Source: http://docplayer.it/1443294-Dispositivo-di-firma-insieme-di-dispositivi-hardware-e-software-che-consentono-di-sottoscrivere-con-firma-digitale-documenti-informatici.html
Timestamp: 2017-12-16 05:48:13+00:00

Document:
Dispositivo di firma Insieme di dispositivi hardware e software che consentono di sottoscrivere con firma digitale documenti informatici. - PDF
Dispositivo di firma Insieme di dispositivi hardware e software che consentono di sottoscrivere con firma digitale documenti informatici.
Download "Dispositivo di firma Insieme di dispositivi hardware e software che consentono di sottoscrivere con firma digitale documenti informatici."
Gianleone Miele
1 ARCHVIAZIONE DIGITALE SOSTITUTIVA E FIRMA DIGITALE Questo documento si rivolge ai cittadini, alle imprese ed alle pubbliche amministrazioni che intendono effettuare l Archiviazione Digitale Sostitutiva (ADS) e dotarsi dei dispositivi di firma necessari per sottoscrivere i documenti informatici, ed ha lo scopo di chiarire le differenze sostanziali fra le varie tipologie di firme elettroniche, cosa è esattamente la firma digitale, le modalità con cui è possibile dotarsi di un dispositivo di firma digitale, come effettuare la verifica di una firma digitale e gli utilizzi pratici di questo strumento. Definizioni Certificato qualificato Insieme di informazioni che creano una stretta ed affidabile correlazione fra una chiave pubblica e i dati che identificano il Titolare. Sono certificati elettronici conformi ai requisiti di cui all'allegato I della direttiva n. 1999/93/CE, rilasciati da certificatori che rispondono ai requisiti di cui all'allegato II della medesima direttiva. Chiave privata La chiave della coppia utilizzata nel processo di sottoscrizione di un documento informatico. L elemento della coppia di chiavi asimmetriche, utilizzato dal soggetto titolare, mediante il quale si appone la firma digitale sul documento informatico. Chiave pubblica La chiave della coppia utilizzata da chiunque esegua la verifica di una firma digitale l elemento della coppia di chiavi asimmetriche destinato ad essere reso pubblico, con il quale si verifica la firma digitale apposta sul documento informatico dal titolare delle chiavi asimmetriche. Dispositivo di firma Insieme di dispositivi hardware e software che consentono di sottoscrivere con firma digitale documenti informatici. Documento informatico E costituito da qualunque oggetto informatico (file) che contenga atti, fatti o dati giuridicamente rilevanti. Firma digitale E un particolare tipo di firma elettronica qualificata basata su un sistema di chiavi asimmetriche a coppia, una pubblica e una privata, che consente al titolare tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l integrità di un documento informatico o di un insieme di documenti informatici. Firma elettronica L insieme dei dati in forma elettronica, allegati oppure connessi tramite associazione logica ad altri dati elettronici, utilizzati come metodo di identificazione informatica. Firma elettronica qualificata La firma elettronica ottenuta attraverso una procedura informatica che garantisce la connessione univoca al firmatario, creata con mezzi sui quali il firmatario può conservare un controllo esclusivo e collegata ai dati ai quali si riferisce in modo da consentire di rilevare se i dati stessi siano stati successivamente modificati, che sia basata su un certificato qualificato e realizzata mediante un dispositivo sicuro per la creazione della firma. Soggetto giuridico Impresa, azienda, società; qualunque soggetto dotato di partita IVA. 1
2 SSCD Acronimo inglese (Secure Signature Creation Device) di dispositivo sicuro per la creazione della firma. E un dispositivo che soddisfa particolari requisiti di sicurezza. I più utilizzati sono costituiti da smart card. Titolare Il soggetto cui sono attribuite le firme digitali generate attraverso una determinata chiave associata ad un determinato certificato. Il quadro normativo Decreto del Presidente della Repubblica 28 dicembre 2000, n. 445 Direttiva europea 1999/93/CE sulle firme elettroniche Decreto legislativo 23 gennaio 2002, n. 10 Decreto del Presidente della Repubblica 7 aprile 2003, n. 137 Decreto del Presidente del Consiglio dei Ministri 13 gennaio 2004 Deliberazione CNIPA n.4 del 17 Febbraio 2005 Regole per il riconoscimento e la verifica del documento informatico Decreto legislativo 7 Marzo 2005 n. 82 Codice dell amministrazione digitale Protocollo di intesa del 16 Febbraio 2006 per la disponibilità del formato di firma digitale definito nelle specifiche PDF proposto dalla società Adobe System Inc. Decreto Legislativo 4 Aprile 2006 n.159 Disposizioni integrative e correttive al decreto legislativo 7 marzo 2005, n.82 recante codice dell amministrazione digitale Deliberazione CNIPA n.34 del 18 Maggio 2006 Regole tecniche per la definizione del profilo di busta crittografica per la firma digitale in linguaggio XML Decreto del Presidente del Consiglio dei Ministri 30 marzo 2009 Introduzione alle sottoscrizioni informatiche A partire del 1997, una serie di provvedimenti legislativi hanno conferito valore giuridico al documento informatico e alla firma digitale. La pubblicazione della Direttiva Europea 1999/93/CE nel gennaio del 2000, ha dato ulteriori impulsi al processo legislativo, imponendo un quadro comune agli Stati dell Unione Europea. Il processo legislativo ha anche fornito delle indicazioni sulle tecnologie da impiegare per ottenere delle firme digitali che possano ritenersi equivalenti a quelle autografe. La struttura normativa dettata dal legislatore comunitario ha introdotto differenti sottoscrizioni o, più correttamente, differenti livelli di sottoscrizione. Nel linguaggio corrente, quindi, hanno iniziato a essere utilizzati i termini firma debole o leggera e firma forte o pesante. Senz altro è opportuno chiarire cosa sono queste firme e quale è la loro efficacia giuridica. Dal punto di vista tecnico e realizzativo è ben definita la firma forte, ovvero quella che il legislatore definisce firma digitale. Essa è basata su un sistema a chiavi crittografiche asimmetriche, utilizza un certificato digitale con particolari caratteristiche, rilasciato da un soggetto con specifiche capacità professionali garantite dallo Stato e viene creata mediante un dispositivo con elevate caratteristiche di sicurezza che in genere è una smart card. L altra tipologia di firma è la parte complementare. Tutto ciò che non risponde anche in minima parte a quanto appena descritto, ma è compatibile con la definizione giuridica di firma elettronica presentata nella tabella delle definizioni, è una firma leggera. Ovviamente l efficacia giuridica delle due firme è diversa. La firma digitale è equivalente a una sottoscrizione autografa. Le altre potrebbero non esserlo: vengono valutate in fase di giudizio in base a caratteristiche oggettive di qualità e sicurezza. 2
3 Come ulteriore garanzia per la pubblica amministrazione, che è obbligata ad accettare i documenti firmati digitalmente, i certificatori che intendono rilasciare certificati digitali validi per le sottoscrizioni di istanze e dichiarazioni inviate per via telematica alla pubblica amministrazione stessa, possono dimostrare di possedere particolari e comunque superiori caratteristiche di qualità e sicurezza e ottenere quindi la qualifica di certificatore accreditato. Tale qualifica è sotto il controllo ed è garantita, in Italia, dallo Stato. Possiamo dire che nell utilizzo del documento informatico, quando si ha la necessità di una sottoscrizione equivalente a quella autografa è indispensabile utilizzare la firma digitale. Negli altri casi possiamo tranquillamente affermare che più che di un processo di firma si tratta di un processo di autenticazione con minori requisiti di sicurezza e quindi con una minore efficacia probatoria. Da quanto esposto si può dedurre che nella pubblica amministrazione l espressione del potere di firma nel documento informatico da parte del funzionario che ne ha titolarità, dovrà essere esercitata con la firma digitale. Utilizzo della firma digitale La firma digitale è uno strumento e come tale deve essere utilizzato nei modi e nei casi appropriati. Ricordiamo che non è corretto il suo utilizzo come sistema di identificazione in rete, per il quale esistono strumenti quali la carta d identità elettronica e le carte di accesso ai servizi. La firma digitale è utile nel momento in cui è necessario sottoscrivere una dichiarazione ottenendo la garanzia di integrità dei dati oggetto della sottoscrizione e di autenticità delle informazioni relative al sottoscrittore. La garanzia che il documento informatico, dopo la sottoscrizione, non possa essere modificato in alcun modo in quanto, durante la procedura di verifica, risulterebbero le eventuali modifiche, la certezza che solo il titolare del certificato possa aver sottoscritto il documento perché non solo possiede il dispositivo di firma (smart card/token USB) necessario, ma è anche l unico a conoscere il PIN (Personal Identification Number) necessario per utilizzare il dispositivo stesso, unite al ruolo del certificatore che garantisce la veridicità e la correttezza delle informazioni riportate nel certificato (dati anagrafici del titolare), forniscono allo strumento firma digitale caratteristiche tali da non consentire al sottoscrittore di disconoscere la propria firma digitale (fatta salva la possibilità di querela di falso). Esempi tipici dell utilizzo della firma digitale possono essere ricercati in tutti gli adempimenti da effettuarsi verso le amministrazioni che richiedono appunto la sottoscrizione di una volontà: denunce, dichiarazioni di cambi di residenza, di domicilio, richieste di contributi, di esenzioni a pagamenti a causa del reddito o di altre condizioni particolari, ricorsi, ecc. Fra privati può trovare un interessante impiego nella sottoscrizione di contratti, verbali di riunioni, ordini di acquisto, risposte a bandi di gara, ecc. Ancora, la firma digitale trova già da tempo applicazione nel protocollo informatico, nella procedura di archiviazione documentale, nel mandato informatico di pagamento, nei servizi camerali, nelle procedure telematiche d acquisto, ecc. Alcuni Comuni che partecipano alla sperimentazione della Carta d Identità Elettronica hanno dotato i propri cittadini di entrambi gli strumenti (CIE o CNS e Firma Digitale) e sviluppato dei servizi in rete tramite i quali i cittadini possono farsi identificare in rete (CIE/CNS), accedere quindi ai propri dati 3
4 personali nel pieno rispetto delle norme sulla privacy, e sottoscrivere (firma digitale) dichiarazioni, denunce, ricorsi. Ecco quindi che si intravede l obiettivo finale: dotarsi di un unico strumento con cui sarà possibile farsi riconoscere e sottoscrivere dichiarazioni, fruendo dei vantaggi derivanti dai servizi in rete. La firma digitale e la direttiva europea sulle firme elettroniche Come già detto, la firma elettronica viene introdotta dalla Direttiva nell ambito delle definizioni. Tale definizione è stata riportata nella tabella all inizio del presente Documento. La lettura della definizione ne evidenzia la genericità, quindi essa si presta a interpretazioni differenti e, conseguentemente, risulta per certi versi ambigua e di difficile attuazione concreta. Essa è e rimane un principio giuridico. Un piccolo passo in avanti lo consente, sempre nella Direttiva, la definizione di firma elettronica avanzata. In base a tale definizione si comincia a comprendere che ci si deve confrontare con una molteplicità di tipologie di firma. Dal punto di vista pratico è sufficiente considerare: a) la firma elettronica (generica) può essere realizzata con qualsiasi strumento (password, PIN, digitalizzazione della firma autografa, tecniche biometriche, ecc.) in grado di conferire un certo livello di autenticazione a dati elettronici; b) la firma elettronica avanzata, più sofisticata, consente di identificare in modo univoco il firmatario garantendo anche l evidenza di modifiche all oggetto firmato, apportate dopo la sottoscrizione. Allo stato dell arte, solo il sistema a chiavi asimmetriche definito per la firma digitale nella legge italiana pre-direttiva, soddisfa i requisiti richiesti per la firma elettronica avanzata. Nessuna delle due firme descritte soddisfano per la Direttiva il requisito di equivalenza con la firma autografa. E necessario quindi fare un ulteriore passo in avanti. Firme leggere e firme forti Anche se è correntemente utilizzato, all interno della Direttiva non compare mai il concetto di firma leggera, né quello di firma forte. Queste definizioni sono state introdotte dagli addetti ai lavori per sopperire alla mancanza di una definizione esplicita di altre tipologie di firma. Queste tipologie sono introdotte nell articolo 5 della Direttiva. In particolare all inizio di questo articolo si introduce la tipologia di firma più importante dal punto di vista legale perché equivalente alla sottoscrizione autografa. Spesso ci si riferisce ad essa con il termine firma forte, mentre fra gli addetti ai lavori, specialmente in campo internazionale, la si indica come firma 5.1. La firma forte è anch essa nei termini presentati, un principio giuridico, ma vediamo come può essere realizzata praticamente. Detta firma è una firma elettronica avanzata, perché così si deduce dalla definizione, che soddisfa specifiche caratteristiche derivanti dal certificatore. Quest ultimo è il soggetto che certifica le chiavi mediante le quali la firma è stata generata. Infine la firma deve essere generata con strumenti che garantiscano un adeguato livello di sicurezza, come ad esempio una smart card. 4
5 Riassumendo, affinché la firma apposta possa essere considerata equivalente ad una autografa: a) deve essere basata su un sistema a chiavi asimmetriche; b) deve essere generata con chiavi certificate con le modalità previste nell allegato I della Direttiva; c) deve essere riconducibile a un sistema di chiavi provenienti da un certificatore operante secondo l allegato II della Direttiva e soggetto a vigilanza da parte del preposto organo istituzionale (il termine vigilanza è proprio del recepimento italiano della Direttiva che utilizza supervisione. L organismo preposto a tale attività è il CNIPA, Centro nazionale per l informatica nella pubblica amministrazione); d) deve essere generata utilizzando un dispositivo sicuro che soddisfi i requisiti dell allegato III della Direttiva. Come si vede, a parte piccole differenze organizzative, la precedente normativa italiana pre- Direttiva soddisfa quanto appena riassunto. I certificatori già iscritti nell elenco pubblico dei certificatori hanno di fatto le caratteristiche per essere considerati accreditati secondo quanto previsto dall articolo 3, comma 2 della Direttiva. Questo fatto, inoltre, è già stato riconosciuto nel decreto di recepimento della Direttiva (art. 11, comma 2 del D.Lgs. 23 gennaio 2002, n. 10). Il secondo comma dell articolo 5 della Direttiva conferisce dignità giuridica alle altre tipologie di firma. Queste non sono definibili tecnologicamente a priori, possono essere generate senza vincoli sugli strumenti e sulle modalità operative. E ovvio che non offrono garanzie di interoperabilità se non in particolari condizioni di utilizzo come, ad esempio, in gruppi chiusi di utenti. Infatti, in questo caso, la comunità di utenti condivide gli strumenti di firma e di verifica della stessa. Un giudice, come stabilito nel citato secondo comma dell articolo 5 della Direttiva, non potrà rifiutare in giudizio queste firme leggere, ma la loro ammissibilità nascerà dalla libera convinzione e non dall obbligo di legge previsto per le firme cosiddette forti. Le firme deboli ( 5.2 in terminologia europea) assumono quindi un rilievo probante e non probatorio, come per le firme forti ( 5.1 in terminologia europea). Infine, ricordiamo che la Direttiva europea prescrive che gli Stati membri notifichino alla Commissione l organismo di vigilanza e accreditamento, l organismo deputato a sovrintendere le certificazioni dei dispositivi di firma e l elenco di tutti i soggetti che rilasciano sul territorio certificati qualificati. Dette informazioni sono pubblicate sul sito della Commissione europea, a cura della Direzione Generale Information Society, ma a mero titolo informativo, difatti la pubblicazione non deriva da un obbligo normativo a carico della Commissione. Il valore legale della firma digitale in Italia All'inizio del 2006 è stato sancito un protocollo di intesa tra CNIPA e Adobe Systems Inc, in base al quale il formato Adobe PDF viene riconosciuto valido ai fini della firma digitale. L'accordo appare significativo per diverse ragioni: estende innanzitutto il riconoscimento a un formato diverso dal P7M, il primo e unico istituito nel 2000 e che ha guidato la diffusione della firma digitale allo stato odierno. Le indicazioni normative lasciavano aperta la possibilità di ulteriori formati per la firma digitale; riconosce al formato PDF quelle caratteristiche definite grazie alla Delibera CNIPA n. 4 del 2005, che ha dettato le regole per il riconoscimento e la verifica dei documenti informatici. In questa accezione, la disponibilità di specifiche pubbliche del formato e di Adobe Reader, diffuso pressoché in ogni organizzazione, rappresenta un validissimo attributo ai fini dell'estensione "immediata" degli strumenti di verifica di firma digitale. 5
6 Il formato PDF, inoltre, può consentire di assicurare con relativa semplicità la validità legale di una firma digitale nel tempo. Tra i percorsi possibili merita un accenno la possibilità di apporre ad esempio una marcatura temporale alla firma digitale secondo i requisiti normativi. La marcatura temporale è una tecnica necessaria ad esempio per la conservazione digitale sostitutiva e ogni qualvolta è necessario certificare o attestare ora e data di emissione di un documento. In particolare, il PDF introduce un formato molto diffuso in un contesto, quello della marcatura temporale, che ad oggi appare ancora caratterizzato da diverse modalità di rappresentazione da parte dei fornitori di tali servizi. Il formato PDF consente di apporre firme digitali multiple come sigilli alle revisioni o alle nuove versioni di un documento. Vi è perciò la possibilità di apportare modifiche al documento successive alla firma senza invalidare quest ultima. Questa funzionalità, non disponibile con il formato P7M, sfrutta la caratteristica del PDF di effettuare il salvataggio incrementale dei dati ed è fondamentale quando la firma è utilizzata in processi in cui più persone collaborano ad un unico documento modificandolo e apponendovi la propria firma digitale in tempi successivi. Un ambito in cui questa caratteristica è indispensabile è quello della modulistica elettronica, dove i processi tipicamente prevedono che più persone interagiscano con lo stesso documento aggiungendo e sottoscrivendo i propri dati in tempi successivi. Ad oggi, la soluzione PDF per la firma digitale non ha eguali in nessun altro formato per quanto riguarda l usabilità e le funzionalità. Il formato PDF si affianca al P7M il quale, essendo l unico formato in uso in Italia fino al febbraio 2006, ha guadagnato una posizione di leadership indiscutibile in quanto a diffusione, anche favorito dal non essere necessariamente associato ai prodotti di uno o più fornitori, venendo implementato attraverso vari tool di sviluppo tra cui anche alcune librerie open source. Il CNIPA stesso però prevede nei prossimi anni la graduale diffusione del formato PDF per la rappresentazione di firme digitali proprio in virtù delle sue caratteristiche esclusive che soddisfano parecchi requisiti non supportati dal formato P7M. Bisogna però segnalare che per potere scambiare documenti pdf firmati con una Pubblica Amministrazione è necessario che essa comunichi ufficialmente tale possibilità, anche sul proprio sito web. La validità della firma digitale nel tempo Esiste un altro aspetto degno di approfondimento che riguarda sempre il valore probatorio della firma digitale. Ma prima è necessario ricordare che il certificato del titolare (l elemento che consente di ricondurre le chiavi crittografiche usate ad una persona fisica) ha un periodo di validità, ma può anche essere revocato o sospeso(1) prima della naturale scadenza. La revoca e la sospensione(2) sopravviene in diversi casi, quali la sottrazione o lo smarrimento del dispositivo di firma, quando le informazioni contenute nel certificato non sono più corrette (Tizio dal certificato risulta amministratore unico di tale società, lasciando la società il certificato dovrà essere revocato) (3). Ciò premesso, è evidente che potrebbero nascere delle problematiche legate alla necessità di poter fruire di un documento informatico sottoscritto con firma digitale in un momento temporale di molto posteriore a quello in cui la firma è stata prodotta, quando il relativo certificato è scaduto, revocato o sospeso. In queste circostanze è quindi necessario riuscire a collocare nel tempo, in modo opponibile ai terzi, l esistenza della firma del documento in questione in modo da poter dimostrare che la stessa è stata prodotta in un momento in cui il relativo certificato era ancora valido. Per far ciò basta utilizzare il servizio di marcatura temporale(4) tramite il quale si può associare - quando si ritiene necessario - ad un documento informatico una sorta di etichetta elettronica già sottoscritto, allo scopo di dimostrare che tale documento recante una data firma esisteva in un ben 6
7 preciso momento. Il riferimento temporale opponibile ai terzi può altresì essere ottenuto attraverso l utilizzo della posta elettronica certificata, della segnatura di protocollo e attraverso la procedura di conservazione documentale. I formati della firma digitale Attualmente il nostro ordinamento prevede l utilizzo di tre formati per produrre file firmati digitalmente: firma digitale in formato pkcs#7 firma digitale in formato PDF firma digitale in formato XML Firma digitale in formato pkcs#7 Questo formato, meglio noto come p7m, è quello previsto dalla normativa vigente sull interoperabilità della firma digitale ed è quello che le Pubbliche Amministrazioni sono obbligate ad accettare. E il formato disponibile fin dagli arbori, il primo formato in uso fin dall anno Firma digitale in formato PDF Sulla base dell articolo 12 comma 9 della deliberazione CNIPA n. 4/2005 il 16 Febbraio 2006 è stato sottoscritto un protocollo d intesa tra Adobe System Inc. e il CNIPA al fine di introdurre nel nostro ordinamento la possibilità di utilizzare il formato di firma definito nelle specifiche PDF, attraverso il RFC Sebbene sia ovvio associare il formato PDF a ben noti e largamente diffusi prodotti di mercato, si tratta di uno standard, la cui gestione in applicazioni sviluppate a tale scopo non obbliga al pagamento di alcuna royalty ad alcun soggetto. Grazie a ciò la firma digitale ha fatto un enorme passo in avanti e oggi possiamo disporre di un formato che, da un lato è di larga diffusione e di immediata fruibilità (il software di lettura è scaricabile gratuitamente da Internet e di facile utilizzo) e, dall altro, risponde ai requisiti tecnico e giuridici per poter trasportare firme digitali al suo interno. Coloro che intendono sottoscrivere documenti con il formato PDF possono utilizzare il kit di firma digitale fornitogli dal proprio Certificatore di riferimento ed un qualsiasi prodotto di elaborazione PDF, purché esso generi file sottoscritti conformemente alle specifiche del formato stesso. Se il documento è stato predisposto adeguatamente, la sottoscrizione può avvenire anche con il prodotto freeware Acrobat reader. Inoltre, il formato PDF ha ottenuto dei riconoscimenti divenendo standard ISO (ISO 32000) ed ETSI TS Firma digitale in formato XML La deliberazione CNIPA n.34/2006 recante Regole tecniche per la definizione del profilo di busta crittografica per la firma digitale in linguaggio XML ha introdotto nel nostro ordinamento un ulteriore formato di firma basato sul linguaggio Xml. Grazie a questo nuovo formato è possibile introdurre in maniera meno invasiva la firma digitale in settori come quello bancario e sanitario in cui il linguaggio in questione ha assunto notevole rilevanza nella gestione elettronica dei rispettivi flussi documentali. FIRME DIGITALI CONTRO FIRME DIGITALIZZATE La famiglia di prodotti Acrobat include il supporto incorporato per firme digitali basate su PKI. Firme di tipo biometrico, digitalizzate e firme dinamiche sono supportate nei PDF mediante plug-in di terze parti. AFFIDABILITÀ Il concetto di affidabilità nell infrastruttura PKI è analogo a quello tra commerciante e cliente in una transazione con carta di credito. Una banca emette carte di credito ai suoi clienti, che le possono 7
8 utilizzare per effettuare acquisti presso qualsiasi punto vendita. Il punto vendita non ritiene affidabile in modo diretto il cliente, ma la banca che ha emesso la sua carta di credito. Nel caso di PKI, la banca è l entità che emette il certificato: la fonte affidabile. L autore della firma digitale è il cliente e il punto vendita è la parte accettante. La procedura di firma digitale Generare una firma digitale richiede la disponibilità del kit di firma digitale che, ricordiamo, è composto dal dispositivo sicuro di generazione delle firme (smartcard o token USB), eventuale lettore di smartcard, software di firma in grado di utilizzare lo specifico dispositivo di cui si è dotati. Difatti, mentre è vero che è possibile verificare firme digitali generate utilizzando dispositivi eterogenei, non è possibile (salvo essere dotati di software disegnati a tale scopo) utilizzare dispositivi di firma eterogenei nel processo di firma (dispositivo fornito dal certificatore A con il software di firma fornito dal certificatore B). La procedura di firma è piuttosto banale: dopo aver reso disponibile il dispositivo, inserendo quindi la smartcard nell apposito lettore o inserendo il Token USB nella porta specifica, l applicazione di firma provvederà a richiedere l inserimento del PIN di protezione, visualizzerà e richiederà di scegliere quale certificato si intende usare e procederà infine alla generazione della firma. Ricordiamo infatti che un dispositivo sicuro di firma può contenere diversi certificati, e quindi diverse chiavi private, rilasciati per scopi diversi. Tipico esempio potrebbe essere quello di un soggetto dotato di tre certificati di sottoscrizione: in qualità di cittadino, quale rappresentante legale di una società, quale componente di una commissione. Detto soggetto selezionerà, in fase di sottoscrizione, l uno o l altro certificato dipendentemente dalla natura dell oggetto che si accinge a sottoscrivere. Firma digitale di un singolo documento in formato pkcs#7 La firma digitale di un singolo documento è operativamente dipendente dal software di firma di cui si dispone. Tale software può essere fornito da un certificatore, ma sono disponibili anche numerosi prodotti sviluppati da altre aziende. Indipendentemente dal prodotto però i passi per la sottoscrizione digitale di un singolo documento sono sempre gli stessi. Vediamo quali. Ovviamente è necessario disporre di un personal computer al quale preventivamente abbiamo collegato il lettore/scrittore di smart card in base alle indicazioni del fornitore. Dopo aver attivato il software di firma ci verrà richiesto di selezionare il documento da sottoscrivere e di inserire la smart card nel lettore se non lo si è ancora fatto. All attivazione del processo di firma sarà chiesto l inserimento del codice PIN della smart card (o token usb) e dopo qualche secondo potremo salvare un file sottoscritto e pronto per essere utilizzato. In base alla legislazione vigente sull interoperabilità della firma digitale il file sottoscritto conserva il suo nome originale, al quale viene aggiunta l estensione p7m. Ne risulta che il file pippo.pdf, dopo la sottoscrizione, diverrà pippo.pdf.p7m e come tale sarà fruito da altre applicazioni. (Attenzione a non confondere la firma di un file pdf in formato pkcs#7con la firma pdf. Quest ultima non modificherà l estensione del nome del file che rimarrà sempre pdf ). Firma digitale con procedure automatiche In numerose situazioni il procedimento di sottoscrizione può coinvolgere un elevato numero di documenti. Non è quindi efficiente in tali procedimenti l utilizzo della sottoscrizione documento per documento, quanto meno perché ogni sottoscrizione richiede la digitazione del PIN di sblocco della smart card di firma. E perfettamente legale l utilizzo di procedure automatiche di sottoscrizione, purché ci si attenga a particolari cautele indicate anche dalla legislazione vigente che i Certificatori ben conoscono. 8
9 In particolare, è necessario che quando il titolare appone la sua firma mediante una procedura automatica utilizzi una coppia di chiavi diversa da tutte le altre in suo possesso. Questo per identificare immediatamente, in fase di verifica, il fatto che è stata utilizzata una procedura automatica. Per motivi analoghi, ogni dispositivo di firma utilizzato per procedure automatiche deve disporre di coppie di chiavi differenti, una per dispositivo, anche se il titolare è sempre lo stesso. L utilizzo di dispositivi di firma particolari denominati HSM (Hardware Security Module) garantisce migliori prestazioni rispetto alle smart card (o token usb). E anche possibile utilizzare particolari applicazioni che consentono di digitare il PIN una sola volta a fronte della sottoscrizione di più documenti, garantendo comunque una chiara informativa circa la natura ed il numero dei documenti che verranno automaticamente sottoscritti. La procedura di verifica La procedura di verifica della firma digitale apposta ad un documento informatico consiste sostanzialmente nel verificare che: 1. il documento non sia stato modificato dopo la firma; 2. il certificato del sottoscrittore sia garantito da una Autorità di Certificazione (CA) inclusa nell Elenco Pubblico dei Certificatori; 3. il certificato del sottoscrittore non sia scaduto; 4. il certificato del sottoscrittore non sia stato sospeso o revocato. Per eseguire queste verifiche, oltre che per rendere leggibile il contenuto del documento, sono utilizzati specifici software. Detti software sono forniti dai certificatori ai titolari dei certificati; coloro che non sono dotati di un kit di firma digitale possono altresì utilizzare dei software disponibili per uso personale a titolo gratuito: attualmente ne sono stati segnalati otto. Detti software freeware sono stati resi disponibili dal CNIPA (FCMTsul sito del CNIPA ) stesso e da altre società indicate. Per eseguire la verifica non è necessario disporre di smartcard e lettore, in sintesi non si deve essere necessariamente dotati del kit di firma digitale. Per eseguire le verifiche di cui ai punti 1, 2 e 3 è sufficiente essere dotati di un personal computer, di un prodotto utile per la verifica, piuttosto che del collegamento ad Internet per la verifica con prodotti web based. Per la verifica al punto 4 è necessario avere accesso ad Internet. Difatti, i software di verifica si collegano alla lista di revoca dove il certificatore che ha emesso il certificato qualificato renderà disponibili le eventuali informazioni relative alla sospensione o revoca del certificato. Per la verifica al punto 2 è necessario che sui software installati sul client siano stati caricati i certificati di certificazione dei soggetti iscritti nell elenco pubblico. A tale scopo, nel caso in cui i software forniti non abbiano già i certificati delle CA caricati, è necessario scaricare dal sito preposto l elenco pubblico che contiene detti certificati e procedere alla loro installazione. La procedura descritta è realizzata con il coinvolgimento dell utente o in maniera completamente automatica dai software forniti dai certificatori, con la sola necessità di disporre di una connessione a Internet per la verifica della revoca, che deve necessariamente basarsi su informazioni molto aggiornate, e quindi disponibili esclusivamente in rete. E se la connessione ad Internet non è disponibile? Non implica che non possiamo effettuare la verifica, potremo sempre verificare l integrità del documento, il tipo di firma, l identità del sottoscrittore. Dobbiamo solo tener presente che non abbiamo potuto verificare una eventuale revoca a sospensione ed agire di conseguenza. E possibile vi siano altre verifiche non effettuabili in modalità automatica. In particolare, un certificato può avere dei limiti di validità dipendenti dalla natura del documento sottoscritto; a titolo di esempio, è possibile che un certificato qualificato garantisca la validità della firma a meno che essa non venga utilizzata per sottoscrivere contratti che coinvolgono transazioni monetarie che eccedono un limite stabilito dal certificatore. La firma di un contratto al di fuori di tali condizioni è considerata 9
10 non valida, cioè corrisponde a mancata sottoscrizione. Limiti di questo tipo non sono verificabili in maniera automatica, e richiedono all utente di porre attenzione ad eventuali note che, comunque, sono sempre incluse nel certificato relativo alla firma che si sta verificando. Procedure automatiche di verifica Nel caso in cui un soggetto realizzi un servizio in rete che prevede l invio da parte degli utilizzatori di oggetti sottoscritti con firma digitale ovviamente non sarebbe consono utilizzare il processo di verifica manuale descritto precedentemente. Sarebbe quindi necessario realizzare una integrazione dell applicativo destinato alla gestione di suddetto flusso informatico con funzioni di verifica delle rispettive firme digitali. Sono disponibili sul mercato diverse soluzioni che vanno da prodotti specifici le cui funzioni possono essere richiamate da altri applicativi, a librerie e macro specifiche da integrare direttamente nell applicativo proprietario. Tanto i certificatori che system integrator possono essere d aiuto per tali esigenze. La procedura di firma in formato PDF Per poter sottoscrivere digitalmente documenti in formato pdf anche in questo caso è necessario disporre del kit di firma digitale acquistabile presso uno dei certificatori accreditati iscritti nell elenco pubblico, sebbene non si utilizzerà il software di firma. Ciò perché per rispettare la normativa vigente dovremo comunque utilizzare il dispositivo sicuro (smart card o token USB) ma, al posto del software fornito dal certificatore utilizzeremo un prodotto software in grado di processare e produrre file PDF contenenti firme digitali conformi alle specifiche ISO In considerazione della sua diffusione, nei seguenti paragrafi verrà spiegato come utilizzare i prodotti della famiglia Acrobat (versioni Professional e Reader) illustrando le procedure da seguire per l apposizione e la verifica di firme digitali. Ciò non toglie che il cittadino è libero di scegliere di utilizzare prodotti diversi purché essi generino file conformi alla normativa di riferimento. Come funziona la firma digitale La Firma Digitale è il risultato di una procedura informatica (validazione) che garantisce l autenticità e l integrità di messaggi e documenti scambiati e archiviati con mezzi informatici, al pari di quanto svolto dalla firma autografa per i documenti tradizionali. La differenza tra firma autografa e firma digitale è che la prima è legata alla caratteristica fisica della persona che appone la firma, vale a dire la grafia, mentre la seconda al possesso di uno strumento informatico e di un PIN di abilitazione da parte del firmatario. La firma digitale consente al sottoscrittore di rendere manifesta l autenticità del documento informatico e al destinatario di verificarne la provenienza e l integrità. I suoi requisiti assolti sono: autenticità: con un documento firmato digitalmente si può essere certi dell identità del sottoscrittore; integrità: sicurezza che il documento informatico non è stato modificato dopo la sua sottoscrizione; non ripudio: il documento informatico sottoscritto con firma digitale ha piena validità legale e non può essere ripudiato dal sottoscrittore. Come funziona Per generare una firma digitale è necessario utilizzare una coppia di chiavi digitali asimmetriche, attribuite in maniera univoca ad un soggetto, detto titolare della coppia di chiavi: la chiave privata, destinata ad essere conosciuta solo dal titolare, è utilizzata per la generazione della firma digitale da apporre al documento; la chiave da rendere pubblica viene utilizzata per verificare l autenticità della firma. 10
11 Caratteristica di tale metodo, detto crittografia a doppia chiave, è che, una volta firmato il documento con la chiave privata, la firma può essere verificata con successo esclusivamente con la corrispondente chiave pubblica. La sicurezza è garantita dall'impossibilità di ricostruire la chiave privata (segreta) a partire da quella pubblica, anche se le due chiavi sono univocamente collegate. Cosa serve per la firma digitale sui documenti Per firmare digitalmente un documento, oltre ad una Smart Card/CNS valida, è necessario procurarsi una semplicissima dotazione hardware e software. DOTAZIONE HARDWARE: è indispensabile un lettore di Smart Card/CNS. Si tratta di una semplice periferica esterna (come un mouse) che si connette alla porta seriale oppure USB del Personal Computer. DOTAZIONE SOFTWARE: 1. driver per l 'installazione del lettore di Smart Card/CNS; 2. software per l' eventuale conversione in formato PDF dei documenti (se si vuole spedire il documento alla Camera di Commercio di riferimento); 3. software di firma (nel caso di InfoCamere il prodotto si chiama DIKE). Tale software firma un documento di qualsiasi formato, ma per la spedizione del documento in Camera di Commercio i formati previsti sono PDF e TIFF (anche se il formato consigliato è comunque il PDF). Come si fa Se il documento è cartaceo, è necessario digitalizzarlo con lo scanner e trasformarlo in un file digitale con formato TIFF. Se, invece, il documento originale è già digitalizzato bisogna convertirlo in formato PDF, formato previsto dal CNIPA per l'archiviazione ottica dei documenti. In entrambi i casi la procedura di firma è la seguente: attivazione del software di firma; apertura del file in un formato qualsiasi (formato PDF o TIFF per l' invio delle pratiche al Registro delle Imprese); apposizione della firma (o delle firme) inserendo nel relativo lettore la Smart Card/CNS e digitando il proprio Personal Identification Number (PIN). Durante quest' ultima operazione si consiglia di tenere attiva una connessione Internet in modo da effettuare una verifica completa con l'ente di Certificazione corrispondente. In particolare, è in questa fase che vengono controllate le Liste di revoca rese pubbliche dall'ente Certificatore e nelle quali sono presenti certificati che per vari motivi sono stati revocati e quindi NON più validi. Ma anche se la connessione Internet non fosse attiva, la FIRMA risulterà comunque VALIDA: sarà compito di chi riceve il documento fare le verifiche necessarie. Il risultato dell' operazione di firma è un nuovo file in formato P7M, che si aggiunge all' estensione originale. La differenza fondamentale tra i due files è legata alla presenza di un insieme di caratteri che rappresentano la firma digitale, frutto di un algoritmo che unisce parte del contenuto del documento (detta IMPRONTA) ed i dati del certificato del titolare, presenti nel processore della Smart Card/CNS. Il documento firmato può essere visualizzato correttamente SOLO dal software di firma, in questo caso DIKE: se si provasse ad aprirlo con un altro strumento, il file risulterebbe illeggibile. Nel caso in cui a questo file si volesse apporre la MARCA TEMPORALE, il file risultante cambierebbe estensione da P7M in M7M. Conservazione sostitutiva dei documenti La delibera CNIPA n.11 del 2004 impone di apporre sull insieme dei documenti la Firma Digitale e la Marca Temporale, da parte del Responsabile della conservazione che deve essere nominato 11
12 dall azienda. Inoltre l azienda deve avere anche un manuale che descrive le procedure adottate per la conservazione sostitutiva dei documenti. Per conservare sostitutivamente i documenti cartacei (analogici) i passi da seguire sono: scansionare i documenti (cioè memorizzarli) indicizzare i documenti (cioè archiviarli) in un software documentale. L indicizzazione può essere eseguita: completamente con data-entry (sconsigliato poiché oneroso), attraverso la cattura automatica del dato sulla carta, indicizzando solo il numero di protocollo (un numero univoco) ed elaborandolo con un database (ad esempio, quello del sistema gestionale) in modo da collegare gli altri dati. successivamente attuare il processo di conservazione sostitutiva. A questo punto si possono dematerializzare (distruggere i documenti) avendo l'accortezza che i documenti non possono né essere bruciati, né cestinati normalmente poiché sono rifiuti speciali (carta) e contengono dati sensibili a livello Privacy (DL 196/2003). Per dematerializzare i documenti di una certa quantità ci si deve rivolgere a strutture abilitate che garantiscono e sottoscrivono il corretto processo di smaltimento. Un accorgimento va a quei documenti definiti dalla legge "analogici unici" (cioè quelli il cui contenuto non può essere ricavato da altre scritture che si debbono conservare), dove serve la firma di un Pubblico Ufficiale (Notaio). Tali documenti sono però pochissimi e di scarso interesse a livello di volume occupato (ad esempio, assegni girati, schede carburante, libro infortuni, libro assemblee societarie,...). Si ricorda che TUTTI i documenti fiscali/tributari sono NON UNICI, e quindi NON serve la firma aggiuntiva del Pubblico Ufficiale che nel caso delle aziende è il Notaio. La conservazione sostitutiva legale è quel processo informatico che rende legali i documenti archiviati digitalmente. La conservazione sostitutiva legale permette di conservare i documenti con modalità digitali per renderli disponibili nel tempo nella loro completa integrità e autenticità. Il processo di conservazione sostitutiva è un processo informatico che si attua in sostituzione di quello tradizionale cartaceo che mantiene la validità legale sia a livello fiscale, sia a livello civile. In sostanza, si può dire che un documento e' originale non unico quando, indifferentemente: - deve essere emesso per legge in duplice esemplare e la relativa annotazione e conservazione sono obbligatorie per almeno un soggetto (quindi la Privacy se stampata in duplice copia; la Prescrizione medica in quanto il medico ha una copia;..); - deve essere annotato e conservato per legge da almeno un soggetto in libri o registri obbligatori; - il suo contenuto e' riprodotto in altri documenti, ovvero il suo contenuto riproduce quello di altri documenti che devono essere conservati obbligatoriamente, anche presso terzi". Le fasi per procedere alla conservazione legale dei documenti sono le seguenti: Notificare alla Agenzia delle Entrate una comunicazione contenente l'indicazione del numero presuntivo degli atti, dei documenti e dei registri che potranno essere emessi o utilizzati durante l'anno, nonché l'importo e gli estremi dell'avvenuto pagamento dell'imposta, Entro il mese di gennaio dell'anno successivo [ ] ovvero la richiesta di rimborso o di compensazione. Eleggere il responsabile della conservazione sostitutiva (RdC) interno od esterno. A garanzia del corretto svolgimento del processo di conservazione e della durata nel tempo dei documenti, è richiesto che tali operazioni siano eseguite dal responsabile della conservazione, in grado di apporre la firma elettronica. Il responsabile della conservazione (RdC) può essere: il contribuente stesso, 12
13 un altro soggetto da lui designato. Per i soggetti diversi dalle persone fisiche (società, associazioni, ecc.) il RdC potrà essere sia un soggetto legato da un rapporto qualificato (socio o amministratore) sia un soggetto estraneo (commercialista o azienda esterna usualmente di outsourcing). È facoltà del RdC, a sua volta, delegare anche solo in parte le relative funzioni a soggetti che, per competenza ed esperienza, garantiscano la corretta esecuzione delle operazioni. Stendere il manuale del responsabile della conservazione sostitutiva (manuale RdC), obbligatorio per le Pubbliche amministrazioni e consigliato per le aziende private. Il processo di conservazione legale dei documenti informatici ed analogici termina con: l apposizione della sottoscrizione elettronica (firma digitale), l apposizione della marca temporale che rappresenta l evidenza informatica che consente di rendere opponibile a terzi un riferimento temporale, sull insieme dei documenti o su un evidenza informatica contenente le impronte dei documenti o un insieme degli stessi. La marca temporale è fornita da un ente esterno certificato detto Certification Authority (CA). In tal modo è garantita l integrità dei documenti conservati. L articolo 5 del D.M dispone infine che il soggetto interessato o il responsabile della conservazione debba trasmettere telematicamente all Agenzia delle Entrate, ovviamente per i soli documenti rilevanti ai fini tributari, una comunicazione contenente: l impronta dell archivio informatico oggetto della conservazione, la relativa firma digitale, la marca temporale. Tutto questo entro il mese successivo alla scadenza dei termini previsti per la presentazione delle dichiarazioni dei redditi/irap/iva. La circolare n. 36/E specifica in merito che il termine in questione si intende innanzitutto riferito alle dichiarazioni che devono essere presentate tramite il modello Unico. Va tuttavia evidenziato che in caso di accessi, ispezioni e verifiche, la modalità di conservazione elettronica è considerata valida anche in mancanza della predetta comunicazione, qualora non sia scaduto il termine per la relativa trasmissione. Analogamente, il contribuente potrà validamente esibire all amministrazione finanziaria i documenti informatici non ancora conservati, sempre che non sia scaduto il termine per l effettuazione della conservazione. Si precisa infine che ad oggi l Agenzia delle Entrate non ha ancora specificato le modalità di invio di tale comunicazione. Questo non influisce sulla fattibilità del processo di conservazione legale, che rimane valido a tutti gli effetti. Procedura di archiviazione ottica L'archiviazione ottica di un documento avviene mediante l'uso di uno scanner, uno strumento informatico che permette di trasformare dati su carta in dati digitali e quindi visualizzabili sullo schermo del computer e facilmente archiviabili in supporti ottici (cd, dvd, ecc.). Generalmente vi sono due modalità di scansione dei documenti tramite ocr (optical character recognition - riconoscimento ottico dei caratteri) e per immagine. Nel primo caso il software individua e riconosce i caratteri presenti nel documento e li dispone in un file di testo utilizzabile da un qualsiasi editor visuale (come Micrososft Word, ad esempio). La tecnologia attuale permette ottimi risultati: questi, tuttavia, dipendono in larga misura dal grado di conservazione del documento cartaceo originale, dalla qualità di stampa dello stesso, ecc.. Pertanto spesso sono necessarie piccole correzioni. La scansione per immagine prevede invece la trasformazione del documento cartaceo in un file di immagine, pertanto viene sempre preservato il testo di quest'ultimo. Modalità di inserimento dei dati Possono essere individuate tre distinte modalità di inserimento dati nel corso di una sessione di archiviazione elettronica: 13
14 Modalità tradizionale: i dati vengono inseriti in sequenza, secondo l'ordinamento desunto dai documenti cartacei. i dati possono poi presentarsi in posizione fissa o variabile a discrezione dell'operatore. Questa modalità è totalmente automatizzata. Modalità da immagine e modifica manuale: questa modalità prevede la trasformazione in formato digitale tramite OCR richiedendo, però, attività di correzione manuale. Modalità on line: viene affidato in outsourcing l'archiviazione ottica. In questo caso una società che offre tale servizio, offre del personale, opportunamente addestrato, che riceve dalla società appaltante il servizio una prima scansione della documentazione e procede, poi, alla correzione dei documenti digitali. Questo servizio si rivela molto valido per aziende di grosse dimensioni, consentendo di ottimizzare le risorse risparmiando tempo e spazi. Supporti e formati per l'archiviazione ottica Nella Deliberazione n. 24/98 del 30 Luglio Art. 2, comma 15, della Legge 24 dicembre 1993, n Regole tecniche per l'uso di supporti ottici si definiscono i tipi di supporti di memorizzazione che possono essere utilizzati per la realizzazione dell'archiviazione ottica. Sembra importante sottolineare una condizione necessaria e sufficiente affinché il procedimento sia a norma: non deve essere possibile modificare in nessuno modo la parte registrata di ciascun supporto ovvero la scrittura nel supporto deve modificare quest'ultimo in modo permanete e irreversibile. Vengono pertanto ad escludersi tutti quei supporti i quali prevedono la possibilità di cancellazione dei dati scritti anche mediante strumenti o dispositivi diversi da quelli installati nel sistema di archiviazione. Supporti per l'archiviazione ottica Proseguendo nell'analisi del testo si evince che sia possibile utilizzare qualsiasi supporto che soddisfi i requisiti di cui sopra. Quindi per supporto di memorizzazione si intende quel mezzo fisico attraverso il quale si determina l'archiviazione ottica. Per semplificare ulteriormente si può affermare che il supporto digitale è rappresentato dal cd o dvd conformi alle norme ISO Il CNIPA prevede anche che possano essere adottati altri standard, purché retroattivamente compatibili con quelli testé enunciati. Riveste un'importanza fondamentale l'identificazione dei supporti. La circolare afferma infatti che i supporti utilizzati per l'archiviazione debbono essere univocamente individuati. A tale scopo non sembrano sufficienti i codici di fabbricazione di cui ogni supporto dispone in quanto si potrebbe non avere la pratica certezza della loro unicità. Formati per l'archiviazione ottica Sembra utile definire cosa si intende per rappresentazione digitale del documento oggetto dell'archiviazione: una sequenza di elementi binari, tramite i quali sia possibile determinare il contenuto del documento archiviato. Valore legale dell'archivio digitale Alla luce della normativa vigente in Italia, l'archivio digitale è oggi legalmente riconosciuto ed è pertanto possibile la conservazione esclusivamente in formato elettronico della documentazione prodotta da una Struttura Sanitaria. In questa breve trattazione verranno rammentate le norme più significative. La prima legge che prevede l'archiviazione ottica sostitutiva è la 537/93. Questa legge, resa applicabile dalla pubblicazione da parte dell'aipa delle Regole Tecniche per l'uso dei dischi ottici (Deliberazione 15/94), in realtà era di difficile applicazione a causa della complessità delle Regole Tecniche emanate. La legge 489/94 modifica l'art del Codice Civile, consentendo l'uso di supporti di immagini per la conservazione dei documenti. La legge 59/97 definisce la validità legale del "documento informatico". Con il DPR 513/97 viene pubblicato il "Regolamento recante criteri e modalità per la formazione, l'archiviazione e la trasmissione di documenti con strumenti informatici e telematici". 14
15 Questo decreto introduce ufficialmente la firma digitale. La Deliberazione AIPA 24/98 introduce altre Regole Tecniche, più comprensibili, definendo validi per l'archiviazione "...i supporti per i quali l'operazione di scrittura comporta una modifica permanente ed irreversibile delle caratteristiche del supporto stesso". Il DPR Testo Unico 445/00 abroga parzialmente la legge 537/93 e totalmente il DPR 513/97, ma ribadisce l'efficacia probatoria dell'archiviazione su supporti ottici. Il 13/12/2001 l'aipa emana la Deliberazione n 42, contenente le nuove Regole Tecniche per la realizzazione dell'archivio ottico sostitutivo, chiare e di semplice attuazione. Viene definitivamente chiarito che possono essere archiviati su dischi ottici sia i documenti analogici (referti cartacei, pellicole mediche, nastri audio e video) che i documenti creati direttamente in formato digitale. Viene distinta la memorizzazione temporanea dei dati, definita semplicemente "archiviazione", dalla memorizzazione permanente, definita ora "conservazione". Vengono descritti i supporti di memorizzazione utilizzabili: "qualsiasi mezzo fisico che consente la memorizzazione di documenti digitali mediante l'impiego della tecnologia laser (quali ad esempio dischi ottici, magneto-ottici, DVD)". A tal proposito, un elemento originale viene introdotto all'articolo 8, laddove, "tenuto conto dell'evoluzione tecnologica... è data facoltà... di utilizzare,... nel processo di conservazione digitale dei dati, un qualsiasi supporto di memorizzazione, anche non ottico, comunque idoneo a garantire la conformità dei documenti agli originali..." ed, ovviamente, la loro inalterabilità. Il 13 dicembre 1999 veniva emanata la direttiva 1999/93/CE del Parlamento europeo e del Consiglio relativa ad un quadro comunitario per le firme elettroniche, con l'obbligo per gli Stati membri di adeguarsi in materia. Infatti il DLgs 10/2002, oltre a portare le definizioni delle firme elettroniche, perfeziona le garanzie di sicurezza offerte dal documento informatico. Infine, con il neo emanato DPR n.137 del , sono state delineate le regole recanti le disposizioni di coordinamento in materia di firme elettroniche. La normativa italiana riconosce quindi, pur se con qualche titubanza, la validità legale dell'archivio digitale. Analizziamo ora le diverse situazioni che si realizzano nella pratica quotidiana, distinguendole in relazione alla provenienza del paziente, interno od esterno alla Struttura Sanitaria, ed alla tipologia dei dati prodotti: referto o documentazione iconografica. Il referto digitale del paziente interno, firmato digitalmente, deve essere conservato a tempo indeterminato e viene inserito nella cartella elettronica; se non esiste cartella elettronica, il referto viene stampato, sottoscritto ed inserito nella cartella cartacea. Il referto digitale del paziente esterno, validato con firma digitale, viene consegnato al paziente in forma cartacea, con dichiarazione di conformità da parte di un pubblico ufficiale; ; in formato elettronico, su CDROM o trasmesso via (vedi Deliberazione AIPA n 42/2001). Le immagini prodotte in formato digitale per un paziente interno devono essere conservate per un periodo non inferiore a 10 anni, analogamente alle immagini su pellicola. Il corretto processo di conservazione delle immagini digitali prevede l'apposizione del riferimento temporale e della firma digitale del responsabile della conservazione sull'indice dei documenti contenuti nel supporto ottico, alla chiusura del processo. Il paziente che richiede copia della documentazione iconografica, potrà scegliere il supporto su cui ricevere la copia medesima, elettronico o analogico clinicamente adeguato. Le immagini in formato digitale prodotte per un paziente esterno possono essere consegnate al paziente, non sussistendo obbligo di conservazione per la Struttura Sanitaria. Tuttavia, la consegna della documentazione digitale al paziente esterno impone alla Struttura Sanitaria il dovere di informare il paziente sugli obblighi di conservazione ex lege della documentazione stessa ed è forse ancora prematuro pensare che la maggior parte dei pazienti sia in grado di provvedere autonomamente alla conservazione legale della documentazione ricevuta. Pare più logico, invece, che la conservazione ex lege di referti ed immagini digitali, siano essi di pazienti interni od esterni, sia di competenza della Struttura Sanitaria. 15
16 Le immagini ed i documenti analogici possono essere "conservati" in formato digitale, riversandoli, ad esempio mediante scanner, sui supporti ottici. Il responsabile della conservazione deve apporre, sull'insieme dei documenti, il riferimento temporale e la firma digitale per attestare il corretto svolgimento del processo. Il processo di conservazione digitale di documenti analogici originali unici si conclude con l'ulteriore apposizione del riferimento temporale e della firma digitale da parte di un pubblico ufficiale per attestare la conformità di quanto memorizzato al documento d'origine. La distruzione di documenti analogici, di cui è obbligatoria la conservazione, è consentita soltanto dopo il completamento della procedura di conservazione digitale. Nino Susca Datasoftware srl Bibliografia: fonti Adobe CNIPA La firma elettronica: problemi tecnici e principi giuridici (Marco Maglio) 16
SANITA & TECNOLOGIA Www.informaticaperlasanita.com Numero 8, Anno 2011 La firma digitale con certificato di ruolo La firma digitale di ruolo attesta l iscrizione all Albo di Appartenenza, pertanto ha lo

References: articolo 5
 articolo 3
 articolo 5
 articolo 5
 articolo 12
 articolo 5
 Art. 2