I punti chiave da tenere presenti per comprendere la firma elettronica
- La firma elettronica si applica alle persone fisiche e in questo si differenzia dal timbro elettronico, che riguarda le persone giuridiche.
- Ai sensi del regolamento eIDAS, esistono quattro livelli di firma elettronica: semplice, avanzata, avanzata con certificato qualificato e qualificata.
- Solo la firma qualificata gode della presunzione di affidabilità.
- La scelta si basa su un’analisi dei rischi: obblighi normativi, probabilità di contenzioso, gravità della posta in gioco
- La marcatura temporale qualificata rafforza il valore probatorio delle firme non qualificate.
Che cos’è la firma elettronica?
Per firma elettronica si intende una procedura tecnica che consentedi identificare il firmatario di un documento in formato digitale e di garantire l'integrità del suo contenuto. A differenza di una firma autografa, essa utilizza meccanismi crittografici per collegare il firmatario al documento in modo verificabile.
Funzionamento tecnico
Il principio si basa sulla crittografia asimmetrica: viene generata una coppia di chiavi (pubblica e privata). La chiave privata, conservata dal firmatario, serve a creare la firma. La chiave pubblica consente di verificarne l’autenticità. Viene generato un hash unico del documento (impronta o «hash»), che viene poi crittografato con la chiave privata. Qualsiasi modifica successiva al documento invalida automaticamente la firma.
I 4 livelli della firma elettronica
Il regolamento europeo eIDAS (UE 910/2014)[2] definisce quattro livelli distinti di firma elettronica, ciascuno dei quali corrisponde a requisiti tecnici e garanzie probatorie differenti:
- la firma elettronica semplice;
- la firma elettronica avanzata;
- la firma elettronica avanzata con certificato qualificato;
- la firma qualificata.
Prima di approfondire ciascun livello, è necessario comprendere un principio giuridico fondamentale: non tutti i livelli hanno lo stesso valore probatorio. Tale differenza si basa sull’onere della prova in caso di controversia.
Solo la firma qualificata gode della presunzione di affidabilità: spetta alla parte che contesta la firma dimostrarne l’invalidità. Per gli altri tre livelli, vale il contrario: chi invoca la firma deve dimostrarne la validità. Questa distinzione spiega perché alcune firme vengono respinte dai giudici.
| Livello | Semplice | Progresso | Operazione avanzata con certificato qualificato | Qualificata |
| Qualifica | Base | Standard | Livello intermedio | Massima |
| Definizione | Casella di selezione, indirizzo e-mail, scansione della firma autografa | Soddisfa i 4 requisiti previsti dall’eIDAS: è associata in modo univoco al firmatario, ne consente l’identificazione, è stata creata sotto il suo esclusivo controllo e rileva qualsiasi modifica | Firma avanzata + certificato rilasciato da un PSCo (Fornitore di servizi di fiducia qualificato) | Equivalente a una firma autografa (art. 25 eIDAS) |
| Autenticazione | Basso | Rafforzata: autenticazione a due fattori | Elevata (verifica rigorosa dell’identità) | Forte (PSCo) |
| Certificato qualificato | No | No | Sì | Sì |
| QSCD (Dispositivo per la creazione di firme qualificate) | No | No | No | Sì |
| Presunzione di validità | No | No | No (confermato da un timbro temporale qualificato) | Sì |
| Onere della prova | Sul veicolo di trasporto | Sul veicolo di trasporto | Sul supporto (autenticata tramite marcatura temporale qualificata) | Sul contestatore |
| Casi d'uso | Moduli, documenti interni | Contratti B2B, risorse umane, ordini di acquisto, condizioni generali di utilizzo | Gare d’appalto, INPI (obbligatorio) | Appalti pubblici, atti notarili, condizioni generali d’uso (CGU) di grande rilevanza |
Valore giuridico e limiti probatori della firma elettronica
I recenti requisiti giurisprudenziali
Il primo semestre del 2025 ha segnato una svolta. Diverse corti d’appello hanno dichiarato nulle alcune firme elettroniche, anche quelle qualificate, a causa dell’insufficienza del materiale probatorio:
- Tribunale di Rouen (10/04/2025)[3]: file non utilizzabile;
- Corte d’Appello di Parigi (03/04/2025)[4]: l’indicazione «firmato elettronicamente» è insufficiente;
- Tribunale di Douai (27/03/2025)[5]: impossibilità di identificare il firmatario;
- Tribunale di primo grado di Riom (19/03/2025)[6]: mancanza di prove di integrità;
- Tribunale di Versailles e di Parigi (aprile e maggio 2025)[7]: documentazione troppo complessa.
La mancanza di una chiara spiegazione dei metodi di autenticazione, convalida o tracciabilità può quindi comportare il rifiuto in toto della prova, anche nel caso di una firma qualificata.
I tre pilastri esaminati dai giudici
Indipendentemente dal livello di firma, i tribunali verificano sistematicamente tre elementi:
- L'identità del firmatario: i mezzi tecnici consentono di identificarlo in modo inequivocabile? Il processo di autenticazione è documentato? Le tracce di connessione sono utilizzabili e provviste di data e ora?
- l'integrità del documento: è possibile dimostrare che non sia stato modificato dopo la firma? I meccanismi crittografici (impronta digitale, firma digitale) sono stati chiaramente indicati? Esiste un timbro temporale che consenta di datare la firma con certezza?
- l'affidabilità del processo: il fascicolo probatorio è comprensibile per un non esperto? Le fasi sono tracciabili? Il fornitore del servizio ha prodotto un file di audit strutturato accessibile al magistrato?
Rafforzare il valore probatorio di una firma elettronica
Per le firme non qualificate (semplice, avanzata, avanzata con certificato qualificato), diversi meccanismi compensano l’assenza di presunzione legale e soddisfano i requisiti giurisprudenziali più rigorosi.
L'importanza della marcatura temporale qualificata: attribuire una data certa al documento
Come definito agli articoli 41 e 42 del regolamento eIDAS,il timbro temporale qualificato associa a un file digitale una data e un’ora giuridicamente riconosciute. Tale token di marcatura temporale, rilasciato da un fornitore di servizi di fiducia qualificato, garantisce che il documento non sia stato modificato dopo l’apposizione di tale data.
In pratica, la marcatura temporale attribuisce una data certa al documento firmato e risponde direttamente alrequisito di integrità esaminato dai giudici nelle sentenze del 2025. Quando una firma avanzata (sia essa semplice, avanzata o avanzata con certificato qualificato – cfr. tabella comparativa sopra) è abbinata a un timbro temporale qualificato, acquista un significativo valore probatorio senza richiedere il ricorso a una firma qualificata, più costosa e più complessa da implementare.
Il timbro elettronico del fornitore del servizio per sigillare il fascicolo probatorio
Il timbro elettronico del fornitore di servizi o della piattaforma di fiducia digitale (come Evidency) sigilla l’intero fascicolo probatorio. Esso autentica l’origine professionale del fascicolo probatorio e garantisce che gli elementi presentati al giudice (file di audit, certificati, tracce tecniche, marcature temporali) non siano stati successivamente alterati.
Costituzione di un fascicolo probatorio strutturato
Un fascicolo probatorio ammissibile deve contenere:
- un file di audit con indicazione della data e dell'ora che descrive in dettaglio ogni fase del processo di firma,
- una documentazione accessibile anche a chi non è esperto di tecnologia, che illustri i meccanismi di autenticazione e di convalida,
- prove di autenticazione utilizzabili,
- e in formati leggibili (PDF annotati, tabelle riassuntive).
I file tecnici grezzi (log del server, file XML non formattati) privi di documentazione di accompagnamento vengono molto spesso respinti dai tribunali, come hanno dimostrato le sentenze di Rouen e Versailles del 2025.
Il fascicolo così costituito potrà, in alcuni casi, essere sigillato con un timbro elettronico al fine di rafforzarne il valore probatorio.
Come scegliere il giusto livello di firma elettronica?
La scelta del livello di firma non deve essere arbitraria. Essa si basa su un’analisi degli obblighi normativi, unitamente a una valutazione del rischio di contenzioso e della gravità delle conseguenze in caso di invalidazione.
Individuare gli obblighi normativi
Alcuni casi d’uso richiedono un livello minimo di firma elettronica. Il decreto del 22 marzo 2019 relativo alla firma elettronica negli appalti pubblici [8] richiede una firma avanzata basata su un certificato qualificato per le risposte ai bandi di gara. Al di sopra delle soglie europee (diversi milioni di euro a seconda della natura dell’appalto), è generalmente richiesta una firma qualificata.
I depositi normativi presso le autorità di regolamentazione (AMF per i mercati finanziari, ACPR per le banche e le assicurazioni, HAS per le strutture sanitarie) richiedono nella maggior parte dei casi una firma qualificata. L’INPI accetta una firma avanzata con certificato qualificato per i depositi di marchi, brevetti e disegni e modelli.
Valutare il rischio in base al contesto
Al di là degli obblighi normativi, la scelta dipende da tre parametri: l’importo dell’impegno, la durata contrattuale e il settore di attività. Quanto maggiore è il rischio di contestazione e quanto più significativi sono i potenziali impatti, tanto più è consigliabile un livello di firma elevato.
- Esempio 1 - Rischio basso: un documento interno delle risorse umane senza implicazioni patrimoniali (attestato di presenza, richiesta di ferie) che coinvolge un dipendente di fiducia. Il rischio di contenzioso è trascurabile e le ripercussioni sono limitate. In questo contesto è sufficiente una firma semplice.
- Esempio 2 - Rischio medio: un contratto commerciale B2B del valore di 15.000 euro con un cliente di lunga data in un settore poco soggetto a contenziosi (forniture per ufficio, servizi intellettuali). Il rapporto è consolidato. Tuttavia, l’importo giustifica l’adozione di misure di sicurezza. Una firma avanzata abbinata alla marcatura temporale qualificata garantisce una protezione adeguata senza costi aggiuntivi eccessivi.
- Esempio 3 - Rischio elevato: un contratto di prestito bancario di 200.000 euro della durata di 20 anni. Il settore bancario è particolarmente soggetto a contenziosi (tutte le sentenze del 2025 citate riguardano questo ambito), l’importo è significativo e la durata è lunga. La firma qualificata è indispensabile per beneficiare dell’inversione dell’onere della prova e ridurre al minimo i rischi di contestazione successiva.
Per i documenti di grande rilevanza firmati con una firma non qualificata, si raccomanda vivamente di ricorrere alla marcatura temporale qualificata e alla creazione di un fascicolo probatorio strutturato e sigillato. Tale procedura consente di avvicinarsi al valore probatorio di una firma qualificata, contenendo al contempo i costi.
Come posso ottenere un certificato di firma elettronica?
Il certificato di firma elettronica si ottiene presso un fornitore di servizi di fiducia (PSCo) qualificato, iscritto nell'elenco dell'ANSSI consultabile sul sito cyber.gouv.fr.
I documenti richiesti variano a seconda del livello di firma:
- Per una persona fisica, un documento d’identità in corso di validità e un documento recente che attesti la residenza.
- Per ottenere un certificato qualificato, è necessaria una verifica rigorosa dell'identità (verifica di persona o videoidentificazione certificata).
- Per una persona giuridica, un estratto Kbis risalente a meno di tre mesi, lo statuto aggiornato e la delega del firmatario autorizzato. Quest'ultimo documento indica la delega formale che attesta che il firmatario dispone dell'autorità legale per vincolare la società (mandato, delibera del consiglio di amministrazione, procura autenticata da un notaio, a seconda dei casi).
Il processo si articola nelle seguenti fasi:
- richiesta al fornitore del servizio,
- verifica dell'identità,
- generazione della coppia di chiavi crittografiche,
- rilascio del certificato (validità da uno a tre anni)
- e il montaggio sul supporto prescelto.
I tempi di elaborazione variano da poche ore per una firma avanzata a cinque-dieci giorni lavorativi per una firma qualificata.
Il documento rimane consultabile in modalità di sola lettura nel sistema di gestione documentale (GED) per le esigenze quotidiane, ma la sua versione ufficiale e inalterabile si trova nel sistema di archiviazione elettronica (SAE).
Firma elettronica e valore probatorio: garantire la validità probatoria nel tempo
Il valore giuridico della firma elettronica dipende direttamente dal livello scelto e dalla qualità dell’attuazione del fascicolo probatorio. La giurisprudenza del primo semestre del 2025 ha ribadito una verità spesso trascurata: disporre di una firma elettronica, anche qualificata, non è sufficiente. Il fascicolo probatorio deve essere strutturato, leggibile e completo per reggere a un’impugnazione in sede giudiziaria.
La scelta del livello di firma si basa su un’analisi dei rischi che tiene conto degli obblighi normativi, della probabilità e della gravità di un contenzioso. Questo approccio metodico consentedi adeguare il livello di certezza giuridica alle effettive esigenze di ciascun documento, senza sovradimensionare né sottodimensionare la protezione. Per le firme non qualificate (semplice, avanzata, avanzata con certificato qualificato), la marcatura temporale qualificata e il timbro elettronico rafforzano in modo significativo il valore probatorio e soddisfano i requisiti giurisprudenziali più rigorosi.
Evidency affianca le aziende in questo percorso di garanzia probatoria, proponendo soluzioni di marcatura temporale qualificata e di timbro elettronico integrabili nei vostri processi di firma esistenti.
Riferimenti
[1] Tali sentenze sono illustrate più avanti nell’articolo, nel paragrafo dedicato ai recenti orientamenti giurisprudenziali.
[2] Regolamento (UE) n. 910/2014 del 23 luglio 2014 sull’identificazione elettronica e sui servizi di fiducia per le transazioni elettroniche nel mercato interno (eIDAS): https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=celex%3A32014R0910 – Aggiornato dal regolamento (UE) n. 2024/1183 dell’11 aprile 2024 che modifica il regolamento (UE) n. 910/2014 per quanto riguarda l’istituzione del quadro europeo relativo all’identità digitale (eIDAS 2): https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=OJ:L_202401183
[3] Corte d’Appello di Rouen, 10 aprile 2025, n. di registro 24/01774
[4] Corte d’Appello di Parigi, 3 aprile 2025, n. di registro 23/19316
[5] Corte d’Appello di Douai, 27 marzo 2025, RG n. 22/05040 e RG n. 22/05041
[6] Corte d’Appello di Riom, 19 marzo 2025, RG n. 24/00497
[7] Corte d’Appello di Versailles, 29 aprile 2025, RG n. 24/04372; Corte d’Appello di Parigi, 15 maggio 2025, RG n. 24/02375
[8] Decreto del 22 marzo 2019 relativo alla firma elettronica dei contratti di appalto pubblico: https://www.legifrance.gouv.fr/loda/id/JORFTEXT000038318621
Esonero di responsabilità
Le opinioni, le presentazioni, le cifre e le stime presentate sul sito web, compreso il blog, sono solo a scopo informativo e non devono essere considerate come consulenza legale. Per una consulenza legale, deve contattare un professionista del settore nella sua giurisdizione.
L'uso del contenuto di questo sito web, compreso il blog, per scopi commerciali, inclusa la rivendita, è vietato senza il previo consenso di Evidency. La richiesta di autorizzazione deve specificare lo scopo e la portata della riproduzione. Per scopi non commerciali, tutto il materiale di questa pubblicazione può essere citato o ristampato liberamente, ma è necessario un riconoscimento e un link a questo sito web.
