Parere del Comitato economico e sociale in merito alla «Proposta di direttiva del Parlamento europeo e del Consiglio relativa a regole comuni sulle firme elettroniche»

(1999/C 40/10)

Il Consiglio, in data 30 luglio 1998, ha deciso, conformemente al disposto dell'articolo 100A del Trattato, di consultare il Comitato economico e sociale in merito alla proposta di cui sopra.

La Sezione «Mercato unico, produzione e consumo», incaricata di preparare i lavori del Comitato in materia, ha formulato il parere sulla base del rapporto introduttivo del relatore Burani, in data 28 ottobre 1998.

Il Comitato economico e sociale ha adottato il 2 dicembre 1998, nel corso della 359a sessione plenaria, all'unanimità, il seguente parere.

1. Introduzione

1.1. L'iniziativa della Commissione di presentare una proposta di direttiva in merito all'inquadramento normativo e giuridico delle firme elettroniche costituisce il seguito concreto della comunicazione intitolata «Garantire la sicurezza e l'affidabilità nelle comunicazioni elettroniche - Verso la definizione di un quadro europeo in materia di firme elettroniche e di cifratura» ().

1.2. Nella sua Comunicazione la Commissione rilevava il costituirsi di una situazione che richiede l'attenzione delle autorità europee: alcuni Stati membri hanno adottato, o stanno adottando, approcci differenti in materia di regolamentazione delle firme elettroniche. La mancanza di un riconoscimento reciproco è suscettibile di provocare una frammentazione del mercato interno del commercio elettronico e dei servizi on-line nell'Unione europea. Diviene quindi urgente definire un quadro comune nel rispetto di due requisiti principali: la creazione di un quadro giuridico preciso e una sufficiente flessibilità per evitare di inquadrare la materia in schemi non rispondenti alle continue evoluzioni della tecnica.

1.3. Il Comitato economico e sociale si è dichiarato d'accordo con le considerazioni della Commissione () avanzando proposte di una linea regolamentare rispettosa dei principi di autoregolamentazione e di sussidiarietà entro limiti ben precisi di una legislazione minimale comune. Commentando una successiva Comunicazione della Commissione su «Globalizzazione e società dell'informazione - La necessità di rafforzare il coordinamento internazionale» (), il Comitato ha rilevato, peraltro, che l'armonizzazione di un quadro giuridico europeo con il resto del mondo - necessaria se si vuol dare sicurezza ad un commercio elettronico che per sua natura non conosce frontiere - procede troppo a rilento come conseguenza di una pluralità di iniziative non coordinate.

1.4. La decisione della Commissione di presentare una proposta di direttiva costituisce un'iniziativa che va nel senso auspicato soprattutto perché è ispirata alla flessibilità necessaria in vista di una coordinazione internazionale.

2. Considerazioni generali

2.1. La firma elettronica permette a chi riceve dati inviati in modo elettronico di verificare l'origine dei dati (autenticità) e di controllare che i dati originali siano completi e inalterati (integrità). La verifica dell'autenticità e dell'integrità dei dati non dimostra necessariamente l'identità del mittente che ha generato la firma elettronica; si rende necessaria la conferma di terzi denominati «prestatori di servizi di certificazione». L'utilizzo del sistema di certificazione delle firme diventa quindi un mezzo indispensabile per dare certezza alle parti contraenti e per infondere fiducia nel commercio elettronico.

2.2. Al fine di assicurare il mutuo riconoscimento dei principi di certezza giuridica alla base della certificazione delle firme elettroniche la Commissione si è ispirata a concetti coerenti con una situazione in continua evoluzione:

- la normativa è neutra dal punto di vista tecnico ed è aperta a meccanismi di autenticazione diversi dalla crittografia a chiave pubblica; si è tenuto conto della possibile apparizione di nuovi sistemi;

- gli Stati membri dovrebbero evitare di adottare regimi di autorizzazione preventiva dei prestatori di servizi di certificazione; potrebbe, d'altra parte, rivelarsi utile l'adozione di regimi volontari di accreditamento;

- la direttiva riguarda soltanto le firme elettroniche su messaggi scambiati su reti aperte; per quanto riguarda le reti chiuse sarà facoltà dei singoli prestatori di servizi di adeguarvisi o meno;

- la necessità di assicurare il riconoscimento giuridico alle firme elettroniche impone che vengano precisati i requisiti essenziali e le responsabilità dei prestatori di servizi.

2.3. Il Comitato è d'accordo con questa impostazione generale che si ispira ai principi di un mercato libero; ritiene peraltro che troppa poca attenzione sia stata dedicata alla protezione degli utenti. Si riserva, quindi, di esprimere osservazioni o suggerimenti nel corso dell'analisi del documento della Commissione.

2.4. Per quanto riguarda l'inserimento della regolamentazione europea in un contesto mondiale, la Commissione rileva che «numerose attività e discussioni sono in corso» (); cita fra le altre le iniziative dell'Uncitral, dell'OCSE e dell'OMC. Come il Comitato ha già rilevato (), queste iniziative - di per sé lodevoli - mostrano che esiste compiti fra le istituzioni e di doppioni - o peggio di contrasti - fra le diverse regolamentazioni. In definitiva tutto questo si traduce in lungaggini burocratiche, ritardi e costi per il contribuente. Nel tentativo di fare tutto e subito, le istituzioni mondiali stanno raggiungendo l'effetto opposto producendo confusione e incertezza. Il Comitato ne prende atto con rammarico.

3. Osservazioni particolari sulla proposta di direttiva

3.1. Articolo 1

Lo scopo della direttiva è quello di istituire un quadro giuridico per i servizi di certificazioni accessibili al pubblico: facilitare l'utilizzo delle firme elettroniche e assicurare il loro riconoscimento giuridico. Non copre peraltro altri aspetti legati alla conclusione e alla validità dei contratti. Tenuto conto del testo di questo articolo e di quanto chiarito al decimo «considerando» la portata della direttiva è limitata ai sistemi aperti; per i sistemi chiusi la Commissione lascia libere le parti di convenire fra loro le condizioni alle quali la firma elettronica viene accettata e riconosciuta.

3.1.1. Il Comitato esprime qualche dubbio in proposito: se da un lato è lodevole questa impostazione che rispetta la libertà contrattuale, dall'altro non si può non rilevare che anche alcuni sistemi chiusi sono aperti ad un pubblico sempre più vasto che non sempre e non necessariamente è al corrente delle norme di ciascun sistema. È vero che un sistema chiuso ha comunque la facoltà di sottomettersi alle norme della direttiva, ma il Comitato si chiede se non sarebbe più saggio - nell'interesse stesso degli utenti e dei gestori di sistemi chiusi - estendere la portata della direttiva ai sistemi chiusi aperti al pubblico.

3.2. Articolo 3, paragrafi 1 e 2

Agli Stati membri viene fatto divieto di sottoporre la prestazione di servizi di certificazione ad un regime di autorizzazione preventiva; essi possono tuttavia instaurare o mantenere dei regimi volontari di accreditamento senza peraltro limitare il numero dei prestatori di servizi.

3.2.1. Il Comitato suggerisce che ben si rifletta sulla portata di queste disposizioni. La funzione di certificazione ha un valore non solo fra le parti, ma anche, se necessario, nei confronti di terzi. Ferma restando la «volontarietà» della richiesta di accreditamento, si dovrebbe prevedere - come meglio sarà precisato in seguito - la possibilità di operare una netta distinzione fra gli atti certificati da prestatori accreditati e non accreditati. L'articolo 5, paragrafo 2, dovrebbe stipulare con precisione che la validità delle firme elettroniche, ammesse come prova in giudizio (procedimenti giudiziari ed extra-giudiziari), è opponibile ai terzi solo se sostenuta da un certificato emesso da un prestatore accreditato.

3.2.2. La situazione oggi esistente non evoca particolari motivi di preoccupazione; tuttavia una legislazione non può ignorare le imprevedibili evoluzioni del futuro: i pochi e ben conosciuti prestatori di oggi potrebbero moltiplicarsi come conseguenza di una possibile «banalizzazione» delle tecniche di autenticazione. Se è accettabile che il numero dei certificatori non venga limitato non è invece augurabile che essi siano esentati da un controllo preliminare e da un accreditamento. Nell'interesse degli utenti e dei terzi sembrerebbe quindi necessario stabilire che le «esigenze riguardanti i prestatori di servizi di certificazione» elencate nell'Allegato II siano controllate da un'autorità pubblica quando tali prestatori agiscano in sistemi aperti o in sistemi chiusi aperti al pubblico.

3.2.3. L'accreditamento dei prestatari sotto la responsabilità delle autorità pubbliche dovrebbe essere condizionato al rispetto dei requisiti elencati nell'allegato II. Tale condizione è necessaria ma non sufficiente; occorre essere certi che tali requisiti vengano mantenuti nel tempo, prescrivendone una verifica periodica. Le autorità pubbliche non possono eludere le loro responsabilità: una volta adottata una regolamentazione, devono garantire che essa verrà rispettata.

3.3. Articolo 3, paragrafo 4

Con questa disposizione si riconosce la possibilità per gli Stati membri di ammettere l'uso della firma elettronica nel settore pubblico eventualmente con l'introduzione di esigenze supplementari.

3.3.1. Il Comitato manifesta il suo accordo, ma si domanda se non sarebbe il caso di andare oltre imponendo l'accettazione della firma elettronica nel settore pubblico degli Stati membri che ne riconoscono la validità nel settore privato. Se le pubbliche autorità - che hanno il compito di garantire la sicurezza degli istituti giuridici e di proteggere i propri cittadini - si assumono la responsabilità di riconoscere la validità giuridica di una firma elettronica negli atti scambiati fra privati, non si vede perché lo stesso atteggiamento non debba essere adottato anche nei confronti degli atti scambiati con la pubblica amministrazione, sia pure con l'introduzione di «esigenze supplementari».

3.4. Articolo 4

In materia di rispetto delle regole del mercato interno, questo articolo stabilisce che gli Stati membri non possono imporre restrizioni alla fornitura di servizi di certificazione provenienti da altri Stati membri.

3.4.1. Il Comitato rileva a tale proposito che la norma suddetta è certamente coerente con i principi del mercato interno ma non protegge il pubblico dalla prestazione di servizi da parte di operatori non accreditati di altri Paesi membri: se è già difficile per un utente distinguere fra operatori accreditati e non accreditati del proprio paese, la cosa diventa problematica quando il fornitore risiede in un paese terzo. Esiste qui un'evidente analogia con l'approccio adottato nella Seconda Direttiva bancaria: la libertà di prestazione di servizi esiste soltanto per le istituzioni sottoposte alla direttiva stessa; per le altre, la prestazione di servizi (finanziari) resta limitata al paese d'origine.

3.4.2. Nel caso in esame, ferma restando la libertà di circolazione dei prodotti di firma elettronica, la loro ammissibilità nelle procedure giudiziarie ed extragiudiziarie dovrebbe essere riconosciuta soltanto se la certificazione è emessa da un organismo accreditato.

3.5. Articolo 5

Gli Stati membri dovranno introdurre nella loro legislazione norme che prevedano l'impossibilità di contestare la forza esecutiva o gli effetti o la validità giuridica di una firma elettronica per il solo motivo che tale firma si presenta sotto forma elettronica o che non è convalidata da un certificato accreditato. D'altra parte essi devono fare in modo che le firme certificate da un prestatore accreditato abbiano lo stesso valore giuridico delle firme manoscritte e vengano ammesse come prova in giudizio.

3.5.1. Il Comitato attira l'attenzione della Commissione su una considerazione che dovrebbe rafforzare la validità delle osservazioni fatte ai precedenti punti 3.4.1 e 3.4.2: la sola differenza fra firme certificate da operatori accreditati e non accreditati consiste nel valore probatorio della certificazione. A questo proposito, l'articolo 5, paragrafo 2, non sembra chiaro e meriterebbe una revisione: secondo il testo, gli Stati membri dovrebbero ammettere come prova in giudizio i certificati emessi da un prestatore «conforme al disposto dell'allegato II». Questo potrebbe far sorgere il dubbio che qualsiasi prestatore, purché presenti i requisiti richiesti dall'allegato II, può rilasciare certificati validi in giudizio; se tale non è l'intenzione, la dicitura deve essere sostituita dalla non equivocabile dizione di «prestatore accreditato».

3.5.2. Inoltre - e in parallelo con quanto osservato al precedente punto 3.4.2 - nulla viene detto circa la validità probatoria di una certificazione rilasciata da un operatore accreditato in un paese terzo: anche in questo caso la direttiva dovrebbe dare disposizioni precise. Il Comitato, da parte sua, propone che una certificazione del genere venga ammessa a condizione che il paese terzo accordi condizioni di reciprocità ai certificati di residenti dell'Unione europea.

3.6. Articolo 6

In materia di responsabilità l'articolo prescrive una serie di obbligazioni del prestatore di servizi di certificazione: esattezza delle informazioni, conformità alle norme della direttiva, accertamento dei requisiti tecnici e tecnologici di idoneità del titolare e del certificatore. Stabilisce, nel contempo, le esenzioni di responsabilità ammesse nel caso di errori contenuti nelle informazioni originali e la possibilità di stabilire limiti alla certificazione, sia in termini di utilizzo che di importo certificato.

3.6.1. Il Comitato ritiene che il disposto di questo articolo sia conforme ai principi generali del diritto e rispettoso della libertà contrattuale. Al tempo stesso esprime una riflessione o meglio un quesito: in caso di interruzione o di cessazione del servizio da parte del prestatore di servizi di certificazione quali sono le responsabilità di quest'ultimo e le garanzie per l'utente? Dovrebbe in qualche modo esistere un sistema che garantisca la continuità della protezione dei diritti degli utenti, ad esempio con l'obbligo di costituire files di backup depositati presso terzi con determinate garanzie.

3.7. Articolo 7.1

L'articolo fornisce prescrizioni riguardanti i fornitori residenti in paesi terzi. I certificati da essi forniti saranno riconosciuti giuridicamente come equivalenti ai certificati europei se il prestatore è stato accreditato in un Paese membro nel quadro del regime volontario di accreditamento esistente in quel paese, oppure se il certificato viene garantito da un prestatore stabilito in un Paese membro, oppure ancora se il certificato o il prestatore è riconosciuto nel quadro di un accordo bilaterale o multilaterale fra la Comunità europea e paesi terzi o organizzazioni internazionali.

3.7.1. Il Comitato manifesta un disaccordo d'insieme su queste norme. In nome della libertà dei traffici vengono ignorati i principi di reciprocità che dovrebbero essere alla base di un'integrazione globale del commercio, non solo elettronico. Gli orientamenti esposti in questo paragrafo - in particolare quelli riguardanti l'accreditamento in un Paese membro di un prestatore estero e quello della garanzia data da un prestatore europeo ad un certificato emesso da un paese terzo - sono accettabili a condizione che il paese terzo conceda un trattamento analogo o equivalente ai prestatori o ai certificati provenienti dall'insieme dei Paesi membri.

3.7.2. Per quanto riguarda il riconoscimento di un certificato o di un prestatore di un paese terzo sulla base di un accordo bilaterale con un Paese membro, il Comitato osserva che l'adozione di un tale principio equivale ad introdurre distorsioni di concorrenza fra Paesi membri, più esplicitamente fra paesi con regolamentazioni più «liberali» e gli altri. La libera circolazione dei servizi non può essere usata come cavallo di Troia per introdurre operatori o prodotti di paesi terzi nell'Unione europea attraverso un accordo bilaterale con un solo Paese membro.

3.7.3. Non vale, a difesa della tesi opposta, invocare certi precedenti come ad esempio quello della Seconda Direttiva bancaria: in questo caso il Paese membro «ospite» esercita una sorveglianza continua e garantisce la solidità e solvibilità dell'azienda del paese terzo, che deve comunque essere fisicamente presente sul suo territorio; condizioni, queste, tutt'altro che soddisfatte nel caso delle garanzie riguardanti le firme elettroniche.

3.8. Articolo 8

Le norme evocate in questo articolo non richiedono particolari commenti ad eccezione di quelle del paragrafo 4 riguardante l'uso di pseudonimi. Il prestatore del servizio deve poter trasmettere i dati riguardanti l'identità del titolare dello pseudonimo ai poteri pubblici che ne facciano domanda, previo consenso del titolare stesso. La proposta di direttiva non dà peraltro una risposta al quesito su quale sarebbe la posizione del prestatore nel caso in cui il titolare negasse il proprio consenso a rivelare la propria identità alle autorità.

3.8.1. La seconda parte dello stesso articolo 8, paragrafo 4, introduce altri dubbi: qualora la legislazione nazionale esiga - nel caso di inchieste riguardanti sospette infrazioni all'utilizzo della firma elettronica sotto pseudonimo - che il prestatore trasmetta i dati identificativi della persona in causa, quest'ultima è informata della trasmissione dopo la conclusione dell'inchiesta.

3.8.2. Il Comitato si chiede se sia il caso di entrare in questo dettaglio: a inchiesta conclusa l'interessato sarà già bene al corrente che i suoi dati sono stati rivelati; la norma sembrerebbe quindi non necessaria. Osserva peraltro che parlando di «legislazione nazionale» si dovrebbe chiaramente specificare di quale legislazione nazionale si parla, se di quella del paese del prestatore di servizi - come è presumibile - o di quella del paese del titolare dello pseudonimo (supponendo che sia conosciuta), o anche dell'autorità di un altro Paese membro. Poiché siamo - chiaramente anche se non esplicitamente - nel campo della lotta alla criminalità, la direttiva dovrebbe essere più precisa in merito alle procedure da seguire ed ai diritti e doveri del prestatore di servizi.

3.8.3. Tutto considerato, il CES si chiede se non sarebbe il caso di rivedere tutto il testo di questo articolo, richiamando semplicemente l'applicazione integrale delle disposizioni contenute nelle direttive per la protezione dei dati personali e contro il riciclaggio di fondi: in definitiva, sotto questo aspetto non esistono differenze fra transazioni per via cartacea o per via elettronica.

3.9. Articoli 9 e 10

Questi articoli prevedono la costituzione di un «comitato per le firme elettroniche» composto da rappresentanti degli Stati membri e presieduto dalla Commissione. Esso viene consultato sulle esigenze applicabili ai prestatori di servizi e sugli standard ammessi per la produzione di firme elettroniche. Tale comitato è informato dalla Commissione sui risultati degli incontri periodici della Commissione con le imprese, gli utilizzatori ed i consumatori.

3.9.1. Il Comitato prende atto di questa iniziativa, ma si chiede se sia proprio necessario costituire un comitato, quando la Commissione stessa, nell'ambito delle sue funzioni istituzionali, potrebbe agevolmente consultare gli Stati membri e le parti interessate senza bisogno di un'interfaccia che, in definitiva, costituisce un doppione delle competenze della Commissione. Si tratta, oltre a tutto, di una procedura che la Commissione segue normalmente: non si vede la necessità di un appesantimento burocratico che, ad avviso del Comitato, nulla aggiungerebbe in termini di efficienza.

3.10. Articoli 12 e 13

Il dispositivo di questi due articoli - il cui ordine sembra invertito in termini di sequenza temporale e logica - prevede che la direttiva debba essere adottata dagli Stati membri entro il 31 dicembre 2000 e che la Commissione renda conto della sua effettiva messa in opera al Parlamento europeo ed al Consiglio per la prima volta entro il 31 dicembre 2002. Il Comitato ha sottolineato, in più di un'occasione (), l'urgenza di adottare una legislazione uniforme nel vasto campo della società dell'informazione; si chiede se veramente occorra concedere tanto tempo agli Stati membri per adottare la direttiva visto che diversi fra di essi sono stati tanto diligenti da introdurre in tempi brevissimi una propria legislazione. L'introduzione di misure di armonizzazione - poche in verità - non dovrebbe richiedere eccessivi sforzi né tempi lunghi ai legislatori nazionali. Il periodo di un anno dalla data di adozione della direttiva sembrerebbe, ad avviso del Comitato, un tempo sufficiente per introdurre eventuali - e modeste - modifiche alle legislazioni esistenti o per redigere nuovi testi.

Bruxelles, 2 dicembre 1998.

La Presidente del Comitato economico e socialeBeatrice RANGONI MACHIAVELLI

() COM(97) 503 def. dell'8.10.1997.

() GU C 157 del 25.5.1998.

() GU C 284 del 14.9.1998.

() Cfr. COM(1998) 297 def. punto 7.

() GU C 284 del 14.9.1998; GU C 95 del 30.3.1998; GU C 19 del 21.1.1998.