Raccomandata digitale via WhatsApp: vale davvero come una PEC? Differenze tra REM, SERC e SERCQ | IlSoftware.it

• Diritto
• Howto

Una raccomandata digitale inviata via WhatsApp può sostituire la PEC? Un SMS può provare che una comunicazione è stata ricevuta? Che differenza c’è tra PEC, REM, SERC e SERC qualificato? E soprattutto: quale strumento bisogna usare quando è necessario dimostrare con certezza chi ha inviato un documento, chi lo ha ricevuto e quale fosse esattamente il suo contenuto?

Sono domande sempre più frequenti, anche perché il mercato propone con sempre maggiore frequenza servizi capaci di inviare comunicazioni “certificate” tramite email, SMS e applicazioni di messaggistica, promettendo ricevute, marche temporali, firme elettroniche e numerose “prove legali“. Il rischio è confondere strumenti molto diversi.

Una PEC certifica determinati eventi. Una firma digitale ne certifica altri. Una marca temporale prova il momento in cui esisteva un documento. Un SERC (Servizio Elettronico di Recapito Certificato) documenta il recapito elettronico. Un SERC qualificato aggiunge requisiti e presunzioni previsti dal Regolamento eIDAS. WhatsApp, invece, rimane soltanto un canale, a meno che non sia inserito all’interno di un processo di recapito certificato più strutturato.

La domanda più corretta da porsi è quindi la seguente: “quale identità viene verificata, quale contenuto è certificato, che cosa prova davvero la ricevuta e quale parte del servizio è qualificata?”

La prima regola: il canale non determina da solo il valore della prova

Email, PEC, SMS e WhatsApp sono innanzi tutto canali di comunicazione. Il fatto che un messaggio viaggi attraverso uno di essi non stabilisce automaticamente il suo valore giuridico.

Una normale email può essere molto convincente se il destinatario risponde riconoscendone il contenuto. Una PEC può essere inutilizzabile per uno specifico adempimento se inviata all’indirizzo sbagliato. Un messaggio WhatsApp può dimostrare l’esistenza di una conversazione, ma lasciare aperti dubbi sull’identità di chi utilizzava il telefono.

Ciò che cambia realmente la forza della prova è il sistema costruito intorno al canale:

• identificazione delle parti;
• registrazione degli eventi;
• collegamento tra ricevute e documento;
• firme e sigilli;
• validazioni temporali;
• conservazione delle evidenze;
• disciplina legale applicabile.

Per questo una “raccomandata via WhatsApp” non riceve valore legale da WhatsApp: il suo eventuale valore deriva dall’infrastruttura che registra e certifica ciò che accade prima, durante e dopo l’invio.

Le sigle essenziali

PEC: Posta Elettronica Certificata

L’ormai “arcinota” PEC rappresenta il sistema italiano di posta elettronica certificata: quando un messaggio è scambiato tra caselle PEC, il sistema produce normalmente una ricevuta di accettazione, generata dal gestore del mittente; una ricevuta di avvenuta consegna, generata dal gestore del destinatario; eventuali avvisi di mancata accettazione o mancata consegna.

La PEC documenta quindi l’accettazione e la consegna del messaggio nella casella del destinatario. La consegna non dipende dalla lettura effettiva: il messaggio può considerarsi recapitato anche se il titolare non apre la casella.

La ricevuta può documentare la consegna a un indirizzo, ma non stabilisce automaticamente che il destinatario abbia letto il messaggio; la richiesta del mittente sia fondata; l’allegato sia giuridicamente valido; siano state rispettate tutte le regole dello specifico procedimento; l’indirizzo utilizzato fosse quello corretto.

REM: Registered Electronic Mail

REM significa Registered Electronic Mail e fa riferimento a un modello tecnico europeo di recapito elettronico certificato, basato su standard comuni. In Italia si parla spesso di REM-IT per indicare il percorso di evoluzione della PEC verso un sistema coerente con gli standard europei.

La REM mira a rafforzare aspetti che nella PEC tradizionale destavano qualche dubbio:

• identificazione del mittente;
• identificazione del destinatario;
• interoperabilità tra prestatori europei;
• standard comuni delle evidenze;
• sicurezza della trasmissione;
• riconoscimento transfrontaliero.

In un altro articolo abbiamo chiarito cosa cambia con REM, la PEC che diventa europea: in particolare abbiamo documentato la procedura che i fornitori di caselle PEC hanno messo in campo per convertire le caselle PEC in REM-IT previa puntuale identificazione del titolare.

AgID (Agenzia per l’Italia digitale) chiariva che la PEC soddisfa i requisiti di un servizio elettronico di recapito certificato, ma non tutti quelli del servizio qualificato europeo. Uno dei punti decisivi è proprio la verifica certa dell’identità del titolare della casella. Il percorso REM-IT colma proprio questo gap.

REM non significa automaticamente “qualificata”

Una piattaforma può adottare standard REM senza essere necessariamente un servizio qualificato.

Per sapere se il servizio è davvero qualificato occorre verificare il prestatore, il servizio specifico, la presenza nella Trusted List europea, lo stato qualificato del servizio, il manuale operativo applicabile. Le parole “REM-ready“, “PEC europea” o “conforme agli standard REM” non bastano da sole.

SERC: Servizio Elettronico di Recapito Certificato

SERC è la sigla italiana normalmente usata per indicare il servizio elettronico di recapito certificato previsto dal Regolamento eIDAS. Nella terminologia inglese viene indicato come ERDS, Electronic Registered Delivery Service.

Un SERC trasmette dati elettronici e genera evidenze relative al loro trattamento, in particolare all’invio e alla ricezione. A seconda del servizio, possono essere registrati anche eventi ulteriori come accesso, apertura, download, accettazione, rifiuto o errore.

L’articolo 43 di eIDAS stabilisce che ai dati inviati e ricevuti attraverso un servizio elettronico di recapito certificato non possono essere negati effetti giuridici o ammissibilità come prova per il solo fatto che siano elettronici o che il servizio non sia qualificato.

Ciò significa, tradotto in parole povere, che il giudice non può negare la prova soltanto perché è digitale. Certamente il giudice non deve considerare vero tutto ciò che il documento afferma. Un SERC non qualificato produce quindi evidenze ammissibili, ma il loro peso concreto dipende dall’affidabilità del sistema e dalla valutazione del giudice.

SERCQ o QERDS: il servizio di recapito qualificato

Quando il servizio soddisfa i requisiti più rigorosi previsti da eIDAS, si parla di:

• SERC qualificato;
• SERCQ;
• QERDS, Qualified Electronic Registered Delivery Service.

È questo l’equivalente europeo qualificato del recapito certificato. La differenza rispetto a un SERC ordinario è che, in questo caso, il servizio deve essere erogato da un prestatore qualificato e rispettare requisiti specifici relativi, tra l’altro, a:

• identificazione delle parti;
• sicurezza del processo;
• integrità dei dati;
• registrazione dell’invio e della ricezione;
• accuratezza delle informazioni temporali;
• riduzione del rischio di perdita, alterazione o sottrazione dei dati.

I servizi fiduciari qualificati sono sottoposti a vigilanza e sono riconosciuti nell’Unione europea. AgID include espressamente tra questi servizi anche il recapito elettronico certificato qualificato. Nel QERDS/SERCQ il destinatario deve essere identificato prima della consegna con un elevato livello di affidabilità; non basta quindi documentare che un messaggio sia arrivato a un numero o a un indirizzo non previamente ricondotto alla specifica persona.

QTSP: il prestatore qualificato

QTSP significa Qualified Trust Service Provider, cioè prestatore di servizi fiduciari qualificati: è l’organizzazione autorizzata e vigilata che può erogare uno o più servizi qualificati.

Un QTSP può offrire, per esempio, firme elettroniche qualificate; sigilli elettronici qualificati; marche temporali qualificate; servizi di recapito certificato qualificato; servizi qualificati di archiviazione elettronica previsti da eIDAS e, sul piano nazionale, servizi di conservazione dei documenti informatici conformi al CAD e alle Linee guida AgID.

Se un’azienda è un QTSP, tuttavia, non significa che ogni prodotto venduto da quell’azienda sia qualificato. Lo stesso prestatore può offrire contemporaneamente un servizio qualificato, un servizio non qualificato, un prodotto commerciale che utilizza soltanto alcune componenti qualificate.

La Trusted List serve proprio a identificare non soltanto il fornitore, ma anche i singoli servizi per i quali possiede lo status qualificato. Nella Trusted List occorre verificare non soltanto la presenza del prestatore, ma la voce riferita allo specifico tipo di servizio qualificato e il suo stato alla data dell’operazione.

Firma, sigillo e marca temporale: non fanno la stessa cosa

Firma elettronica qualificata

La firma elettronica qualificata, spesso indicata con la sigla FEQ, serve principalmente a collegare il documento al firmatario e a proteggerne l’integrità. In Italia la firma digitale è una particolare forma di firma elettronica qualificata prevista dal Codice dell’amministrazione digitale (CAD).

La firma risponde soprattutto a queste domande:

• chi ha sottoscritto il documento?
• il documento è stato modificato dopo la firma?
• il certificato era valido al momento della sottoscrizione?

Rispetto al terzo quesito, nello specifico, la firma e la sua successiva validazione consentono di verificare chi ha sottoscritto il documento, se il documento è stato modificato e se il certificato risultava valido.

Sigillo elettronico qualificato

Il sigillo elettronico qualificato è normalmente utilizzato da una persona giuridica, come un’impresa o un prestatore di servizi. Serve a garantire l’origine dei dati, l’integrità del documento o dell’attestazione.

Quando una ricevuta è sigillata dal prestatore, il sigillo aiuta a dimostrare che la ricevuta proviene da quel prestatore e che non risulta alterata dopo la sua emissione. Non dimostra necessariamente che ogni affermazione contenuta nella ricevuta sia giuridicamente incontestabile.

Se una ricevuta afferma che un messaggio è stato consegnato a un numero, il sigillo protegge l’autenticità della ricevuta. Resta eventualmente da stabilire se quel numero fosse davvero riferibile alla persona interessata.

Marca temporale qualificata

La marca temporale qualificata collega dati elettronici a una data e a un’ora: serve a dimostrare che un determinato documento o evento esisteva in quella forma in un preciso momento.

Una marca temporale può rafforzare la prova relativa a momento di formazione del documento, momento di registrazione, momento di invio e integrità dei dati marcati.

Non certifica automaticamente l’identità del destinatario, la lettura del documento, la validità della richiesta e il rispetto di una forma speciale. Una marca temporale qualificata applicata a una ricevuta non trasforma l’intero servizio di recapito in un QERDS.

Che cosa sono le “prove certificate”?

Molti servizi parlano di cinque, sette o otto prove legali. In genere non si tratta di regimi giuridici differenti, ma di più attestazioni riferite alle diverse fasi dello stesso processo.

Un sistema potrebbe generare documenti relativi ad accettazione del messaggio, identificazione del contenuto, invio della notifica, risposta del canale, consegna, apertura del messaggio, accesso al documento e chiusura del fascicolo.

Tre ricevute ben collegate a un destinatario identificato possono essere più forti di otto attestazioni che documentano soltanto eventi interni della piattaforma.

Le domande da porsi sono perciò le seguenti:

1. chi ha prodotto l’attestazione?
2. è firmata o sigillata?
3. dispone di una validazione temporale?
4. quale evento descrive esattamente?
5. il contenuto inviato è incorporato o identificato tramite impronta?
6. il destinatario è stato identificato?
7. il servizio è qualificato oppure no?
8. l’attestazione può essere verificata indipendentemente?

Identificare un recapito non significa sempre identificare una persona

La consegna a una casella PEC, a un’email o a un telefono documenta innanzitutto il raggiungimento di quel recapito. Il collegamento con una persona può derivare da elementi diversi:

• registrazione ufficiale della casella;
• elezione di domicilio digitale;
• contratto nel quale il recapito è stato indicato;
• utilizzo abituale e riconosciuto del numero;
• verifica tramite codice OTP;
• autenticazione forte;
• SPID o CIE;
• procedura di riconoscimento;
• identità verificata dal prestatore.

La verifica mediante codice OTP prova che qualcuno ha accesso al telefono o all’email: non equivale sempre a una piena identificazione personale. SPID, CIE o una procedura di riconoscimento qualificata possono offrire un collegamento più forte.

Nel caso di SERCQ o QERDS, l’identificazione è parte essenziale del servizio. Nel SERC non qualificato può essere assente, limitata o affidata a elementi meno robusti.

Un confronto sintetico

Come capire che cosa si sta acquistando

Prima di usare un servizio per una comunicazione importante, non basta chiedere: “ha valore legale?” È meglio porre domande precise.

• Il servizio di recapito è qualificato? La risposta dovrebbe indicare espressamente QERDS; SERC qualificato; servizio elettronico di recapito certificato qualificato; riferimento nella Trusted List.
• Quale componente è qualificata? Potrebbe essere qualificata soltanto: la firma; la marca temporale; il sigillo; la conservazione; l’intero servizio di recapito.
• Com’è identificato il destinatario? Occorre capire se è usato soltanto il numero di telefono; un OTP; un account verificato; SPID; CIE; video-identificazione; altro sistema di identificazione forte.
• Che cosa viene consegnato? Può essere: il documento completo; una copia; una semplice notifica; un collegamento a un’area riservata.
• Che cosa indica “consegna”? Può significare: ricezione da parte del server; arrivo al dispositivo; disponibilità del link; accesso autenticato; apertura del documento.
• Le evidenze sono verificabili? Il fascicolo dovrebbe permettere di controllare: firma o sigillo; marca temporale; impronta del documento; identità del prestatore; sequenza degli eventi; collegamento tra ricevute e contenuto.
• Il servizio specifico compare nella Trusted List? Non basta che compaia il nome dell’azienda. La Trusted List identifica i prestatori e specifica i servizi qualificati effettivamente offerti.

Quale strumento scegliere

Per una comunicazione informale email, SMS o messaggistica possono essere sufficienti, soprattutto se il destinatario risponde.

Per una comunicazione rilevante ma senza forma obbligatoria, può essere utile un sistema certificato che documenti contenuto, invio, consegna, apertura, riferibilità del recapito.

Quando esiste un domicilio digitale, la PEC o il recapito qualificato collegato a quel domicilio costituiscono normalmente la scelta più lineare.

Per comunicazioni transfrontaliere europee, un QERDS interoperabile può offrire maggiori garanzie e riconoscimento comune. Quando la legge impone una procedura specifica, bisogna usare la procedura prescritta.

Nessuna formula commerciale come “alternativa legale alla raccomandata” può sostituire automaticamente una notificazione processuale, una PEC obbligatoria, una raccomandata richiesta dalla norma, una comunicazione tramite piattaforma pubblica, un atto che richiede forme particolari.

Qual è uno strumento con pieno valore legale, che attesti identità di mittente e destinatario e certifichi anche il contenuto?

Per ottenere la configurazione probatoria più completa può essere opportuno combinare due strumenti distinti: la FEQ sul documento e il QERDS/SERCQ per il recapito.

La firma elettronica qualificata (FEQ) del mittente collega il documento al firmatario e ne protegge l’integrità, attribuendogli, alle condizioni previste dal CAD, l’efficacia probatoria della scrittura privata.

Accanto ad essa, il servizio elettronico di recapito certificato qualificato – QERDS/SERCQ – identifica il mittente, identifica il destinatario secondo il processo qualificato, certifica invio e ricezione, protegge l’integrità dei dati trasmessi, certifica data e ora, beneficia delle presunzioni previste da eIDAS.

È la configurazione probatoriamente più completa per una comunicazione elettronica ordinaria.

Essenziale verificare, come accennato in precedenza, che il fornitore appaia nella Trusted List europea come provider qualificato per lo specifico servizio di recapito elettronico utilizzato.

Un servizio REM-IT che abbia effettivamente ottenuto lo status di QERDS/SERCQ e risulti attivo nella Trusted List può soddisfare tali requisiti. Non semplicemente una PEC tradizionale, una casella “REM-ready” o un prodotto pubblicizzato come “PEC europea“.

Un QERDS può prevedere anche la consegna attraverso un portale, un’email, un SMS o un altro canale, ma per beneficiare pienamente del regime qualificato il destinatario deve essere identificato nel modo previsto dal servizio. Il semplice invio a un numero WhatsApp, senza identificazione del destinatario, non offre lo stesso livello di certezza.