico o privato
preposto all'elaborazione e alla sorveglianza del rispetto di tali
diritti ed obblighi, fermo restando che il prestatore di servizi dicertificazione non è autorizzato ad esercitare i diritti derivanti dalpermesso fino a che non abbia ricevuto la decisione da partedell'organismo.
Articolo 3
Accessoalmercato
1. GliStatimembrinonsubordinanoadautorizzazionepreventivala
prestazionediservizidicertificazione.1999L0093—IT—19.01.2000—000.001—6
▼B
2. Fatto salvo il paragrafo 1, gli Stati membri possonointrodurre o
conservare sistemi di accreditamento facoltativi volti a fornire servizidi certificazione di livello più elevato. Tutte le condizioni relative a
tali sistemi devono essere obiettive, trasparenti, proporzionate e non
discriminatorie. Gli Stati membri non possono limitare il numero diprestatori di servizi di certificazione accreditati per motivi che rien-tranonell'ambitodiapplicazionedellapresentedirettiva.
3. Ciascuno Stato membro provvede affinché venga istituito un
sistema appropriato che consenta la supervisione dei prestatori di
servizi dicertificazione stabiliti nel loroterritorio erilasci alpubblico
certificatiqualificati.
4. Laconformitàdeidispositiviperlacreazionediunafirmasicura
airequisitidicuiall'allegato IIIèdeterminata daipertinentiorganismipubblicioprivatidesignatidagliStatimembri.Secondolaproceduradicuiall'articolo9laCommissionefissaicriteriinbaseaiqualigliStatimembristabilisconoseunorganismopuòesseredesignato.
La conformità ai requisiti di cui all'allegato III accertata dagli orga-
nismidicuialprimocommaèriconosciutadatuttigliStatimembri.
5. Secondo la procedura di cui all'articolo 9 la Commissione può
determinare e pubblicare nella Gazzetta ufficiale delle Comunità
europeei numeri di riferimento di norme generalmente riconosciute
relativeaprodottidifirmaelettronica.Unprodottodifirmaelettronicaconforme a tali norme viene considerato dagli Stati membri conformeairequisitidicuiall'allegatoII,letteraf)eall'allegatoIII.
6. GliStatimembrielaCommissionecooperanoperpromuoverelo
sviluppo e l'uso dei dispositivi di verifica della firma, alla luce delle
raccomandazioni per la verifica della firma sicura di cui all'allegatoIVenell'interessedeiconsumatori.
7. Gli Stati membri possono assoggettare l'uso delle firme elettro-
niche nel settore pubblico ad eventuali requisiti supplementari. Talirequisiti debbono essere obiettivi, trasparenti, proporzionati e non
discriminatori e riguardare unicamente le caratteristiche specifiche
dell'usodicuitrattasi.Talirequisitinonpossonorappresentareunosta-coloaiservizitransfrontalieripericittadini.
Articolo 4
Principi delmercatointerno
1. Ciascuno Stato membro applica le disposizioni nazionali da esso
adottateinbaseallapresentedirettivaaiprestatoridiservizidicertifi-cazione stabiliti nel suo territorio e ai servizi da essi forniti. Gli Statimembrinonpossonolimitarelaprestazionediservizidicertificazioneoriginati in un altro Stato membro nella materia disciplinata dalla
presentedirettiva.
2. Gli Stati membri consentono ai prodotti di firma elettronica
conformi alla presente direttiva di circolare liberamente nel mercatointerno.
Articolo 5
Effetti giuridici dellefirme elettroniche
1. GliStatimembriprovvedonoachelefirmeelettronicheavanzate
basatesuuncertificatoqualificatoecreatemedianteundispositivoperlacreazionediunafirmasicura:
a) posseggano i requisiti legali di una firma in relazione ai dati in
forma elettronica così come una firma autografa li possiede perdaticartacei;e
b) sianoammessecomeprovaingiudizio.
2. Gli Stati membri provvedono affinché una firma elettronica non
sia considerata legalmente inefficace e inammissibile come prova ingiudiziounicamenteacausadelfattocheè:
— informaelettronica,o1999L0093—IT—19.01.2000—000.001—7
▼B
— nonbasatasuuncertificatoqualificato,o
— nonbasatasuuncertificatoqualificatorilasciatodaunprestatoredi
servizidicertificazioneaccreditato,ovvero
— noncreatadaundispositivoperlacreazionediunafirmasicura.
Articolo 6
Responsabilità
1. GliStatimembriprovvedonoalmenoacheilprestatorediservizi
dicertificazione cherilasciaalpubblicouncertificatocomecertificatoqualificatoochegarantiscealpubblicotalecertificato,siaresponsabileperdanniprovocatiaentitàopersonefisicheogiuridichechefaccianoragionevoleaffidamentosudettocertificato:
►
C1a) perquantoriguardal'esattezzaditutteleinformazioniconte-
nutenelcertificato qualificato almomentodelrilascioe ◄ilfatto
cheessocontengatuttiidatiprescrittiperuncertificatoqualificato,
b) perlagaranziache,almomentodelrilasciodelcertificato,ilfirma-
tario identificato nel certificato qualificato detenesse i dati per lacreazione della firma corrispondenti ai dati per la verifica dellafirmariportatioidentificatinelcertificato,
c) lagaranziacheidatiperlacreazionedellafirmaeidatiperlaveri-
fica della firma possano essere usati in modo complementare, nei
casiincuiilfornitorediservizidicertificazione generientrambi,
amenocheilprestatorediservizidicertificazione providiaveragito
senzanegligenza.
2. GliStatimembriprovvedonoalmenoacheilprestatorediservizi
dicertificazione cherilasciaalpubblicouncertificatocomecertificato
qualificato siaresponsabile,neiconfrontidientitàodipersonefisiche
o giuridiche che facciano ragionevole affidamento sul certificato, deidanni provocati, per la mancata registrazione della revoca del certifi-cato,amenocheprovidiaveragitosenzanegligenza.
3. Gli Stati membri provvedono a che un prestatore di servizi di
certificazione possaindicare,inuncertificatoqualificato,ilimitid'usodi detto certificato, purché tali limiti siano riconoscibili da parte deiterzi.Ilprestatorediservizidicertificazionedeveessereesentatodalla
responsabilitàperidanniderivantidall'usodiuncertificatoqualificato
cheeccedailimitipostinellostesso.
4. Gli Stati membri provvedono affinché un prestatore di servizi di
certificazione abbia la facoltà di indicare nel certificato qualificato unvalore limite per i negozi per i quali può essere usato il certificato,purchétalilimitisianoriconoscibilidapartedeiterzi.
Il prestatore di servizi di certificazione non è responsabile dei danni
risultantidalsuperamentodidettolimitemassimo.
5. I paragrafi da 1 a 4 lasciano impregiudicata la direttiva 93/13/
CEE del Consiglio, del 5aprile 1993,concernente leclausole abusiveneicontrattistipulaticoniconsumatori(
1).
Articolo 7
Aspettiinternazionali
1. Gli Stati membri provvedono a che i certificati rilasciati al
pubblicocomecertificatiqualificatidaunprestatorediservizidicerti-
ficazione stabilito in un paese terzo siano riconosciuti giuridicamenteequivalenti ai certificati rilasciati da un prestatore di servizi di certifi-cazione stabilito nella Comunità, in presenza di una delle seguenticondizioni:
a) ilprestatorediservizidicertificazionepossiedeirequisitidicuialla
presente direttiva e sia stato accreditato in virtù di un sistema diaccreditamentofacoltativostabilitoinunoStatomembro,oppure1999L0093—IT—19.01.2000—000.001—8
(1) GUL95del21.4.1993,pag.29.
▼B
b) ilcertificato ègarantito daunprestatore diservizidicertificazione
stabilitonellaComunità,inpossessodeirequisitidicuiallapresentedirettiva,oppure
c) ilcertificatooilprestatorediservizidicertificazioneèriconosciuto
in forza di un accordo bilaterale o multilaterale tra la Comunità e
paesiterzioorganizzazioniinternazionali.
2. Al fine di agevolare servizi di certificazione transfrontalieri con
paesi terzi e il riconoscimento giuridico delle firme elettroniche avan-
zate che hanno origine in paesi terzi, laCommissione presenta, sedelcaso, proposte miranti all'effettiva attuazione di norme e di accordiinternazionali applicabili ai servizi di certificazione. In particolare,ove necessario, essa presenta al Consiglio proposte relative a mandatiper la negoziazione di accordi bilaterali e multilaterali con paesi terzi
e organizzazioni internazionali. Il Consiglio decide a maggioranza
qualificata.
3. Ogniqualvolta la Commissione è informata di difficoltà che le
impresecomunitarieincontranoriguardoall'accessoalmercatodipaesi
terzi,essapuò,senecessario,presentarealConsiglioproposteinmeritoaunappropriatomandatodinegoziato perottenere dirittiparagonabiliper le imprese comunitarie in tali paesi terzi. Il Consiglio decide amaggioranzaqualificata.
Lemisureadottateanormadiquestoparagrafolascianoimpregiudicati
gli obblighi della Comunità e degli Stati membri derivanti da accordiinternazionaliinmateria.
Articolo 8
Protezione deidati
1. GliStatimembriprovvedonoacheiprestatoridiservizidicerti-
ficazione e gli organismi nazionali responsabili dell'accreditamento odellasupervisionesiconforminoalladirettiva95/46/CEdelParlamentoeuropeo e del Consiglio, del 24ottobre 1995, relativa alla tutela delle
persone fisiche con riguardo al trattamento dei dati personali, nonché
allaliberacircolazioneditalidati(
1).
2. Gli Stati membri consentono a unprestatore di servizi di certifi-
cazione cherilascia certificati alpubblico diraccogliere dati personali
solodirettamentedallapersonacuisiriferisconoopreviosuoesplicitoconsenso, e soltanto nella misura necessaria al rilascio e al manteni-mentodelcertificato.Idatinonpossonoessereraccoltioelaboratiperfinidiversisenzal'espressoconsensodellapersonacuisiriferiscono.
3. Fatti salvi gli effetti giuridici che la legislazione nazionale attri-
buisce agli pseudonimi, gli Stati membri non vietano al prestatore diservizi di certificazione di riportare sul certificato uno pseudonimo inluogodelnomedelfirmatario.
Articolo 9
Comitato
1. La Commissione èassistita daun«comitato per lafirma elettro-
nica»,inprosieguodenominato«ilcomitato».
2. Neicasiincuisifariferimentoalpresenteparagrafo,siapplicano
gliarticoli4e7delladecisione1999/468/CE,tenutocontodell'articolo8dellastessa.
Ilperiododicuiall'articolo4,paragrafo3delladecisione1999/468/CE
èfissatoatremesi.
3. Ilcomitatoadottailproprioregolamentointerno.1999L0093—IT—19.01.2000—000.001—9
(1) GUL281del23.11.1995,pag.31.
▼B
Articolo 10
Compitidelcomitato
Ilcomitatoprecisairequisitidicuiagliallegatidellapresentedirettiva,
icriteridicuiall'articolo3,paragrafo4elenormegeneralmenterico-
nosciuteperiprodottidifirmaelettronicaistituiteepubblicateanormadell'articolo 3, paragrafo 5, secondo la procedura di cui all'articolo 9,paragrafo2.
Articolo 11
Notificazione
1. Gli Stati membri comunicano alla Commissione e agli altri Stati
membrileseguentiinformazioni:
a) sistemi di accreditamento facoltativi nazionali ed ogni requisito
supplementareanormadell'articolo3,paragrafo7;
b) nomi e indirizzi degli organismi nazionali responsabili dell'accredi-
tamento e della supervisione nonché degli organismi di cuiall'articolo3,paragrafo4;
c) i nomi e gli indirizzi di tutti i prestatori di servizi di certificazione
nazionaliaccreditati.
2. Le informazioni di cui al paragrafo 1 e le loro eventuali varia-
zionisononotificateagliStatimembrialpiùpresto.
Articolo 12
Riesame
1. Entro il 19 luglio 2003 la Commissione riesamina l'applicazione
dellapresentedirettivaepresentaunarelazioneinmeritoalParlamentoeuropeoealConsiglio.
2. Nelriesamesivaluta,tral'altro,sel'ambitodiapplicazione della
presentedirettivadebbaesseremodificatopertenercontodeiprogressitecnologici, dell'evoluzione del mercato e degli sviluppi giuridici. La
relazione include in particolare una valutazione, sulla base dell'espe-
rienza acquisita, degli aspetti relativi all'armonizzazione. La relazioneècorredata,sedelcaso,dipropostelegislative.
Articolo 13
Attuazione
1. Gli Stati membri mettono in vigore le disposizioni legislative,
regolamentarieamministrativenecessarieperconformarsiallapresentedirettiva anteriormente al19luglio 2001.Essineinformano immedia-tamentelaCommissione.
QuandogliStati membri adottano tali disposizioni, questecontengono
un riferimento alla presente direttiva o sono corredate di un siffattoriferimentoall'attodellapubblicazioneufficiale.Lemodalitàdelriferi-mentosonodecisedagliStatimembri.
2. Gli Stati membri comunicano alla Commissione il testo delle
principali disposizioni di diritto interno che adottano nella materiadisciplinatadallapresentedirettiva.
Articolo 14
Entratainvigore
Lapresentedirettivaentrainvigoreilgiornodellapubblicazionenella
Gazzetta ufficiale delle Comunità europee .1999L0093—IT—19.01.2000—000.001—10
▼B
Articolo 15
Destinatari
GliStatimembrisonodestinataridellapresentedirettiva.1999L0093—IT—19.01.2000—000.001—11
▼B
ALLEGATO I
Requisitirelativi aicertificati qualificati
Icertificatiqualificatidevonoincludere:
a) l'indicazionecheilcertificatorilasciatoèuncertificatoqualificato;
b) l'identificazioneeloStatonelqualeèstabilitoilprestatorediservizidicerti-
ficazione;
c) il nome del firmatario del certificato o uno pseudonimo identificato come
tale;
d) l'indicazione di un attributo specifico del firmatario, da includere se perti-
nente,asecondadelloscopopercuiilcertificatoèrichiesto;
e) idatiperlaverifica della firmacorrispondentiaidatiperlacreazione della
firmasottoilcontrollodelfirmatario;
f) un'indicazionedell'inizioedelterminedelperiododivaliditàdelcertificato;
g) ilcodiced'identificazionedelcertificato;h) lafirmaelettronicaavanzatadelprestatorediservizidicertificazionecheha
rilasciatoilcertificato;
i) ilimitid'usodelcertificato,oveapplicabili;ej) i limiti del valore dei negozi per i quali il certificato può essere usato, ove
applicabili.1999L0093—IT—19.01.2000—000.001—12
▼B
ALLEGATO II
Requisiti relativi ai prestatori di servizi di certificazione che rilasciano
certificati qualificati
Iprestatoridiservizidicertificazionedevono:
a) dimostrarel'affidabilitànecessariaperfornireservizidicertificazione;
b) assicurare il funzionamento di un servizio di repertorizzazione puntuale e
sicuroegarantireunserviziodirevocasicuroeimmediato;
c) assicurarecheladatael'oradirilascioodirevocadiuncertificatopossano
esseredeterminateconprecisione;
d) verificare con mezzi appropriati, secondo la legislazione nazionale l'identità
e, eventualmente, le specifiche caratteristiche della persona cui è rilasciatouncertificatoqualificato;
e) impiegare personale dotato delle conoscenze specifiche, dell'esperienza e
delle qualifiche necessarie per i servizi forniti, in particolare la competenza
alivellogestionale,laconoscenzaspecificanelsettoredellatecnologiadelle
firmeelettronicheeladimestichezzaconproceduredisicurezzaappropriate;
essidevonoinoltreapplicareprocedureemetodiamministrativiedigestione
adeguatiecorrispondentianormericonosciute;
f) utilizzare sistemi affidabili e prodotti protetti da alterazioni e che garanti-
scano la sicurezza tecnica e crittografica dei procedimenti di cui sono
oggetto;
g) adottare misure contro la contraffazione dei certificati e, nei casi in cui il
prestatore di servizi di certificazione generi dati per la creazione di una
firma,garantirelariservatezzanelcorsodellagenerazioneditalidati;
h) disporre di risorse finanziarie sufficienti ad operare secondo i requisiti
previstidalladirettiva,inparticolarepersostenereilrischiodiresponsabilità
perdanni,adesempiostipulandoun'appositaassicurazione;
i) tenere una registrazione di tutte le informazioni pertinenti relative ad un
certificato qualificato per un adeguato periodo di tempo, in particolare al
fine di fornire la prova della certificazione in eventuali procedimenti giudi-
ziari.Taliregistrazionipossonoessereelettroniche;
j) non conservare né copiare i dati per la creazione della firma della persona
cui il prestatore di servizi di certificazione ha fornito i servizi di gestione
dellachiave;
k) primadiavviareunarelazione contrattuale conunapersonacherichiedaun
certificatoasostegnodellasuafirmaelettronica,informarlaconunmezzodi
comunicazionedurevole,degliesattiterminiecondizionirelativeall'usodel
certificato, compresa ogni limitazione dell'uso, l'esistenza di un sistema di
accreditamento facoltativo e le procedure di reclamo e di risoluzione delle
controversie. Dette informazioni, che possono essere trasmesse elettronica-
mente, devono essere scritte e utilizzare un linguaggio comprensibile. Su
richiesta, elementi pertinenti delle informazioni possono essere resi accessi-
biliaterzichefaccianoaffidamentosulcertificato;
l) utilizzaresistemiaffidabilipermemorizzareicertificatiinmodoverificabile
efarsìche:
— soltanto le persone autorizzate possano effettuare inserimenti e modi-
fiche;
— l'autenticitàdelleinformazionisiaverificabile,— i certificati siano accessibili alla consultazione del pubblico soltanto nei
casiconsentitidaltitolaredelcertificato,
— l'operatorepossarendersicontodiqualsiasimodificatecnicachecompro-
mettairequisitidisicurezza.1999L0093—IT—19.01.2000—000.001—13
▼B
ALLEGATO III
Requisitirelativi aidispositiviperlacreazione diunafirmasicura
1. I dispositivi per la creazione di una firma sicura, mediante mezzi tecnici e
proceduraliappropriati,devonogarantirealmenoche:
a) idatiperlacreazionedellafirmautilizzati nellagenerazionedellastessa
possono comparire in pratica solo una volta e che è ragionevolmente
garantitalalororiservatezza;
b) idatiperlacreazionedellafirmautilizzati nellagenerazionedellastessa
non possono, entro limiti ragionevoli di sicurezza, essere derivati e la
firma è protetta da contraffazioni compiute con l'impiego di tecnologia
attualmentedisponibile;
c) idatiperlacreazionedellafirmautilizzati nellagenerazionedellastessa
sono sufficientemente protetti dal firmatario legittimo contro l'uso da
partediterzi.
►C12. Idispositivisicuriperlacreazionediunafirmanondevono ◄alte-
rare i dati da firmare né impediscono che tali dati siano presentati al
firmatarioprimadell'operazionedifirma.1999L0093—IT—19.01.2000—000.001—14
▼B
ALLEGATO IV
Raccomandazioniperlaverifica dellafirmasicura
Durante il processo relativo alla verifica della firma occorre garantire, entro
limitiragionevolidicertezza,che:
a) idatiutilizzatiperlaverificadellafirmacorrispondonoaidaticomunicatial
verificatore;
b) la firma è verificata in modo affidabile e i risultati della verifica corretta-
mentecomunicati;
c) ilverificatorepuò,all'occorrenza,stabilireinmodoattendibileicontenutidei
datifirmati;
d) l'autenticità elavalidità delcertificato necessarioalmomento della verifica
dellafirmasonoverificateinmodoattendibile;
e) irisultatidellaverificaedell'identitàdelfirmatariosonocomunicaticorretta-
mente;
f) l'usodiunopseudonimoèchiaramenteindicato;
g) qualsiasimodificacheincidasullasicurezzapuòessereindividuata.1999L0093—IT—19.01.2000—000.001—15