Newsgroup: it.diritto
Titolo: PEC, dubbio giuridico.

Mettiamo caso che ho un cliente società che non mi paga e invece di 
mandargli una raccomandata, decido di mandare un messaggio PEC 
all'indirizzo PEC presente nella visura della società. POSSO FARLO 
LIBERAMENTE O E' NECESSARIO CHE PRIMA IL MIO CLIENTE ABBIA DATO 
ESPRESSAMMENTE LA DISPONIBILITA' AD UTILIZZARE LA PEC NEI SUOI RAPPORTI 
CON ME?
 
(scusate il maisucolo, non sto urlando)
 
 
-- 
ciao
Luca
 
http://www.doclight.net/
 
 
 


Si puņ fare, quanto risulta dalle visure camerali č di pubblico dominio.
 
 
-- 
Gabriele Orlando - Avvocato in Palermo
 

 Si può fare, quanto risulta dalle visure camerali è di pubblico dominio.
 
 Non solo, ma configura un vero e proprio domicilio telematico (cosa che 
secondo me molte società e molti commercialisti non hanno ancora capito).
 
 
 


 
 
Infatti, secondo il comma 4 dell'art. 4 del DPR 68/2005  "Le imprese, 
nei rapporti tra loro intercorrenti, possono dichiarare la esplicita 
volonta' di accettare l'invio di posta elettronica certificata mediante 
indicazione nell'atto di iscrizione al registro delle imprese. Tale 
dichiarazione obbliga solo il dichiarante e puo' essere revocata nella 
stessa forma."
 
Ma dal 29/11 la PEC sarà obbligatoria per le società; mi domando allora 
che valenza abbia l'affermazione "Tale dichiarazione obbliga solo il 
dichiarante e puo' essere revocata nella stessa forma."
 
E ancora, vale solo tra imprese? e se io professionista voglio mandare 
una PEC ad una società cosa devo fare? e ta privati e imprese?



 
Faccio una considerazione buttandola là: i messaggi pec devono essere 
firmati con firma digitale? Se invio una pec senza firma digitale, è 
come inviare una raccomandata cartacea senza averla firmata?
 
Poi non mi è chiaro dal punto di vista operativo se si possono firmare 
direttamente le email o se solo gli allegati possono essere firmati con 
la firma digitale.


 cartacea senza averla firmata?
 
La forma scritta può essere integrata anche dalla firma elettronica non 
qualificata (salvo per alcuni contratti che riguardano diritti reali su beni 
immobili e poco altro, tipo locazioni ultranovennali).
La pec posto che il titolare viene identificato ed a lui viene rilasciata 
una password si può considerare munita di firma elettronica del mittente 
(non qualificata).
Quindi la firma digitale (che è una particolare firma qualificata) non è 
indispensabile. 
 
 

 possono essere firmati con la firma digitale.
 
Entrambi 
 
 

 E ancora, vale solo tra imprese?
 
No 
 
 

 Infatti, secondo il comma 4 dell'art. 4 del DPR 68/2005 "Le imprese, nei
 
Tale comma è stato abrogato dal comma 11 dell'art. 16, D.L. 29 novembre 
2008, n. 185.
 
Scusate se vado per approfondimenti successivi, ma l'argomento lo sto 
affrontando adesso per la prima volta.
 
Avete norme attuali da indicarmi?


 Avete norme attuali da indicarmi?
 
Parti dal codice dell'amministrazione digitale, testo aggiornato. 
 
 

Il 08/11/11 12.24, Max max ha scritto:



 (non qualificata).
 
Il fatto è che l'uso della casella PEC non è riservata espressamente al
titolare della casella o a chi l'ha aperta, e difatti può essere usata
anche da gruppi di persone (
p.es
. amminis...@pec.azienda.XXXX
potrebbe essere usata dall'intero ufficio amministrativo, come difatti
avviene).
 
La PEC certifica il contenuto della missiva, ma considerarla al pari di
una firma elettronica del mittente, ancorché non qualificata, IMHO è
eccessivo, tranne ovviamente per il mittente stesso..
 
-- 
Flavio Visentin
There are only 10 types of people in this world:
those who understand binary, and those who don't.
http://al.howardknight.net/msgid.cgi?ID=131971124500
 

 eccessivo,
 
No e se l'intestatario da ad altri la password peggio per lui, 
 
 

 eccessivo
 
A proposito la giurisprudenza considera munita di firma elettronica (non 
qualificata chiaramente) ed integranti la forma scritta (scittura privata) 
anche le mail normali quando l'invio è condizionato a password e 
l'attribuzione della casella di posta elettronica al soggetto sia univoca 
... (quindi tutte quelle aziendali ad esempio, quelle con smtp autenticato 
dove sia certo, anche per rapporti pregressi, l'utente, etc.,) 
 
 

 dove sia certo, anche per rapporti pregressi, l'utente, etc.,) 
 
Mah, IMHO in generale è tirata per i capelli... o meglio sono
perfettamente d'accordo con questa interpretazione se si parla di posta
aziendale *interna* (o che coinvolga terzi che possano farsi garanti
delle comunicazioni), per esempio nel considerare il valore delle mail
interne in cause di lavoro o simili, ma una volta che la mail esce dal
dominio di controllo del mittente il suo valore come suo identificativo
diventa pressoché nullo se non è integrata con altri sistemi.
 
Una mail è facilmente falsificabile e la sua falsificazione può essere
anche impossibile da provare, a meno che i sistemi non supportino una
qualche forma di controllo aggiuntiva.
P.es. mail inviate tra sistemi che supportano DKIM offrono + o - le
stesse garanzie tecniche di una PEC, almeno nei termini di poter
accertare che il contenuto, e entro certi termini anche il mittente,
siano rimasti inalterati nel percorso.
 
Ma una mail "plain" senza alcun accorgimento extra è identica ad una
lettera stampata al computer su un normale foglio A4 e inviata in busta
aperta al destinatario.
 
Per quanto riguarda la segretezza delle credenziali invece, non v'è
obbligo di utilizzare credenziali personali per accedere alla PEC (fatto
salvo quanto già previsto per il trattamento dei dati personali). Da
questo punto di vista è una casella di posta come tutte le altre (salvo
che a non leggerla si rischia grosso).
 
 
P.S. tutto sempreché tu con il termine firma elettronica non qualificata
ti riferisca alla firma elettronica avanzata [Art.1 q-bis], dal momento
che si parla di identificazione del mittente, e non alla firma
elettronica (semplice) [Art.1 q].


 elettronica (semplice) [Art.1 q].
 
Entrambe possono integrare il requisito della forma scritta. Alla fine 
quello che conta è la valutazione del giudice, il tipo di contestazione e 
quello che si riesce a provare e chi lo deve provare quando deve essere 
provato.
Considera che poi intervengono anche presunzioni.
 
 

 salvo quanto già previsto per il trattamento dei dati personali).
 
Non mi pare che esistano fornitori che non prevedano l'utilizzo della 
password per l'invio.
A quel punto subentra il principio di autoresponsabilità e di affidamento 
dei terzi. 
 
 

Alla fine quello che conta è la valutazione del giudice,
 
Esempio di come ragiona, se vuoi in maniera semplicistica,  un tribunale (il 
riferimento è alla normativa precedente ma con la nuova il succo non 
cambia):
 
"9) L’art. 10, comma 2, prescrive poi che "Il documento informatico, 
sottoscritto con firma elettronica, soddisfa il requisito legale della forma 
scritta" (benchè con valore probatorio liberamente valutabile dal Giudice 
...
Ed è proprio quanto avviene per la posta elettronica: per poter accedere ad 
un dato indirizzo (come quello utilizzato dalla debitrice) per inviare o 
controllare se si sono ricevute email, occorre conoscere ed inserire i 
suddetti dati identificativi (oppure utilizzare programmi - quale ad esempio 
Microsoft OUTLOOK EXPRESS - che inseriscono automaticamente tali dati ogni 
volta che ci si connette alla rete internet), procedendo quindi alla 
necessaria procedura di validazione.
 
11) Per tali motivi, è pacifico che l’email costituisca un documento 
informatico sottoscritto con firma elettronica, in quanto il mittente, per 
poter creare ed inviare detta email, deve eseguire un’operazione di 
validazione, inserendo il proprio username e la propria password; e tale 
documento soddisfa altresì il requisito legale della forma scritta, a norma 
del combinato disposto degli artt. 1, primo comma, lett. cc) e 10, comma 2 
del DPR 445/2000. "
 
 

 validazione, inserendo il proprio username e la propria password; 
 
Non ho letto il resto della sentenza nei cui meandri potrebbero esserci
altre informazioni, ma questa singola affermazione, presa a sè così come
è scritta, la si può contestare sul piano tecnico senza alcuna difficoltà.
Se non ci sono altre condizioni a corredo (
p.es
. il fatto che la mail
sia stata inoltrata in un Lotus Domino con un client domino, o altre
amenità del genere) il CTU che ha scritto una tale boiata è un totale
incompetente (sempreché sia stata presa da una perizia). Il che non è
una novità.


 dei terzi.
 
E questo va bene per stabilire alcuni tipi di responsabilità, 
p.es
. in
capo all'azienda (ovvero se 
p.es
. c'è una causa per merce non pagata la
responsabilità è dell'azienda in quanto comunque l'invio è imputabile a
personale dell'azienda). Ma se c'è di mezzo la necessità di stabilire il
mittente *come persona*, per esempio in un caso penale, c'è una
sostanziale differenza; non posso accusare un singolo impiegato o il
capufficio se tutti gli impiegati avevano diritto d'accedere a quella
casella di PEC.


 (non qualificata).
Si c'è una sentenza in tal senso e so anche che il responsabile bazzica da
queste parti ;), ma non sono d'accordo.
Non sono d'accordo perché un'attenta lettura del CAD ci consente di
individuare come firma elettronica "semplice" soltanto "l'insieme dei dati
in forma elettronica, allegati oppure connessi tramite associazione logica
ad altri dati elettronici, utilizzati come metodo di identificazione
informatica".
I dayi devono, quindi, essere connessi e così non è nell'e-mail che può
essere facilmente alterata da chiunque (e di fatto lo è attraverso
l'inserimento di headers).
Diverso è il caso della PEC che viene firmata digitalmente dal primo
fornitore, ma ancora non basta per individuare con certezza il mittente
(sebbene possa operare una presunzione di "paternità" in capo al titolare
dell'account).
A mio avviso sarebbe opportuno iniziare ad utilizzare la firma elettronica
avanzata (basta GPG o PGP), da apporre alla pec, ma è bene ricordare che la
firma non è comunque un requisito essenziale della diffida o di una
qualsivoglia comunicazione.
 
 
-- 
 "Men are not hanged for stealing horses, but that horses may not be
stolen"

 come inviare una raccomandata cartacea senza averla firmata?
Dipende da cosa stai scrivendo.


 queste parti ;), ma non sono d'accordo.
 
potresti indicare gli estremi?


 è scritta, la si può contestare sul piano tecnico senza alcuna difficoltà
 
Sì  ma ovviamente dipende dal contesto concreto che non si evince da quel 
provvedimento. 
 
 

 mittente *come persona*, per esempio in un caso penale
 
Sì, il discorso era riferito ad un ambito civilistico. 
 
 

 I dayi devono, quindi, essere connessi
 
E' molto ampia quella definizione normatica e ci rientra anche la password 
di invio. 
 
 

 qualsivoglia comunicazione
 
Dipende se deve essere fatta o meno in forma scritta (scrittura privata che 
prevede come elemento essenziale la sottoscrizione)
 
 
 

 di invio.
IMHO no, perché non è logicamnete legata ai dati inviati che, infatti,
possono essere editati in un secondo momento. Poi ovvio che se l'e-mail
l'hai effettivamente inviata tu è inutile cercare il pelo nell'uovo, ma in
linea di massima l'e-mail non può essere ritenuta un documento sottoscritto
con firma elettronica.
 
-- 
 “Per rimanere liberi bisogna a un bel momento prendere senza esitare la
via della prigione” G.Guareschi

 con firma elettronica.
 
In realtà è il contrario, a meno di account non riferibili ad un determinato 
soggetto per mancanza di identificazione all'atto della consegna della 
password o per un uso pacifico precedente della stessa. 
 
 

 password o per un uso pacifico precedente della stessa.
Non sono d'accordo, ma sono consapevole di essere "dttrina minoritaria".
 
 
-- 
 "kill the wabbit"

 Non sono d'accordo, ma sono consapevole di essere "dttrina minoritaria".
 
Ok. 
 
 

 alla necessaria procedura di validazione.
 
Questo è tecnicamente falso. Il mittente di un'email NON è condizionato (se 
non in rari casi) all'autenticazione.
 
-- 
  Daniele "Vihai" Orlandi
  Bieco Illuminista #184213

 non in rari casi) all'autenticazione.
 
Attenzione, il mittente di una email si presume chi si è autenticato su smtp 
(il campo from ed altri non hanno rilevanza) ed oggi l'autenticazione è 
diffusa.
Che vuoi dire con quanto sopra ? 
 
 

 Che vuoi dire con quanto sopra ?
 
probabilmente che server smtp come ad esempio 
out.alice.it
 non 
richiedono l'autenticazione


 server smtp come ad esempio 
out.alice.it
 
 
Veramente (cioè accetta posta proveniente da tutti gli utenti del dominio) ? 
Gli altri telecom sì.
Comunque sì in questi casi non c'è alcuna firma elettronica se l'utente non 
è identificato. 
 
 

 Non che io sappia. Ma le credenziali non necessariamente sono *personali*.
 
Fastweb. Fanno relay di ogni cosa che provenga da un MUA attestato su 
un loro IP, mentre richiedono autenticazione negli altri casi.
 
Per inciso come metodo di autenticazione supportano anche LOGIN e 
PLAIN *ma* non abbinati a STARTTLS.
 

Il 09/11/2011 20:11, lorenzodes ha scritto:
 
[...]
 
Mi sono confuso coi post, qui si era ritornati a parlare di PEC.
 
Chiedo venia.

 No.
Si. Scherzi a parte la firma elettronica (digital signature) è di fatto la
definizione di hash.
Prendi l'art. 1 lettera q) 
firma elettronica: l'insieme dei dati in forma elettronica, allegati oppure
connessi tramite associazione logica ad altri dati elettronici, utilizzati
come metodo di identificazione informatica 
 
I dati devono poter essere utilizzati come metodo di identificazione
elettronica del docuemnto che vanno a firmare e questo è quello che fa
l'hash. Quindi la firma elettronica di questo testo  sarà
 
d19b2f27447ef4a66542b705fab01345
 
Questa è la sua firma elettronica in qaunto connessi tramite associazione
logica al testo stesso. Qualsiasi modifica farà fallire la verifica. 
Non hanno tuttavia la caratteritsica della non repudiabilità in quanto non
univocamente associati al firmatario.
 
 
-- 
 Chi ha da rompersi il collo, trova la strada al buio.

 logica
 
Associazione logica significa praticamene ogni forma di associazione purchè 
non illogica.
L'hash di per sè consente sempre di verificare se i dati di cui è l'impronta 
digitale sono stati modificati e questa è una caratteristica espressamente 
prevista per la firma elettronica avanzata, non per la firma elettronica 
semplice.
Se già fosse stata della firma elettronica semplice non ci sarebbe stato 
bisogno di inserila come uno dei 3 requisiti in più di quella avanzata: 
connessione univoca, controllo esclusivo e appunta possibilità di rilevare 
la modifica dei dati
 
"
q-bis) firma elettronica avanzata: insieme di dati in forma elettronica 
allegati
 
oppure connessi a un documento informatico che consentono l'identificazione 
del
 
firmatario del documento e garantiscono la connessione univoca al 
firmatario,
 
creati con mezzi sui quali il firmatario può conservare un controllo 
esclusivo,
 
collegati ai dati ai quali detta firma si riferisce in modo da consentire di 
rilevare se
 
i dati stessi siano stati successivamente modificati
 
"
 
 
 

 la modifica dei dati
Sono tre elementi in più, di cui l'importanze maggiore è la possibilità di
ricondurre la firma ad un destinatario univoco.
Per assurdo, se tu (e la dottrina prevalente) avessi ragione l'email
sarebbe sottoscritta con firma eletronica avanzata dato che è
identificabile un destinatario univoco.
 
 
-- 
 "Molti generali passarono ore terribili sul campo di battaglia; ma Cavour
ne passò di più terribili nel suo gabinetto [...] ore, notti di lotta e
d’angoscia passò, da uscirne con la ragione stravolta o con la morte nel
cuore" (Cuore, E. de Amicis)

 identificabile un destinatario univoco.
 
Un firmatario cioè. No perchè mancano gli altri requisiti tra cui la 
possibilità di verificare alterazioni. E' la pec che in genere può 
considerarsi sottoscritta con firma elettronica avanzata. 
 
 

 considerarsi sottoscritta con firma elettronica avanzata.
Esatto (mi son mangiato un "certificata").
Qui il campo è da analizzare con cura. La PEC è firmata digitalmente dal
gestore e questo effettivamente ci pone al risparo da possibili modifiche,
ma non è possibile ritenerla sottoscritta con firma elettronica avanzata
dal mittente in quanto il login non è IMHO logicamente associato al testo
del messaggio.
A mio avviso la normativa è scritta davvero male e anche andando avanti a
discutere non se ne esce: da un lato l'esigenza di diffondre lo strumento,
e dall'altro l'esigenza di utilizare strumenti rendono non conciliabili le
nostre posizioni.
 
-- 
 — Secondariamente tu non hai nessun diritto da accampare perché non sei
una persona fisica. Tant’è vero che non sei nato!
— Però sono morto!
— E come può morire chi non è nato? (G.Guareschi)

 del messaggio.
 
Comunque concreterebbe la forma scritta ...
 
 
 

 Comunque concreterebbe la forma scritta ...
Su questo non ci piove.
 
-- 
 When you're wounded and left on Afghanistan's plains,
And the women come out to cut up what remains,
Jest roll to your rifle and blow out your brains
An' go to your Gawd like a soldier. (R.Kipling - The young british soldier)

 pace della certezza della sottoiscrizione... :(
 
La ratio è quella di favorire le firme elettroniche. Va da sè che il potere 
discrezionale del giudice è ampio ma qui il discorso sarebbe più vasto.
Certo è che che il valore dato alla firma elettronica qualificata 
(considerate le caratteristiche ed i costi) non ne rende molto appetibile 
l'utilizzo e solo da ultimo hanno riservato a questa alcuni atti (che però, 
essendo per lo più soggetti a trascrizione, difficilmente saranno redatti in 
tal modo e quindi è un qualcosa più in negativo che in positivo). 
 
 

 � diffusa.
 
Negativo e te lo dico da fornitore di e-mail. L'autenticazione verso il 
server SMTP non implica che poi venga verificato l'envelope sender e 
tantomeno il From.
 
Poi per quei due clienti che sanno cos'è DomainKeys effettivamente faccio il 
controllo e firmo gli headers ma sono una esigua esigua minoranza.
 
Si parla di e-mail normale, comunque.
 
Ciao,



Che io ho da una parte un user ed una password ma il campo from può essere 
qualsiasi e non è legato al mittente.
Nei log del server di invio può rimanere traccia di tali dati.
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
 
www.robyt.eu
 
 

 tantomeno il From.
 
S�, ma non inficia le conclusioni. 
 
 

 ma il campo from può essere qualsiasi e non è legato al mittente.
 
Infatti non rileva cosa c'è nel campo from ma di quale utente era la 
password che si è autenticata (sempre che si riesca a provarlo ma per mail 
aziendali e simili c'è una presunzione in tal senso) 
 
 

 Sì, ma non inficia le conclusioni.
 
Come fa a non inficiarle se nell'envelope sender e nel From: posso scrivere 
quello che voglio?


 aziendali e simili c'� una presunzione in tal senso)
 
E come fai a sapere come si è autenticato l'utente che ha mandato l'email?
 
Non necessariamente è indicato e spesso non lo è.


 Non necessariamente � indicato e spesso non lo �.
 
E' appunto una questione di prova e di presunzioni.
Ad esempio questo header di tin:
Received: from xxx  (xx.xx.xx.xx) by 
vsmtp3.tin.it
 (8.5.132) (authenticated 
as xxxxxxxx)
 
 

 Come fa a non inficiarle
 
Vedi risposta sotto. 
 
 

 (authenticated as xxxxxxxx)
 
È molto più comune il caso in cui non c'è traccia dello username AUTH negli 
headers.
 
Ciao,



 
Beh, i gestori farebbero bene ad implementarlo :)
Comunque ripeto, è una questione di prova e di applicabilità di presunzioni. 
Ovvio che non tutte le mail possono essere munite di firma elettronica 
semplice in questo senso. 
 
 

 Beh, i gestori farebbero bene ad implementarlo :)
 
Nì. Non è detto che sia opportuno rivelare parte delle credenziali di 
autenticazione quando il tuo scopo è autorizzare un subset di From e di 
envelope sender.
 
In ogni caso in un mondo fatato dove i consulenti tecnici sono competenti un 
commento in un header Received ha un valore probatorio ridicolmente 
piccolo....


 semplice in questo senso. 
 
Direi che tale assunto si possa fare solo in ambiti *molto* ristretti.
Da un punto di vista tecnico limiterei proprio al singolo server aziendale.
 
-- 
Flavio Visentin
There are only 10 types of people in this world:
those who understand binary, and those who don't.
http://al.howardknight.net/msgid.cgi?ID=131971124500