Firma digitale e firma elettronica: qual è la differenza?

"Firma digitale" e "firma elettronica" vengono usate come sinonimi, ma non lo sono. La firma elettronica è una categoria ampia. La firma digitale è il gradino più alto di quella categoria, con regole precise su chi rilascia il certificato e su dove è custodita la chiave. Capire la differenza serve a una cosa molto pratica: sapere se il PDF che stai per firmare avrà il valore che ti serve.

I quattro livelli in una tabella

Il Regolamento (UE) n. 910/2014, detto eIDAS, definisce tre livelli di firma elettronica all'articolo 3. Il Codice dell'amministrazione digitale (CAD, D.Lgs. 82/2005) aggiunge la firma digitale, che all'articolo 1, comma 1, lettera s) descrive come un particolare tipo di firma qualificata basata su un sistema di chiavi crittografiche, una pubblica e una privata.

In pratica, ogni firma digitale è una firma elettronica, ma non ogni firma elettronica è una firma digitale.

Cosa dice il CAD

L'articolo 20, comma 1-bis, del CAD è il punto chiave. Un documento informatico soddisfa il requisito della forma scritta e ha l'efficacia prevista dall'articolo 2702 del Codice civile quando porta una firma digitale, un altro tipo di firma elettronica qualificata o una firma elettronica avanzata, oppure quando è formato dopo l'identificazione informatica dell'autore con un processo conforme ai requisiti fissati da AgID.

In tutti gli altri casi, cioè con una firma elettronica semplice, l'idoneità del documento a valere come forma scritta e il suo valore come prova sono liberamente valutabili in giudizio, tenendo conto di sicurezza, integrità e immodificabilità. Non vuol dire che la firma semplice non valga nulla. Vuol dire che, se nasce una contestazione, sarà il giudice a decidere quanto pesa.

L'articolo 21, comma 2-bis, fissa invece dei casi in cui non c'è margine. Le scritture private indicate nell'articolo 1350, primo comma, numeri da 1 a 12, del Codice civile, come i contratti che trasferiscono la proprietà di un immobile, se redatte come documento informatico vanno firmate con firma elettronica qualificata o firma digitale, pena la nullità. Per gli altri atti per cui la legge chiede la forma scritta (numero 13 dello stesso articolo) basta anche la firma avanzata.

Cosa aggiunge il regolamento eIDAS

L'articolo 25 dell'eIDAS dice due cose. La prima: a una firma elettronica non si possono negare effetti giuridici o ammissibilità come prova solo perché è elettronica o perché non è qualificata. La seconda: la firma elettronica qualificata ha lo stesso effetto giuridico di una firma autografa, in tutti i Paesi dell'Unione.

L'articolo 26 elenca i requisiti della firma avanzata: è collegata in modo univoco a chi firma, permette di identificarlo, è creata con mezzi che il firmatario controlla in modo esclusivo e rende riconoscibile ogni modifica successiva dei dati.

Dove si trova una firma digitale

Una firma digitale si ottiene da un prestatore di servizi fiduciari qualificato, dopo un riconoscimento di persona o a distanza. Arriva in una di queste forme:

• smart card da inserire in un lettore collegato al computer;
• token USB, una chiavetta che contiene il certificato e la chiave;
• firma remota, in cui la chiave resta sul server del prestatore e confermi ogni firma con un codice OTP.

In tutti e tre i casi la chiave privata non si può copiare. È questo che rende la firma digitale affidabile.

PAdES o CAdES (il file .p7m)

Un PDF si può firmare digitalmente in due modi. Con PAdES la firma sta dentro il PDF: il file resta un .pdf e si apre con qualsiasi lettore. Con CAdES il documento viene chiuso in una busta e diventa un file .p7m, che serve un programma apposito per aprire. Entrambi i formati sono usati in Italia. Se un ufficio ne chiede uno in particolare, segui la sua indicazione.

Cosa fa KovaPDF, e cosa no

• Firma PDF mette sulla pagina la tua firma disegnata, digitata o caricata da una foto. È una firma elettronica semplice: va bene per moduli, autorizzazioni e accordi di tutti i giorni, ma non dimostra che il documento non sia stato modificato dopo.
• Firma digitale firma il PDF in formato PAdES con un certificato che porti tu: un file .pfx o .p12 con la sua password, oppure un token USB o una smart card tramite KovaPDF Signer, una piccola app per Windows. La chiave del token non lascia il dispositivo e il PIN lo chiede il token stesso. Se il certificato sul tuo token è un certificato qualificato di firma digitale e Windows lo vede grazie al driver del fornitore, KovaPDF Signer usa quel certificato; i token e le smart card sono tanti e non li abbiamo provati tutti, quindi fai prima una prova con un documento di esempio.
• Se non hai un certificato, puoi creare un'identità digitale autofirmata. Dimostra che il file non è cambiato dopo la firma, ma nessun ente garantisce chi sei: non è una firma digitale ai sensi del CAD.
• KovaPDF non firma con SPID, CIE o firma remota con OTP, e non crea file .p7m.
• Verifica firma PDF legge le firme di un PDF e indica il livello eIDAS (qualificata, avanzata o non qualificata) controllando l'elenco di fiducia dell'Unione europea.

Quale scegliere, in pratica

• Modulo della scuola, delega, ricevuta, accordo tra persone che si conoscono: firma elettronica semplice.
• Contratto che potrebbe essere contestato: almeno una firma avanzata, meglio la digitale.
• Atti per cui la legge chiede la firma qualificata, depositi telematici, documenti per cui un ente chiede espressamente la firma digitale: firma digitale con il tuo certificato qualificato.

Questo articolo è un'informazione generale, non una consulenza legale. Per un caso concreto chiedi a un professionista.