L'amministrazione digitale e il bug legale

La digitalizzazione è l'ultima frontiera della pubblica amministrazione in quanto a rapporto col cittadino. Tutto bene, se non fosse che vi è un piccolo problema: il tempo.

Un detto recita: il tempo è tiranno. Questa affermazione sembra calzare a pennello per ciò che riguarda PEC, firma digitale e qualunque altro documento elettronico che fondi la sua legalità sulla gestione crittografica delle chiavi. Ripercorrendo la volontà delle nostre istituzioni in tema di informatizzazione della pubblica amministrazione, si nota come tutto ciò che riguarda il valore legale di un documento digitale si fondi su una caratteristica ben nota agli addetti ai lavori e precisamente l'attribuzione della data certa. Questa caratteristica è fondamentale, in quanto solo dopo aver collocato nel tempo un qualunque documento giuridico esso assume valore legale.
Oggi affermazioni di autorevoli ministri sostengono che l'utilizzo della PEC o di un documento firmato digitalmente equivalga, per fini legali, all'equivalente documento cartaceo. Ciò è vero, ma solo limitatamente nel tempo. La marcatura temporale (o time stamping o data certa) di un documento è la procedura informatica che permette a l'utente di apporre, attraverso un ente certificatore, la data e l'ora di creazione di un documento digitale. La data e ora di generazione della marca è elaborata da un ente certificatore legalmente autorizzato e che possiede un sistema che ne garantisce l'affidabilità e universalità temporale secondo la legge. Fin qui non vi sarebbero problemi, se non fosse per due questioni. La prima riguarda i requisiti minimi che la legge impone per la robustezza delle chiavi di certificazione, che è attualmente di almeno 1024 bit; la seconda è legata alla durata dell'iter burocratico che avvolge il nostro sistema giudiziario.
Adottare chiavi di certificazione con robustezza pari a 1024 bit significa far sì che il valore legale di quelle chiavi sia relativamente breve. I certificati digitali vanno rinnovati periodicamente: questa prassi è legata al fatto che la robustezza di una chiave di certificazione, per quanto elevata, possa essere sempre violata nel tempo. I fattori che permettono di stimare quanto sicura sia una chiave sono legate alla dimensione della chiave all'algoritmo con cui essa è ottenuta e infine al probabilità che nel tempo essa possa essere compromessa. Attualmente per chiavi di 1024 bit si calcola una stima di circa tre anni, dopo di che quella chiave va cambiata, in quanto non più attendibile. Il problema, come si comprende, è per quanto tempo avrà valore legale un documento firmato digitalmente. Col cartaceo un documento cui si accertava la data rimaneva tale anche attraverso decenni; ciò, con le attuali condizioni di criptazione imposte dalla legge, non è possibile da replicare. Ecco quindi nascere il paradosso per cui un documento cartaceo a cui viene apposta la data certa resta valido legalmente nel tempo, invece uno firmato digitalmente no. Con i tempi spesso biblici della giustizia potrebbe accadere che un documento cui è stata apposta una firma digitale, e quindi una data certa di creazione, possa non avere valore all'atto del giudizio, in quanto la chiave con cui è stato certificato è nel mentre decaduta, e con essa anche il valore legale del documento.

Fonte: Zeusnews - Autore: Sebastiano Amato

Il Tar: sì alla mail nei concorsi

Una mail priva di firma digitale può essere considerata alla pari di un’autocertificazione. Una sentenza del Tribunale amministrativo di Pescara sdogana e riqualifica il servizio di posta elettronica. I giudici dribblano la forma e puntano alla sostanza, infliggendo di fatto un colpo alla burocrazia.

Pescara. Il casus belli riguarda la graduatoria relativa alla copertura di un posto di dirigente dell’area amministrativa ed economico-finanziaria della Provincia, approvata con atto del 13 febbraio scorso dal direttore generale dell’Ente. Un candidato ne aveva chiesto l’annullamento, ritenendo di essere stato penalizzato da quella mail, ma i giudici amministrativi gli hanno dato torto.Il concorso risale a un anno fa. Dietro i candidati che occupano i primi due posti, si piazza un terzetto che ottiene lo stesso punteggio. A quel punto, per formulare la graduatoria finale, si rende necessario produrre i titoli di preferenza entro il termine perentorio di cinque giorni. Una dei concorrenti, lo stesso giorno in cui riceve la comunicazione - è la vigilia di Natale 2008 - invia una mail con il titolo di preferenza di figlia di invalido di guerra, riservandosi di spedire il relativo attestato. L’a utodichiarazione viene mandata via fax il 21 gennaio successivo. A quel punto, il direttore generale - siamo al 13 febbraio - formula la graduatoria finale e ritiene valido il titolo di preferenza inviato dalla concorrente «essendo», scrive il Tar, «la medesima sostanzialmente in possesso del titolo».La candidata ottiene così il terzo posto in graduatoria, mentre gli altri due avversari con identico punteggio scivolano al 4º e 5º posto. Di qui, il ricorso per violazione del termine perentorio di 5 giorni stabilito dall’articolo 11 dell’avviso pubblico del concorso per inviare i titoli di preferenza. Secondo il candidato penalizzato, una mail priva di firma digitale e non proveniente da un indirizzo di posta certificata e, comunque, senza neppure l’a llegazione di copia del titolo, non è da considerarsi valida ai fini del rispetto del termine perentorio stabilito dal bando, né la mail può essere considerata “autocertificazione” sostitutiva, in quanto l’effettiva autocertificazione è stata poi inviata, ma oltre il termine.
La Provincia, che si è costituita in giudizio assistita dall’a vvocato Giulio Cerceo, ha replicato con una memoria in cui chiedeva che il ricorso fosse respinto, essendo consentita anche nei concorsi pubblici la regolarizzazione prevista dalla legge 241/90. La quale prevede, a carico del responsabile del procedimento, di «accertare d’ufficio i fatti, disporre il compimento degli atti all’ uopo necessari, e adottare ogni misura per l’adeguato e sollecito svolgimento dell’istruttoria». In particolare, «può chiedere il rilascio di dichiarazioni e la rettifica di dichiarazioni o istanze erronee o incomplete, può esperire accertamenti tecnici e ispezioni e ordinare esibizioni documentali». Il Tar, però, ha respinto il ricorso e considerato valida la mail spedita dalla funzionaria. Sostengono, infatti, i giudici: «La mail tempestivamente inviata dalla ricorrente menzionava espressamente il titolo di preferenza di cui era in possesso e, quindi, costituiva pur sempre un principio di prova della sua effettività, senz’altro incompleto ma, da quanto dedotto nel ricorso, niente affatto inesistente o del tutto inidoneo allo scopo, dal momento che ciò che mancava era l’a llegazione di una copia del titolo stesso o della sua autocertificazione sostitutiva». Un’interpretazione estensiva della procedura concorsuale che ha reso la mail equivalente a una comunicazione scritta.

Fonte: Il Centro - Autore: Gianpaolo Coppola

PEC: comunicare è diverso da firmare…e l’identità è una cosa seria.

Riporto di seguito un articolo molto interessante scritto da Guido Scorza inerente l'utilizzo della PEC.

In un bell’articolo su Punto Informatico di questa mattina Andrea e Luigi nel ripercorrere (ce n’era davvero bisogno!) l’interminabile sequenza di interventi normativi che negli ultimi mesi hanno avuto ad oggetto la posta elettronica certificata, affrontano anche una questione che a me pare fondamentale e sulla quale non c’è spazio per ignoranza, incompetenza o interessi di parte. Si tratta della della previsione contenuta al comma 28 dell’art. 17 del Decreto Legge anticrisi in forza della quale l’autore di una comunicazione o istanza alla pubblica amministrazione potrebbe essere identificato oltre che attraverso la firma digitale, la carta d’identità elettronica o la carta nazionale dei servizi ANCHE “attraverso le credenziali di accesso relative all’utenza personale di posta elettronica certificata”.
Qui il legislatore ha preso una cantonata tecnica e giuridica alla quale è urgente porre rimedio senza ritardo. Andrea e Luigi, nel loro articolo, già segnalano come comunicare qualcosa sia diverso dal firmare qualcosa.
Nessun dubbio al riguardo: trasmettere non è attribuirsi la paternità di un contenuto né nel mondo degli atomi né naturalmente in quello dei bit. Personalmente, peraltro, sono convinto - ed in questo dissento da Andrea e Luigi - che in nessun caso una comunicazione inoltrata attraverso posta elettronica (certificata o non che sia) - possa considerarsi sottoscritta digitalmente. Credo, tuttavia, ci sia di più. Il DPCM del 6 maggio contenente le disposizioni in materia di rilascio e uso della casella di posta elettronica certificata assegnata ai cittadini, infatti, al comma 4 dell’art. 4 prevede che “l’invio tramite PEC costituisce sottoscrizione elettronica ai sensi dell’art. 21, comma 1 del decreto legislativo n. 82 del 2005″ (il Codice dell’amministrazione digitale). Tale previsione, tuttavia, come è ben noto (a tutti o quasi!), stabilisce che “Il documento informatico, cui è apposta una firma elettronica, sul piano probatorio è liberamente valutabile in giudizio, tenuto conto delle sue caratteristiche oggettive di qualità, sicurezza, integrità e immodificabilità”. E’ il giudice, dunque, di volta in volta, a decidere quale efficacia probatoria attribuire ad un documento informatico sottoscritto elettronicamente e ciò a differenza di quanto accade allorquando il documento è sottoscritto digitalmente. In tale secondo caso, infatti, il secondo comma dello stesso art. 21 prevede che ” Il documento informatico, sottoscritto con firma digitale o con un altro tipo di firma elettronica qualificata, ha l’efficacia prevista dall’articolo 2702 del codice civile. L’utilizzo del dispositivo di firma si presume riconducibile al titolare, salvo che questi dia prova contraria”.
Una bella differenza! Tanto chiarito, l’incompetenza del nostro legislatore credo risulti palese.

Con l’intervento contenuto al comma 28 dell’art. 17 del DL anticrisi, infatti, gli uomini del Ministro Brunetta (o chi per loro) hanno sostanzialmente stabilito che nei rapporti con la PA, ai fini dell’identificazione del sottoscrittore di un’istanza, non c’è nessuna differenza tra l’utilizzo di una firma digitale o, piuttosto, l’uso di una firma elettronica c.d. debole relativa, per di più, al contenitore e non al contenuto!
Per convincersene basta leggere il testo integrale dell’art. 65 del CAD come modificato dal recente intervento:
65. Istanze e dichiarazioni presentate alle pubbliche amministrazioni per via telematica.
1. Le istanze e le dichiarazioni presentate alle pubbliche amministrazioni per via telematica ai sensi dell’articolo 38, commi 1 e 3, del decreto del Presidente della Repubblica 28 dicembre 2000, n. 445, sono valide:
a) se sottoscritte mediante la firma digitale, il cui certificato è rilasciato da un certificatore accreditato;
b) ovvero, quando l’autore è identificato dal sistema informatico con l’uso della carta d’identità elettronica o della carta nazionale dei servizi, nei limiti di quanto stabilito da ciascuna amministrazione ai sensi della normativa vigente;
c) ovvero quando l’autore è identificato dal sistema informatico con i diversi strumenti di cui all’articolo 64, comma 2, nei limiti di quanto stabilito da ciascuna amministrazione ai sensi della normativa vigente e fermo restando il disposto dell’articolo 64, comma 3;
c-bis) ovvero quando l’autore è identificato dal sistema informatico attraverso le credenziali di accesso relative all’utenza personale di posta elettronica certificata di cui all’articolo 16-bis del decreto-legge 29 novembre 2008, n. 185, convertito con modificazioni, dalla legge 28 gennaio 2009, n. 2 .

Credo sia abbastanza per rimandare almeno a settembre il legislatore con la speranza che si presenti più preparato. Ma c’è ancora di più perché con il suo ultimo intervento il Governo ha addirittura ricollegato l’identificazione del cittadino non già semplicemente alla circostanza che l’istanza pervenga alla PA attraverso un certo indirizzo di posta elettronica certificata - il che, appunto, è un’eresia in ragione dell’ovvia differenza tra comunicare e sottoscrivere - ma addirittura che l’identificazione avvenga “attraverso le credenziali di accesso relative all’utenza personale di posta elettronica certificata”. A prescindere dal fatto che scritta così la norma suona esattamente come dire che l’identità di un individuo ai fini dei rapporti con la PA può essere accertata attraverso la tessera di un qualsiasi videoclub, di un’associazione sportiva di un circolo del tennis…dove e come il Governo pensa di acquisire i dati relativi alle credenziali di accesso all’utenza PEC di tutti i cittadini?

Fonte: www.guidoscorza.it - Autore: Avv. Guido Scorza riprendendo un articolo di Punto Informatico