Source: http://www.interlex.it/forum10/relazioni/47neirotti.htm
Timestamp: 2019-03-27 01:30:54+00:00
Document Index: 14567335

Matched Legal Cases: ['art. 21', 'art. 21', 'art. 21', 'art. 21', 'art. 32', 'art. 32', 'art. 32', 'art. 21', 'art. 32', 'art. 21', 'art. 32', 'art. 21', 'art. 32']

Le relazioni - 47
Obbligo di uso personale del dispositivo di firma e disconoscimento del documento informatico
di Luigi Neirotti* - 25.10.05
Il nuovo Codice dell’amministrazione digitale (Decreto legislativo 7 marzo 2005, n. 82) prevede all’art. 21, comma 2, che “2. Il documento informatico, sottoscritto con firma digitale o con un altro tipo di firma elettronica qualificata, ha l’efficacia prevista dall’articolo 2702 del codice civile. L’utilizzo del dipositivo di firma si presume riconducibile al titolare, salvo che sia data prova contraria.”
Come evidente, la scelta del legislatore è stata di “ritornare” all’efficacia probatoria equivalente alla “scrittura privata”, quindi efficacia fino a querela di falso (soltanto) nel caso di riconoscimento da parte dell’autore, o meglio del titolare del dispositivo sicuro di firma, ovvero salvo disconoscimento di tale utilizzo da parte di quest’ultimo. In tal caso specifico si pone, evidentemente, a carico del soggetto che intende valersi della scrittura privata prodotta in giudizio l’onere di provare la provenienza della scrittura ed in particolare della sottoscrizione elettronica.
Peraltro, il legislatore ha voluto fornire un elemento aggiuntivo, rispetto alla tradizionale disciplina codicistica, al fine di meglio chiarire come potrebbe avvenire il processo di disconoscimento, e quindi di verificazione giudiziale, stabilendo un principio di presunzione juris tantum di utilizzo del dispositivo sicuro di firma. Ciò ad evitare di gravare la parte che produce il documento – poi disconosciuto – di un onere probatorio eccessivamente gravoso se non “impossibile” (si veda al riguardo, su queste colonne, G. Bonomo, Effetti probatori: si torna ai principi del processo civile – 3, P. Ricchiuto, La firma digitale ritrova se stessa. Forse ... , F. Ricci, Sulla presunzione di utilizzo del dispositivo di firma , e – sia consentito – il mio precedente intervento, E' utile la presunzione di utilizzo del dispositivo di firma”).
La presunzione di utilizzo del dispositivo sicuro di firma opera, dunque, a favore di chi produce in giudizio la scrittura privata, o meglio il documento informatico sottoscritto con firma digitale o elettronica qualificata (d’ora innanzi useremo l’espressione “documento informatico sottoscritto elettronicamente”), nel senso che dispensa quest’ultimo dall’onere di provare che è stato effettivamente il titolare ad utilizzare materialmente il dispositivo sicuro di firma al fine di effettuare la sottoscrizione elettronica. Nello stesso tempo opera anche a favore del medesimo titolare, nella misura in cui gli consente di liberarsi degli effetti di un utilizzo abusivo di tale dispositivo di firma dando prova, con qualsiasi mezzo, che l’utilizzo non è a lui riconducibile.
Si deve notare che la “forza” ed il “pregio” della soluzione adottata risiedono proprio nell’interessante “bilanciamento di interessi” che è stato operato, laddove si è sgravata la parte che produce il documento informatico in giudizio di una prova diabolica, l’utilizzo del dispositivo sicuro di “mano” del titolare, mentre si è “garantito” al titolare medesimo del dispositivo di firma la possibilità di liberarsi subito degli effetti ingiusti e pregiudizievoli di un utilizzo abusivo, semplicemente fornendo prova contraria, senza nemmeno dover proporre querela di falso.
A questo punto assumerà rilievo fondamentale la giurisprudenza che si formerà in tema di “riconducibilità” dell’uso del dispositivo di firma sicuro e di “prova contraria” valutata come sufficiente al fine di vincere la presunzione juris tantum ed ottenere quindi il disconoscimento della scrittura privata elettronica.
Ad onor del vero, la formulazione attuale dell’art. 21, comma 2, del Codice dell’amministrazione digitale si presta a qualche ambiguità, o forse a qualche forzatura interpretativa, che sarebbe bene scongiurare per evitare risultati indesiderati ed ingiusti.
L’ambiguità potrebbe discendere dal fatto che nel principio di “riconducibilità” taluno potrebbe pensare di rinvenire il riconoscimento della possibilità di affidare l’utilizzo del dispositivo a terzi.
Non è certo negabile che le firme elettroniche abbiano una peculiarità ineliminabile rispetto alle firme autografe: la necessità del ricorso all’utilizzo di un mezzo meccanico (il dispositivo sicuro di firma) per poter essere validamente impiegate.
Questa peculiarità ha spinto qualche commentatore, prescindendo dagli effetti riconosciuti dall’ordinamento, e più da un punto di vista concettuale, a negare la natura di “firma” al un risultato di una procedura informatica dove il mezzo meccanico che contiene la chiave privata che identifica il titolare possa essere separato fisicamente dal titolare stesso (mentre, in effetti, una scrittura non è fisicamente separabile dal soggetto che la esprime, tanto che la scrittura viene definita un’espressione “psico-somatica” dell’individuo).
Poiché la possibilità di una tale separazione esiste, tanto vale affrontare l’argomento, consapevoli anche che si assiste da alcuni titolari di firma digitale ed anche da taluni professionisti, nonostante le istruzioni dei certificatori qualificati siano nettamente contrarie a tale pratica, alla delega nella custodia e persino – ahimè- nell’utilizzo di tale dispositivo.
Analizziamo dunque con attenzione il problema della possibilità fisica di affidamento dell’utilizzo del dispositivo sicuro di firma (in dottrina, F. Ricci ha proposto la qualificazione di “Mandato a firmare mediante somministrazione dei mezzi necessari”) e della correlata possibilità di disconoscimento degli effetti derivanti, sia da un punto di vista fisiologico, sia patologico, e prendiamo in esame possibili soluzioni.
Una prima possibilità di soluzione del problema consisterebbe nell’interpretare la “riconducibilità” sulla base dell’elemento soggettivo del titolare. In questo senso sarebbe necessario valutare se l’utilizzo del dispositivo sicuro discenda da un atto volontario del titolare, mediante conferimento di un mandato a firmare elettronicamente, ovvero da un atto abusivo di un terzo che potrebbe aver sottratto il dispositivo medesimo, ovvero ancora da un abuso del mandatario pur originato dal titolare del dispositivo sicuro (e del certificato qualificato) che ha conferito il mandato.
Nel primo caso la conclusione appare agevole ed anche logica: quando l’utilizzo avviene contro la volontà del titolare, per furto o smarrimento, esso non sarebbe a lui riconducibile e quindi il disconoscimento logico e corretto.
Non ci occupiamo in questa analisi dei casi di errore, violenza e dolo nella formazione della scrittura privata elettronica, essendo evidentemente applicabile la normale disciplina codicistica sull’annullamento, non costituendo la forma elettronica una specificità che richiede disciplina speciale in questo senso.
Diverso dovrebbe essere, invece, il caso in cui il dispositivo sia stato “affidato” (volontariamente) ad un terzo, nell’ambito di un mandato, senza tuttavia che si sia generato un utilizzo abusivo. In questo caso non dovrebbe essere permesso il disconoscimento della scrittura privata elettronica per il solo fatto che il dispositivo è stato materialmente utilizzato da un terzo a cui tale utilizzo era stato (volontariamente) affidato.
E’ di tutta evidenza che un tale disconoscimento sarebbe ingiusto, in quanto di mero comodo, quindi malizioso se non fraudolento, e come tale dovrebbe essere evitato. L’utilizzo del dispositivo dovrebbe rimanere, in questo caso, riconducibile al titolare, anche se non materialmente azionato.
Più complicato appare il caso dell’utilizzo abusivo da parte dell’affidatario del dispositivo di firma. Un tale utilizzo del dispositivo sicuro sarebbe, infatti, contro la volontà del titolare e quindi ad esso “non riconducibile” quanto a contenuto del documento, pur se vi sarebbe un atto di attribuzione dello strumento di sicurezza che presidia l’apposizione della sottoscrizione elettronica. In questo caso un disconoscimento sarebbe probabilmente giusto anche se non del tutto logico visto che il comportamento del titolare avrebbe certamente agevolato tale situazione ed andrebbe contro la tutela dell’affidamento del terzo.
Il ricorso a considerare l’elemento soggettivo sottostante all’utilizzo del dispositivo ci consentirebbe, dunque, di evitare conseguenze ingiuste in sede di disconoscimento e tuttavia ci porterebbe ad effetti perversi laddove un tale elemento di discrimine portasse alla implicita considerazione della possibilità di affidamento nell’utilizzo del dispositivo di firma.
Effetti tanto perversi che ci condurrebbero addirittura alla possibile negazione della funzione di sottoscrizione per le firme elettroniche qualificate e digitali che potrebbero degradare a meri sigilli informatici. Occorre, dunque, trovare un qualche elemento ulteriore e maggiormente esplicativo.
Una seconda possibilità di soluzione del problema potrebbe consistere nello specificare, a livello normativo, che la riconducibilità si ha con riguardo alla “volontà” del titolare del dispositivo sicuro di firma.
In questo senso si potrebbe ipotizzare di modificare la parte finale dell’art. 21, comma 2, nel modo seguente:
“L’utilizzo del dipositivo di firma si presume riconducibile alla volontà del titolare, salvo che sia data prova contraria.”
Tuttavia anche questa soluzione, che invero non differisce di molto dalla precedente, salvo la specificazione letterale del criterio interpretativo, non appare del tutto soddisfacente: è infatti evidente che, se da un lato ci consentirebbe di evitare il disconoscimento di comodo (patologico) di una sottoscrizione affidata maliziosamente ad un terzo e poi disconosciuta nel momento del “bisogno”, nonostante una volontà iniziale retrostante, da un altro lato rischia di legittimare implicitamente la possibilità dell’affidamento del dispositivo, laddove si volesse leggere nella riconducibilità alla volontà del titolare la costruzione di un “meccanismo di imputabilità” degli effetti giuridici, prescindendo - come tale - dalla materialità dell’utilizzo del dispositivo.
Dunque anche questa soluzione non appare pienamente convincente ed anzi sembra, per certi versi, amplificare i problemi.
A questo punto, come terza possibilità di soluzione, si potrebbe pensare di abbinare alla modifica dell’art. 21, comma 2, presentata nella seconda soluzione, anche una modifica dell’art. 32, comma 1, del Codice dell’amministrazione digitale, ove si potrebbe specificare che l’utilizzo del dispositivo sicuro non è attribuibile ad alcuno. Anzi, in chiave positiva, ove si potrebbe prescrivere l’obbligo dell’utilizzo personale del dispositivo di firma.
Si potrebbe, pertanto, ipotizzare la seguente modifica dell’art. 32, comma 1:
“1. Il titolare del certificato di firma è tenuto ad adottare tutte le misure organizzative e tecniche - ivi compresi i profili di custodia del dispositivo di firma - idonee ad evitare danno ad altri ed a utilizzare personalmente il dispositivo di firma".
Si noti, incidentalmente, che si ritiene preferibile abbandonare il riferimento, contenuto nella versione attuale del Codice, alla “diligenza del buon padre di famiglia” quale obbligo a carico del titolare nell’utilizzo del dispositivo di firma. Ciò in quanto la diligenza del “buon padre di famiglia” potrebbe apparire un minus rispetto alla prescrizione contenuta nella prima parte della medesima norma che richiede, invece, l’adozione di “tutte le misure organizzative e tecniche” idonee ad evitare danno. Anzi, mi sembra che appaia insufficiente, considerata la natura dello strumento.
In alternativa, dunque, al fine di raggiungere lo scopo che immagino si volesse ottenere, si potrebbe pensare di specificare che “tutte le misure” si riferisce anche alla custodia del dispositivo.
A questo punto, al fine di meglio chiarire che l’utilizzo del dispositivo sicuro di firma, proprio perché inserito in un meccanismo giuridico che assume valenza di sottoscrizione personale, deve essere personale e non delegabile a terzi, ritengo sarebbe preferibile introdurre una chiara specificazione a livello normativo di tale obbligo, come sopra indicato.
In questo modo si chiuderebbe la porta ad interpretazioni che volessero trovare nella “riconducibilità” alla volontà del titolare la base di legittimazione della possibilità di affidamento a terzi dell’utilizzo del dispositivo di firma.
Giunti a questo punto, tuttavia, la soluzione non appare completa, o forse non pienamente soddisfacente
Potrebbe, infatti, permanere il rischio di un eventuale ulteriore uso distorto che potrebbe derivare dall’applicazione di tale ultima modifica dell’art. 32, comma 1, del Codice dell’amministrazione digitale.
In effetti, potrebbe presentarsi ancora il rischio di un disconoscimento malizioso o fraudolento da parte di chi avesse nondimeno affidato il proprio dispositivo a terzi, nonostante il divieto esplicito a livello normativo (peraltro non sanzionato), adducendo, proprio per questo motivo, la “non riconducibilità” della sottoscrizione elettronica a sé in quanto operata da un terzo.Posto che, per principio giuridico, nessuno potrebbe invocare a proprio vantaggio gli effetti derivanti da una propria violazione, sarebbe tuttavia opportuno evitare questo rischio inserendo opportune norme al riguardo.
Quale quarta possibilità si potrebbe, pertanto, ipotizzare, al fine di rafforzare il complesso delle disposizioni che regolano l’utilizzo del dispositivo sicuro e di riflesso il disconoscimento della sottoscrizione elettronica, di specificare nell’art. 21, comma 2, che il disconoscimento della scrittura privata, o meglio che la prova contraria a fine di vincere la presunzione juris tantum di utilizzo del dispositivo di firma, non può derivare in ogni caso da una violazione degli obblighi di custodia e protezione a carico del titolare di cui all’art. 32, comma 1.
In questo modo si potrebbe modificare l’art. 21, comma 1, nel modo seguente:
“L’utilizzo del dispositivo di firma si presume riconducibile alla volontà del titolare, salvo che sia data prova contraria. In ogni caso il disconoscimento non può derivare da una violazione degli obblighi a carico del titolare di cui all’art. 32, comma 1”.
E’ evidente che in questo modo si conseguirebbe allo stesso tempo:
- l’obiettivo di stabilire con chiarezza che il dispositivo sicuro di firma deve essere utilizzato personalmente, senza possibilità di affidamento a terzi;
- l’obiettivo di obbligare il titolare di firma ad adottare modalità di custodia adeguate alla natura del dispositivo ed alle conseguenze giuridiche che derivano da tale utilizzo;
- l’obiettivo di introdurre nella procedura di disconoscimento dell’utilizzo del dispositivo di firma la valutazione dell’elemento soggettivo al fine di distinguere gli utilizzi contro la volontà del titolare da quelli indotti dalla volontà del titolare (nonostante il divieto di affidamento del dispositivo), per i quali evidentemente non potrebbe operare la facoltà di vincere la presunzione di utilizzo;
- l’obiettivo di evitare possibili disconoscimenti di comodo da parte del titolare del dispositivo di firma, semplicemente adducendo di aver affidato il dispositivo a terzi;
- l’obiettivo di proteggere comunque il titolare del dispositivo di firma affidato a terzi per gli utilizzi contro la sua volontà, e quindi ingiusti e l’ulteriore obiettivo di costringere il titolare, in questi casi, a risarcire i danni cagionati a terzi a titolo di responsabilità extra-contrattuale per via del suo comportamento “pericoloso”, o meglio che li ha esposti al rischio di un danno, o se si vuole quale tutela dell’affidamento del terzo.
Tale soluzione, del resto, appare coerente con quanto elaborato dalla dottrina e con la giurisprudenza in tema di “riempimento abusivo di foglio in bianco”.
Premesso che le due fattispecie non paiono pienamente paragonabili in quanto, sebbene abbiano in comune gli effetti finali, coincidenza o meno della dichiarazione contenuta nel documento alla volontà del titolare, hanno tuttavia presupposti fattuali differenti.
In effetti, nel riempimento di foglio in bianco si assiste al completamento del contenuto della dichiarazione di atti o fatti giuridicamente rilevanti mediante formazione del contenuto documentale, a fronte di una preesistente sottoscrizione autografa; nell’utilizzo del dispositivo di firma da parte del terzo si assiste invece alla vera e propria apposizione delle sottoscrizione (elettronica) ad un documento informatico. Nel secondo caso, dunque, il delegato opera anche una sottoscrizione che nel primo è invece autografa.
Tuttavia, a parte queste differenze, per quanto riguarda i documenti tradizionali, secondo la tradizionale dottrina, si possono dare le seguenti possibilità:
- riempimento del documento absque pactis, cioè non autorizzato dal sottoscrittore con preventivo patto di riempimento;
- riempimento del documento contra pacta, cioè difforme da quello consentito dall’accordo precedentemente intervenuto;
- riempimento del documento ex pacto, cioè in modo conforme a quanto stabilito nell’accordo preventivo con il sottoscrittore.
Evidentemente nulla quaestio per l’ultimo caso, ove si regista coincidenza della volontà pregressa con la dichiarazione effettiva e dove quindi il documento risulta sia esistente, sia legittimo. Diversamente per gli altri due casi.
Al riguardo la giurisprudenza più recente in tema di scritture private in cui le dichiarazioni in esse contenute non siano piena espressione della libera volontà di chi formalmente ne risulta l’autore sembra aver imboccato decisamente la strada che distingue nettamente due possibilità di rimedio (cfr. in dottrina, sul documento nel diritto e nel processo civile: P. Milite, Diritto & Diritti, nov. 2000, http://www.diritto.it/articoli/informatica/milite_cap1.html; si veda anche sull’uso del dispositivo da parte di terzi non autorizzati e autorizzati dal titolare, M. Dolzani, Firme Elettroniche, Questioni ed esperienze di diritto privato, Milano, 2003, pag. 85 e segg.; Francesco Ricci, Scritture Private e firme elettroniche, Milano 2003, pag. 284 e segg. ; R. Zagami, Firma digitale e sicurezza giuridica, Padova, 2000, pag. 267 e segg.).
Per il caso di riempimento del documento absque pactis, vale a dire in modo non autorizzato dal sottoscrittore, considerato che l’atto è inesistente, in quanto non autorizzato, viene richiesta la querela di falso al fine ottenere una rimozione degli effetti con efficacia erga omnes (cfr. principalmente Cass. Civ., Sez. III, sent. n. 23501 del 17 Dicembre 2004, Cass. Civ., Sez. II, sent. n. 308 del 11 Gennaio 2002).
Ove, invece, si tratti di riempimento del documento contra pacta, e quindi la sottoscrizione sia in qualche modo preventivamente autorizzata, considerato che in questo caso l’atto è esistente, pur con difformità del contenuto rispetto a quanto voluto, per il soggetto danneggiato si prospetta unicamente la possibilità di un’azione contrattuale (di nullità o di annullamento) mirante ad una pronuncia inter partes (cfr. principalmente Cass. Civ., Sez. II, sent. n. 7975 del 12 Giugno 2000, Cass. Civ. Sez., II, sent. n. 1259 del 02 Febbraio 1995).
A questo punto è evidente che, sulla base dello schema sopra richiamato, tenendo tuttavia conto delle differenze che ricorrono tra le diverse fattispecie, si potrebbe distinguere tra:
- utilizzo del dispositivo sicuro di firma contro la volontà del titolare del dispositivo di firma;
- utilizzo del dispositivo sicuro di firma in modo difforme dalle istruzioni ricevute dal titolare del dispositivo;
- utilizzo del dispositivo sicuro di firma in modo conforme alle istruzioni ricevute dal titolare del dispositivo;
fermo restando che nei due ultimi casi sopra elencati si realizzerebbe una violazione dell’obbligo di utilizzo personale del dispositivo.
Detto questo, mi sembra che la disciplina risultante dovrebbe essere la seguente:
- possibilità di disconoscimento per il caso di utilizzo del dispositivo sicuro di firma non autorizzato dal titolare. In questo caso vi sarebbe, in effetti, la non “riconducibilità” dell’utilizzo alla volontà del titolare e parrebbe corretta la perdita di efficacia dei risultati derivanti dalla sottoscrizione elettronica. Ciò potrebbe valere certamente per il caso di sottrazione o perdita del dispositivo di firma (previa opportuna e tempestiva denuncia). Più discutibile sarebbe il caso di affidamento del dispositivo di firma al terzo, dove l’utilizzo fosse avvenuto completamente al di fuori del controllo del titolare, in modo fraudolento. La riconducibilità al titolare del dispositivo, in effetti, può essere interpretata differentemente a seconda che si dia valore all’affidamento materiale e volontario del dispositivo ovvero al risultato dell’utilizzo nella formazione del documento. Nel primo caso l’utilizzo non parrebbe disconoscibile dato che sarebbe riconducibile al titolare, mentre lo sarebbe, evidentemente, nel secondo, dato che si produrrebbe un falso materiale, mediante creazione di un documento contro la volontà del titolare, non proveniente dalla sfera volontaria del titolare, pur se dotato di firma autentica. Anche accedendo a quest’ultima soluzione – vale a dire della non riconducibilità al titolare per il caso di utilizzo contro la sua volontà – occorrerebbe, tuttavia, riconoscere un principio di responsabilità extra-contrattuale a carico del titolare per i danni causati ai terzi a seguito della sua violazione dell’obbligo di utilizzo personale del dispositivo di firma. A maggior ragione, se il soggetto che ha affidato a terzi il proprio dispositivo fosse un professionista iscritto ad un ordine, si renderebbe forse necessario un provvedimento disciplinare, viste le gravi conseguenze causate;
- assenza di possibilità di disconoscimento per il caso di utilizzo del dispositivo sicuro di firma in modo difforme rispetto alle istruzioni ricevute dal titolare. In questo caso, infatti, vi sarebbe la riconducibilità della sottoscrizione al titolare, dato che il dispositivo sarebbe stato volontariamente affidato al terzo, accettando preliminarmente le conseguenze derivanti da tale utilizzo. La difformità dell’utilizzo rileverebbe esclusivamente nei rapporti tra le parti. Non sarebbe quindi possibile un disconoscimento di comodo invocando l’utilizzo da parte di un terzo;
- nessuna questione per il caso di utilizzo del dispositivo sicuro di firma in modo conforme a quanto consentito, ovvero richiesto, del titolare, considerato che il risultato positivo conseguito sarebbe a vantaggio di tutti i soggetti (titolare, affidatario, terzo che fa affidamento sul certificato qualificato), pur se rimarrebbe la violazione dell’obbligo di utilizzo personale.
Alla luce delle considerazioni esposte, ritengo sarebbe dunque preferibile aggiornare il Codice dell’amministrazione digitale mediante un duplice intervento:
- modificando l’art. 21, comma 2, al fine di specificare sia che la riconducibilità dell’utilizzo ha riferimento all’elemento soggettivo, sia che il disconoscimento non è possibile per tutti i casi di violazione del titolare di uno degli obblighi di custodia e protezione del dispositivo sicuro di firma nonché, principalmente, di violazione dell’obbligo di utilizzo personale di tale fondamentale strumento di sicurezza;
- modificando l’art. 32, comma 1, al fine di specificare che tutte le misure organizzative e tecniche idonee ad evitare danno ad altri devono comprendere anche quelle relative alla custodia del dispositivo di firma, eliminando invece il riferimento alla “diligenza del buon padre di famiglia” che potrebbe risultare fuorviante, ed introducendo l’obbligo di utilizzo personale del dispositivo di firma in capo al titolare.
Tali interventi risulterebbero favorire una maggiore chiarezza interpretativa delle norme sul disconoscimento della scrittura privata elettronica, garantendo l’obiettivo del non-ripudio delle transazioni effettuate mediante contratti informatici o telematici, pur assicurando la possibilità eliminare le conseguenze ingiuste di un utilizzo abusivo degli strumenti di sottoscrizione elettronica ed evitando infine di favorire disconoscimenti di comodo, maliziosi o fraudolenti.
* Avvocato in Milano, Partner Studio Legale Tributario in association with Ernst & Young, Responsabile del dipartimento di diritto dell’informatica