|
E-MAIL CERTIFICATA E REGOLE PRIVACY
GARANTIRE RISERVATEZZA E SICUREZZA
La fiducia nell'uso della PEC si accompagna all'osservanza del Codice Privacy
 Rosario Imperiali
Studio Legale Imperiali
rosario.imperiali@imperiali.com
La posta elettronica rappresenta, per l'attuale società dell'informazione, lo strumento di comunicazione più utilizzato. L'immediatezza dell'invio dell'e-mail e la versatilità della stessa, che può contenere oltre al testo, anche immagini, audio, video e qualunque altro tipo di file, hanno contribuito alla sua capillare diffusione, non solo nel settore lavorativo, ma anche tra i privati.
LA PEC
La posta elettronica certificata (PEC) è un sistema di posta elettronica col quale è fornita al mittente una documentazione elettronica, con valenza legale, attestante l'invio e la consegna di documenti informatici. "Certificare" l'invio e la ricezione significa, infatti, fornire al mittente, a cura del proprio gestore di posta, una ricevuta che costituisce prova legale dell'avvenuta spedizione del messaggio e dell'eventuale allegata documentazione. Allo stesso modo, quando il messaggio perviene al destinatario, il gestore invia al mittente la ricevuta di avvenuta o mancata consegna con precisa indicazione temporale. Nel caso in cui il mittente smarrisca le ricevute, la traccia informatica delle operazioni svolte è conservata per un periodo di tempo definito a cura dei gestori, con lo stesso valore giuridico delle ricevute. Sostanzialmente, quindi, la posta elettronica certificata appare analoga alla raccomandata con avviso di ricevimento.
La fase di sperimentazione
La prima sperimentazione sul servizio di PEC è iniziata nel 2002, a cura del Centro Tecnico per la Rupa (Rete Unitaria Pubblica Amministrazione), ed è proseguita a cura del CNIPA (Centro Nazionale per l'Informatica nella Pubblica Amministrazione). Le attività sperimentali hanno coinvolto numerosi soggetti, sia pubblici che privati, ritenuti idonei a gestire il servizio di posta elettronica certificata. Obiettivo di tale fase era quello di verificare l'interoperabilità tra i diversi gestori o, in altri termini, assicurare che al momento della ricezione del messaggio di posta certificata, il gestore ricevente fosse in grado di emettere una ricevuta di presa in carico nei confronti del gestore mittente. In questo scenario, in vista del varo di una normativa ad hoc, a fine 2004 il CNIPA ha scelto di "concludere" la sperimentazione.
La normativa di riferimento
Il 28 gennaio scorso, il Consiglio dei Ministri, su proposta del Ministro per l'Innovazione e le Tecnologie, di concerto con quello per la Funzione Pubblica, sentito anche il parere del Garante per la protezione dei dati personali, concludendo un lungo iter normativo, ha approvato in via definitiva un decreto che intende disciplinare le modalità di utilizzo della PEC, sia nei rapporti con la PA, sia tra privati cittadini. Il decreto, in particolare, stabilisce le caratteristiche e le modalità per l'erogazione e la fruizione di servizi di trasmissione di documenti informatici mediante posta elettronica. Di seguito, sono segnalate le principali novità legate all'introduzione di tale servizio.
Certificare invio e ricezione
Secondo quanto si legge nel citato regolamento, nella catena di trasmissione potranno scambiarsi e-mail certificate sia i privati, sia le Pubbliche Amministrazioni. Spetta ai gestori del servizio, iscritti in un apposito elenco tenuto dal CNIPA, fare da garanti dell'avvenuta o mancata consegna, con indicazione di data e orario, a prescindere dalla apertura del messaggio. Inoltre, il gestore del destinatario, insieme alla ricevuta di consegna, può anche inviare al mittente la copia completa del testo del messaggio.
Sicurezza nelle trasmissioni
Per garantire la sicurezza delle trasmissioni, presso ogni gestore di posta elettronica è istituito un registro informatico delle operazioni relative alle trasmissioni effettuate con posta elettronica certificata (cosiddetto Log dei messaggi). Su tale registro i gestori mantengono traccia delle fasi di trasmissione del messaggio di posta elettronica certificata. In ogni caso, i gestori devono prevedere l'esistenza di servizi di emergenza che assicurino il completamento della trasmissione e il rilascio delle ricevute.
Tempi di conservazione delle e-mail
Per quanto concerne i tempi di conservazione, il regolamento stabilisce che la traccia informatica delle operazioni svolte, con lo stesso valore giuridico delle ricevute, debba essere conservata per 30 mesi.
Elenco dei gestori
I requisiti richiesti per iscriversi all'elenco dei gestori sono numerosi. Tra gli altri, possiamo segnalare il possesso di un capitale sociale minimo non inferiore a un milione di euro, la dichiarazione di conformità del proprio sistema alle norme ISO 9000 e successive evoluzioni, la stipulazione di una polizza assicurativa contro i rischi derivanti dall'attività. Trascorsi novanta giorni dalla presentazione della domanda d'iscrizione, la stessa si considera accolta qualora il CNIPA non abbia comunicato il proprio diniego (secondo il criterio del silenzio assenso). Il procedimento di iscrizione è, invece, sospeso nei confronti dei soggetti per i quali risultano pendenti procedimenti penali per delitti in danno di sistemi informatici e telematici.
Firma digitale e altre cautele
Infine, tutti i messaggi devono essere sottoscritti con firma digitale da apporre sia sulla busta, sia sulle ricevute rilasciate dai gestori, allo scopo di assicurare l'integrità e l'autenticità del messaggio. I gestori sono, inoltre, tenuti a verificare l'eventuale presenza di virus nelle e-mail e a informare in caso positivo il mittente, bloccando la trasmissione del messaggio. Una precisazione sul punto appare doverosa. La firma digitale apposta sulla PEC non deve essere confusa con quella che va inserita sul documento informatico, la prima attesta l'invio e il ricevimento del messaggio, la seconda la paternità e attribuibilità dell'atto al suo autore. La PEC, chiaramente, può avere ad oggetto anche documenti informatici che non sono stati sottoscritti con firma digitale. Nei rapporti commerciali tra imprese, le stesse possono dichiarare l'esplicita volontà di accettare l'invio di PEC facendone espressa indicazione nell'atto di iscrizione delle imprese.
Implicazioni privacy
Alla luce delle regole esposte per l'utilizzo della posta elettronica certificata, appaiono evidenti le implicazioni di tale strumento con le regole e i principi sanciti nella normativa privacy vigente (D.Lgs. 196/2003 cosiddetto Codice Privacy e, soprattutto, il Disciplinare Tecnico allegato "B" al suddetto codice dedicato all'applicazione delle misure di sicurezza). A ben vedere, la diffusione della PEC e la fiducia degli utenti nel corretto utilizzo di tale strumento sono proporzionali al rispetto delle disposizioni privacy in materia di sicurezza nella trasmissione dei messaggi, nella raccolta e conservazione dei dati e nella sicurezza dei sistemi informatici. L'art. 11 del decreto sull'e-mail certificata afferma, infatti, espressamente che i gestori devono adottare le opportune soluzioni tecniche e organizzative per garantire la riservatezza, la sicurezza, l'integrità e l'inalterabilità nel tempo delle informazioni. Occorre, pertanto, assicurare la riservatezza e la sicurezza nella trasmissione dei messaggi di posta elettronica, utilizzare sistemi informatici che siano al riparo dall'attacco di virus informatici, ridurre al minimo il rischio di perdita, anche accidentale, o distruzione delle informazioni raccolte o trasmesse o di accesso non autorizzato ai dati. Inoltre, è opportuno segnalare che, gli "aspiranti" gestori della PEC - tra gli altri requisiti richiesti per l'iscrizione nell'apposito registro - devono dimostrare:
- l'affidabilità organizzativa e tecnica per svolgere il servizio;
- l'impiego di personale dotato delle conoscenze specifiche, delle esperienze e delle competenze necessarie per i servizi forniti, con particolare riferimento alla dimestichezza con procedure di sicurezza appropriate;
- l'adozione di adeguate misure per garantire l'integrità e la sicurezza del servizio di posta elettronica certificata.
Le nuove regole tecniche saranno oggetto di un Decreto del Presidente del Consiglio (DPCM), conseguente alla pubblicazione in G.U. del DPR e conterranno tutti i requisiti tecnico-funzionali che devono essere rispettati per erogare il servizio di posta elettronica certificata. |
