Newsgroup: it.discussioni.commercialisti
Titolo: Conservazione PEC - prescrizione???

La mia casella PEC è (ancora una volta) quasi piena.
Già tempo fa ho pagato l'aumento di capacità e ora siamo ancora alle solite.
Vedo che le mail pec più vecchie risalgono al 2012.
Secondo voi arrivati al decennio potrei iniziare periodicamente a cancellare le più vecchie o no?


mio parere:
tanto quelle più vecchie di 3 anni, se non gli hai messo la marca 
temporale, probabilmente non valgono già più perchè sono scaduti i 
certificati dei gestori
 
potresti comunque scaricare l'intero archivio in formato mbox con le 
funzioni di export dal portale, oppure scaricarle in locale sul tuo 
programma di posta senza lasciarle sul server
 

 
 
Per liberare spazio sul server, io le scarico
periodicamente in locale.


se non le conservi con marca temporale, perdono valore quando scadono i 
certificati di firma del gestore ( circa 3 anni )

 certificati di firma del gestore ( circa 3 anni )
 
ma allora le pec non sono garantite per l'uso legale ?
 
Le ordinarie raccomandate postali cartacee consentono,
ad esempio, di interrompere la prescrizione di un credito
precedentemente richiesto non oltre dieci anni prima
(termine di prescrizione).
 
Con le pec non si ha piu' questa garanzia ?


si, ma è come i documenti firmati digitalmente: per farli valere anche 
quando la firma è scaduta, li devi marcare temporalmente
 
se apri oggi un documento che hai firmato digitalmente 4 o 5 anni fa, ti 
dirà che la firma non è valida
 
se lo hai marcato temporalmente, potrai dimostrare che all'epoca era valida
 
 
 

 dirà che la firma non è valida
 
Non c'entra nulla.
 


Infatti mi pareva strano.
La PEC e' una cosa, la firma digitale e' altra cosa.


quello che non capisco è se la conservazione digitale dei messaggi pec a norma di legge 
può essere fatta internamente all'azienda e se sì come
 oppure bisogna avvalersi di un conservatore specializzato.
 
l'unica cosa che questi conservatori dicono è che
la legge Italiana obbliga i gestori delle Pec alla conservazione del valore legale per i trenta mesi successivi dall’ inizio delle comunicazioni. 
Trascorsi questi, il file dei LOG (registro informatico delle operazioni relative alle trasmissioni effettuate mediante PEC)
che da valore legale alle tue comunicazioni, agli allegati ed alle relative ricevute andrà definitivamente perso. 
Come ovvia conseguenza della perdita del file dei LOG della casella Pec si perderà la possibilità di poter dimostrare legalmente una avvenuta comunicazione .
e non se sia vero

 
 
 
E quindi una PEC inviata per interrompere la prescrizione
decennale, non puo' piu' essere prodotta in giudizio
(ad esempio 4 anni dopo) perche' dopo 30 mesi (2,5 anni)
i gestori cancellano il registro informatico ?!?!?!?
 
Cioe' rischio che in giudizio l'allegazione di una
pec mi venga rifiutata perche' il registro informatico
e' stato cancellato prima del termine di prescrizione
di qualsiasi diritto ?
 
Ma siamo sicuri ? Ma in tal caso la PEC e' na ciofeca
e conviene ritornare alla raccomandata cartacea.


centra eccome
leggete bene come funzionano le PEC
 
la garanzia la da la ricevuta del gestore. Questa ricevuta è firmata 
digitalmente dal gestore ed HA UNA SCADENZA come tutte le firme digitali
 
 
anche se c'è chi la pensa diversamente ( ma no tanto, infatti evidenzia 
comunque il problema DELLA SCADENZA DELLA FIRMA DELLA PEC):
 
https://avvocatotelematico.studiolegalearcella.it/2019/04/06/la-verifica-delle-pec-con-certificati-scaduti-falsi-miti-sfatati/
 

 digitalmente dal gestore ed HA UNA SCADENZA come tutte le firme digitali
 
 
La firma digitale la conferisci ad un documento
che puoi allegare ad una mail o ad una pec.
 
La pec invece e' tutt'altra cosa , cioe' un contenitore
legalmente riconosciuto che puo' trasportare qualsiasi
cosa, anche un allegato firmato digitalmente.
 
Con la pec non firmi digitalemente, ma garantisci
solo l'identita' del mittente.

 
 
Scusami, non avevo letto il link e ti ho risposto incoerentemente.
Ora ho capito il problema.

 leggete bene come funzionano le PEC
 
 
Ti riferivi alla firma digitale che il gestore PEC
appone alle due mail di risposta (accettazione e consegna).
In effetti hai ragione : la firma scade dopo tre anni.


esatto
 
poi una volta capito il problema, si può discutere sul modo migliore per 
conservarla
 
io credo che se una volta all'anno ci si fa un backup ti tutte le pec in 
un unico file , e poi si firma il file digitalmente (serve??) e gli si 
mette una marca temporale, il problema sia risolto senza impazzire con 
ogni singola PEC
 
 
ma parlo da non esperto


Prendero' il tuo pregiato consiglio come oro colato!
 
Al seguente link :
https://www.teamsystem.com/Legal/le-garanzie-della-posta-elettronica-certificata
 
si afferma che :
"Pare così evidente che, anche dopo la scadenza del certificato di firma 
del gestore PEC, le date della ricevuta di accettazione e di consegna 
mantengono il valore legale di riferimento temporale opponibile ai terzi 
e garantiscono integrità e immodificabilità del messaggio e degli allegati"
 
 
 

 comunque il problema DELLA SCADENZA DELLA FIRMA DELLA PEC):
 
Evidenzia il problema perché c'è chi lo ha inventato non capendo il 
funzionamento.
 


il problema è semplice:
 
la ricevuta PEC ha una firma digitale del gestore. Ora, come tutte le 
firme digitali, questa scade dopo 3 anni.
 
 
La risposta invece è difficile e non è un ingegnere informatico che può 
ripondere, ma forse più un legale :
 
una firma digitale scaduta, vale oppure occorre metterci una marca 
temporale prima della scadenza ?
 
se leggi alcuni documenti sulla conservazione digitale, sembra proprio 
che la marca temporale vada apposta
 
 
 
 
 
 

 
 
Spero di esserci riuscito a spiegare.

 Secondo voi arrivati al decennio potrei iniziare periodicamente a cancellare le più vecchie o no?
 
Io ho la posta elettronica (non pec e pec) da quando la uso ... :-P
 
 

 certificati dei gestori
 
Falso che non valgano più. La scadenza dei certificati con cui sono 
state firmate è irrilevante a tal fine.
 

 Con le pec non si ha piu' questa garanzia ?
 
Ma sì. Sono favole propagate dai s(conservatori) a "norma" di ...

 quando la firma è scaduta, li devi marcare temporalmente
 
Sempre falso.
Per i documenti poi un conto è la loro validità, un altro la data certa 
nei confronti dei terzi (che da la marca temporale ma si possono usare 
anche altri sistemi). Per le pec il problema della data certa non esiste 
in quanto sono firmate dal gestore che certifica anche la data, tanto 
che la pec è uno dei sistemi utilizzabili per dare data certa ad un 
documento.

 La PEC e' una cosa, la firma digitale e' altra cosa.
 
Non è questo il motivo. Anche la pec ha una firma elettronica (del 
gestore). Non è una firma digitale solo per una quisquilia (l'hash) ma 
cambia poco.

 che da valore legale alle tue comunicazioni, agli allegati ed alle relative ricevute andrà definitivamente perso.
 
Questo è un altro discorso ancora. In ogni caso non è quel log che da il 
valore legale.
 

 Ma siamo sicuri ? 
 
No, stupidaggini.

 HA UNA SCADENZA come tutte le firme digitali
 
Le firme, una volta apposte con tutti i crismi, non scadono. Quello che 
scade è il certificato di firma, ma ciò che è stato firmato prima della 
scadenza è valido.
Il problema (che per vari motivi è più teorico che pratico) che dici tu 
si può porre se c'è contestazione (ma l'onere della prova sarebbe di chi 
contesta) sul fatto se sia stato firmato prima o dopo la scadenza del 
certificato ma per la pec neanche si pone teoricamente in quanto anche 
la data è attestata con la firma del gestore.

 In effetti hai ragione : la firma scade dopo tre anni.
 
La firma non scade :-PPPPPPPPPP

 Prendero' il tuo pregiato consiglio come oro colato!
 
Ma buttati pure dalla rupe ;-P, tu e i conservatori a norma che 
affermano di essere necessari :-)

 funzionamento.
 
Non solo, anche chi vende servizi inutili se si ha un minimo di 
organizzazione interna.
 

 temporale prima della scadenza ?
 
Certo che vale (come firma) se apposta regolarmente. Se però devi 
provare la data certa serve qualcosa di altro (non però per la pec).
 


Grazie Max Max. Ti ringrazio davvero.
L'opinione di un legale e' importante.
La tua risposta e' emblematica e ci hai aperto gli occhi.
 
Riassumendo : se la firma del gestore viene apposta
quando il certificato e' ancora valido, tale firma
avra' validita' in qualsiasi tempo (anche a certificato
scaduto).
 
 

 scaduto).
 
Sì.
 

 
 
 
In altre parole : se io certifico una cosa in un dato
momento, tale certificazione sara' sempre accettata
nel futuro.
 
La scadenza qui dibattuta riguarda il rifiuto di
voler certificare (dopo una certa scadenza non certifico piu'),
non la durata di pregresse certificazioni per loro
natura sempre valide in ogni tempo.


la mia affermazione si basava su una lettura di questo:
 
https://www.agid.gov.it/sites/default/files/repository_files/linee_guida/la_conservazione_dei_documenti_informatici.pdf
 
 
 
che per es. a pagina 15 in fondo dice :
 
"La  firma digitale ha una scadenza, è necessario quindi sapere come 
agire per preservare l’autenticità di un documento informatico 
sottoscritto oltre il termine di scadenza del certificato. Per far ciò è 
necessario avvalersi di un riferimento temporale opponibile ai terzi, 
.................
 
 
 
 
Vorrei solo capire se quello che tu affermi, lo dici come"tecnico" o dal 
punto di vista legale.
 
perchè da un alto c'è il buon senso e le questioni tecniche, dall'altro 
c'è la burocrazia insensata dell'Italia
 
 

 che per es. a pagina 15 in fondo dice :
 
 
Il periodo da te stralciato va interpretato alla luce
del periodo che lo precede sempre a pag. 15 e che riporto
qui a stralcio :
"Quindi  assolutamente  necessario  che  il  titolare  del  dispositivo 
di  firma,  prima  di  procedere  alla sottoscrizione del documento, 
verifichi che sulla postazione di sottoscrizione sia attiva una 
connessione  a  internet,  AFFINCHE' IL SOFTWARE DI
FIRMA POSSA ACCERTARE CHE IL CERTIFICATO NON RISULTI REVOCATO".
 
Quindi la locuzione "la firma digitale ha una scadenza" , a mio
parere significa che, "e' l'utilizzo del sistema di firma digitale
a scadere",
non la firma digitale apposta ai tempi della validita' del rispettivo
certificato.

 certificato.
 
 
 
guarda, io ti dico solo questo:
 
- prendi una firma digitale scaduta
 
- sposta la data del tuo pc in modo da tornare indietro fino alla data 
in cui la firma non era scaduta
 
- disattiva la connessione internet
 
- firma un file
 
 
 
avrai un file firmato digitalmente, con un CERTIFICATO SCADUTO, quindi 
LA FIRMA NON E' VALIDA
 
chi controlla quel file non può fare nessun controllo sulla data di 
firma, perchè troverà data e ora da te impostati sul TUO PC quindi ( se 
non pretende la marca temporale) potrebbe pensare che la firma sia valida
 
provare per credere.............
 
 
 
quindi l'unico modo per accertare che la firma digitale sia stata 
davvero apposta durante la sua data di validità , è quello di mettere 
una marca temporale
 
infatti con la marca temporale non puoi fare il giochetto di spostare 
l'ora quando la metti ( e ci mancherebbe!!!)

 l'ora quando la metti ( e ci mancherebbe!!!)
 
nel senso che devi ricordarti di mettere una marca temporale sul file 
prima che il certificato di firma scada
 
solo così puoi provare che la firma sia stata apposta nel suo periodo di 
validità
 
perchè altrimenti è tenicamente POSSIBILE APPORRE UNA FIRMA DIGITALE 
ANCHE CON CERTIFICATO SCADUTO, SPOSTANDO LA DATA DEL PC A PRIMA CHE IL 
CERTIFICATO SCADESSE
 

 provare per credere.............
 
 
HO FATTO LA PROVA DA TE CONSIGLIATA.
Ho spostato l'orologio del pc al 2016
quando non avevo firma digitale.
Ho firmato un file ma il sistema si accorge
che la firma non e' valida poiche' mi
dice che il certificato e' scaduto.
Io utilizzo il programma Dike.
Tu quale software di firma utilizzi ?

 punto di vista legale.
 
Dal punto di vista legale.
La norma prevede che non sia valida la firma digitale apposta con un 
certificato non valido.
In un documento firmato digitalmente si presume però che il certificato 
(a parte le questioni tecniche collegate al decrittare l'hash del 
documento ed all'esame del certificato stesso) sia valido.
Sarà quindi chi contesta la firma a dover provare la sua non validità.
Se pensi che il certificato può non essere valido anche se non scaduto 
temporamente (ad esempio in caso di revoca) ti rendi conto da solo che 
apporre una marca temporale al documento non implica nulla quanto alla 
validità (il certificato di firma potrebbe già non essere valido in 
quanto revocato).
Le linee guida, a parte il loro infimo valore giuridico, scontano  il 
peccato originale di essere elaborate anche con operatori del settore 
che hanno interesse commerciale a spingere certi servizi spesso inutile.
La cd. conservazione a norma ne è un esempio in quanto non c'è alcuna 
necessità di rivolgersi ad un conservatore esterno. Può essere comodo 
(ed in questo caso si paga la comodità) ma non necessario.
 
 

 di  firma,  prima  di  procedere  alla sottoscrizione del documento, 
 
Che non è proprio corretto anche questo. E' chi verifica la firma che ha 
l'onere (non deve) controllare anche le liste di revoca se non vuole 
avere brutte sorprese se il certificato è stato revocato.
Il titolare dovrebbe saperlo, a meno che la revoca potrebbe essere stata 
disposta per altri motivi dal certificatore.

 LA FIRMA NON E' VALIDA
 
Non sarebbe in teoria valida ma in pratica (ed in diritto) soccorrono 
due principi, quello dell'affidamento e quello di autoresponsabilità.
Quindi chi fa affidamento su quella firma è pienamente tutelato ed il 
firmatario non può certo disconoscere la firma per quel motivo 
considerato che stato lui a darne causa.
Altro discorso è se dalla retrodatazione dipendono altri effetti 
giuridici ma questo è regolato dalla data certa (art. 2704 c.c.)
 

 che la firma non e' valida 
 
Dipende da che controlli fa il software che usi ma è possibilissimo 
utilizzare un certificato scaduto


avevo provato sia con dike che aruba
 
devi staccare la connessione internet in modo che non possa verificare 
il certificato
 
però forse ormai ha memorizzato che è scaduto


grazie per le tue spiegazioni
 
ne approfitto per chiarire ancora alcuni dubbi
 
- se la marca temporale viene messa subito dopo la data di firma, di 
fatto le possibilità che il certificato non sia valido o revocato 
dovrebbero essere minime , vero ?( A meno che non sia stato revocato o 
sia scaduto tra la data di firma e quella di apposizione della marca).
 
 
- la "conservazione " a norma, se uno volesse farsela lui, cosa dovrebbe 
fare? Firma digitale + marca temporale + cosa ?
 
Grazie


A mio parere hai ragione tu nn... se non si è provveduto alla conservazione sostituiva non è possibile provare che la firma sia stata apposta quando non era ancora scaduta e quindi la firma digitale apposta non ha alcun valore. 
 
E' sufficiente che in giudizio la controparte ponga l'eccezione in merito perché tu debba provare che la firma sia stata apposta quando non era ancora scaduta e, senza marca temporale, non hai modi di farlo.

 scaduto).
 
Questo è chiaro da sempre, sono i venditori che hanno cercato di far 
confusione e qualcuno gli è andato dietro.
 


tu non puoi provare in nessun modo ( tranne che con la marca temporale) 
che sia stata apposta davvero nel suo periodo di validità

 che sia stata apposta davvero nel suo periodo di validità
 
L'onere di provarlo è di chi lo contesta

 E' sufficiente che in giudizio la controparte ponga l'eccezione in merito perché tu debba provare che la firma sia stata apposta quando non era ancora scaduta e, senza marca temporale, non hai modi di farlo.
No. L'onere è di chi lo contesta
 
 

 fare? Firma digitale + marca temporale + cosa ?
 
Qualsiasi cosa che renda disponibile e controllabile il documento 
informatico in futuro. La marca temporale se vuoi la data certa (ma ci 
sono anche altri modi per averla)
 

 No. L'onere è di chi lo contesta
 
Perdonami, ma non sono d'accordo. Chi contesta deve solo far rilevare che è stata apposta una firma che, al momento dell'apposizione era (o poteva ragionevolmente essere) scaduta quindi non valida... poi devi essere tu a dimostrare che non lo era...

 
 
la cosa è più subdola
 
perchè per mettere una firma con certificato scaduto, devi spostare la 
data. Quindi  la controparte non ha possibilità di contestare ( dovrebbe 
avere dei testimoni o simili che gli dicono "ti ho visto" ecc...o 
trovare dei log sul pc...ecc..)
 
 
c'è però da dire che il 99% dei casi che si potrebbero verificare sono 
il contrario, cioè: è chi ha firmato che di solito ha interesse a dire 
"la firma non è mia"
 
quindi di fatto sarebbe un caso rarissimo quello in cui chi controlla 
dice "la tua firma è falsa". In quali casi potrebbe avere questo vantaggio ?
 

 sono anche altri modi per averla)
 
 
puoi fare degli esempi ?
 
 

 
 
Esatto. Io che ho firmato contesto il documento che tu produci dicendo: la mia firma è stata apposta quando il certificato era scaduto quindi non valido... a quel punto sei tu che devi dimostrare che la mia firma è stata apposta quando il certificato era ancora valido... senza marca temporale come fai?


secondo me non puoi provarlo senza marca temporale
 
però qui diventa una questione legale, non saprei cosa dire
 
perchè  c'è differenza tra queste due cose :
 
- la firma L'HO MESSA IO ma non vale perchè il certificato era scaduto
 
- la firma L'HA MESSA QUALCUN ALTRO a mia insaputa quando il certificato 
era già scaduto e/o io non ne so nulla quella firma non vale
 
il primo caso secondo me equivale ad ammettere la firma
 
il secondo caso non saprei chi deve provare cosa.............magari devi 
provare che qualcuno ti ha preso la firma..non saprei
 
 

 
 
Credo che questo caso non si possa configurare perché la firma è *non* 
*ripudiabile*
 
Ciao.


in che senso ?
 
allora il problema in teoria non si pone...........
 
cioè: la firma digitale non può essere FALSA, ma può solo essere fatta 
con certificato scaduto

 
Nel senso che la firma autografa la puoi disconoscere, cioè sostenere 
che quella firma non è tua, mentre la firma digitale no.
 
Ciao.
 


Se con dike guardi il certificato nel dettaglio ti accorgerai che nella 
voce "utilizzo chiave" è associato il valore "Non ripudio".
 
Ciao

 Perdonami, ma non sono d'accordo. Chi contesta deve solo far rilevare che è stata apposta una firma che, al momento dell'apposizione era (o poteva >ragionevolmente essere) scaduta quindi non valida... poi devi essere tu a dimostrare che non lo era...
 
No, se contesti una firma (si chiama querela di falso) l'onere di 
dimostrarne la falsità è tuo.
Se la contesta chi l'ha messa nel caso di firma digitale non può 
limitarsi a disconoscerla (e far fare l'istanza di verificazione a 
controparte con il relativo onere di prova) per questo motivo per i 
principi di autoresponsabilità ed affidamento
Nel caso di firma digitale il mero disconoscimento (e quindi il 
procedimento di vetificazione) è molto limitato (qualcuno sostiene che 
non sia proprio possibile, per cui occorre la querela di falso con il 
relativo onere probatorio.
 
 
 

 Esatto. Io che ho firmato contesto il documento che tu produci dicendo: la mia firma è stata apposta quando il certificato era scaduto quindi non valido... a >quel punto sei tu che devi dimostrare che la mia firma è stata apposta quando il certificato era ancora valido... senza marca temporale come fai?
 
No, se fai una cosa del genere il giudice ti condanna anche per 
responsabilità processuale aggravata ;-), se non peggio ...
Dovresti fare querela di falso (ma in questo caso l'onere probatorio è 
tuo) ma sostenendo che il certificato scaduto è stato usato da un altro.
 
 

 provare che qualcuno ti ha preso la firma..non saprei
 
Querela di falso con onere della prova a carico di chi contesta. 
Ammissibile ogni mezzo di prova.
 

 con certificato scaduto
 
Certo che può essere falsa ;-)
 

 che quella firma non è tua, mentre la firma digitale no.
 
Lo sostengono molti ma il realtà il disconoscimento è teoricamente 
possibile, solo che la successiva verificazione ad istanza di 
controparte si limita agli aspetti tecnici e quindi se è stato usato il 
vero certificato c'è poco da fare. Quindi è una ipotesi molto residuale.
 
 
 

 puoi fare degli esempi ?
 
Dipende dal documento. Una pec è sufficiente conservarla (con gli 
opportuni accorgimenti) in uno dei formati ammessi ed avere un programma 
sicuro che possa leggerla. Eventualmente conservare il certificato 
pubblico del certificatore (per la verifica della firma) se non fosse 
più disponibile ma considera che è firmato da Agid, quindi dovrebbe 
comunque essere reperibile e controllabile a prescindere.
 

 vero certificato c'è poco da fare. Quindi è una ipotesi molto residuale.
 
Un esempio potrebbe essere firmare un contratto di compravendita 
immobiliare (od altro per cui serve a pena di validità la firma digitale 
qualificata) utilizzando l'hash1 (invece del 256).
In questo caso chi ha messo la firma può disconoscerla e controparte 
perderebbe l'istanza di verificazione.
Il contratto sarebbe nullo ma chi ha causato la nullità potrebbe essere 
obbligato al risarcimento del danno.
 
 

 
 
In generale, ma non per la PA ;)

 
 
 
davvero ?
in che senso ?

 in che senso ?
 
Qualcuno che si fa rilasciare in maniera truffaldina un certificato od altro

 
 
a proposito di controllabilita'....
Quando invio una pec mi viene rilasciato
l'identificativo del messaggio e quant'altro.
 
E' usuale uno specifico recapito web del fornitore
dove, inserendo quell'identificativo, posso
controllare la veridicitia' della pec ?

 controllare la veridicitia' della pec ?
 
No. Con l'id (od altro) puoi risalire ai log ma vengono conservati per 
30 mesi e comunque devi interessare il fornitore.
Ma la veridicità della pec è controllabile già con la firma del gestore 
(per il destinatario dalla pec ricevuta, per il mittente dalla ricevuta 
completa di consegna)