PEC e firma digitale del mittente

Una delle domande che spesso mi sento rivolgere è se sia necessaria la firma digitale nella PEC. Senza indugiare nella risposta. Dipende!

La PEC è un meccanismo di recapito con ricevuta di ritorno elettronica. Sostanzialmente l'utente, dotato di indirizzo PEC, invia in modo sicuro e autenticato al suo gestore (chiamato gestore del mittente) di posta la mail da recapitare in PEC. Questi la prende in carico, apponendo la firma digitale del provider stesso con relativa marca temporale ed inviando una ricevuta di presa in consegna al mittente. Come vedete una firma digitale c'è, ma del provider che la prende in carico.

A questo punto la busta firmata viene inviata al gestore del destinatario che verifica l'autentiticità della firma digitale del gestore del mittente (e altri controlli) e invia una ricevuta di presa in carico a quest'ultimo. Poi quando consegnerà la mail nella casella del destinatario invierà una ricevuta di consegna al mittente.

Ovviamente ogni passaggio è tracciato sui log dei vari gestori, log ispezionabili a posteriori per eventuali notifiche di ricevute ulteriori.

A questo punto siamo tranquilli perché il messaggio è stato firmato digitalmente dai diversi gestori, che però stanno attestando unicamente l'autenticità del messaggio di posta (e quindi anche del contenuto) dal momento in cui è stato preso in consegna dal gestore del mittente. Autenticità rispetto al gestore e non rispetto al mittente del messaggio!

Per cui se inviassimo un documento con valore legale, dovremmo prima firmarlo con la nostra firma digitale personale (e relativo certificato con DN qualificato) garantendone l'autenticità e l'integrità, poi, con l'invio in PEC, saranno garantite anche l'autenticità e l'integrità rispetto ai sistemi di gestione PEC con le relative marche temporali.

L'invio tramite PEC infatti, è spesso un buon modo di apporre una marca temporale ad un documento o ad un insieme di documenti allegati al messaggio.

Del resto anche oggi, se volessimo garantirci che un foto non sia stata scattata posteriormente ad una certa data, dovremmo inviarcela a noi stessi con una raccomandata con ricevuta di ritorno che ne attesterebbe in modo certo, e da un terzo fidato, la data di spedizione. Ovviamente poi non dovremmo aprire tale raccomandata (vedetevi la Raccomandata Online di Poste, servizio molto interessante) nel caso di RR cartacea, mentre con la PEC saremmo garantiti anche su questo punto, potendo ispezionare quante vole vogliamo il contenuto del messaggio di PEC.

Se invece non volessimo utilizzare la firma digitale del messaggio di PEC ed utilizzare unicamente le firme digitali della PEC nel meccanismo di invio, l'autenticazione sicura al gestore del mittente configurerebbe una sola firma elettronica del messaggio e dei documenti allegati. Quindi mentre il trasporto sarebbe garantito dalle firme digitali dei gestori, mittente e destinatario, il testo del messaggio ed i documenti allegati sarebbero garantiti nella loro autenticità unicamente dalla firma elettronica espressa dalla nostra autenticazione sicura al gestore del mittente.

In conclusione: PEC sì, ma con documenti e messaggio firmati digitalmente dal mittente.