Corte di giustizia, Sentenza C-362/21

Interpretazione del regolamento eIDAS sulla firma elettronica qualificata

La pronuncia concerne un rinvio pregiudiziale dell’Administrativen sad Veliko Tarnovo (Bulgaria) in una controversia IVA tra la società «Ekofrukt» EOOD e il Direktor na Direktsia «Obzhalvane i danachno-osiguritelna praktika» – Veliko Tarnovo. Al centro del giudizio vi è la validità di un avviso di accertamento redatto in formato elettronico e firmato elettronicamente, nonché la portata del regolamento (UE) n. 910/2014 (eIDAS) in tema di firme elettroniche qualificate.

Fatti e procedimento principale

La società Ekofrukt è stata sottoposta a verifica fiscale per IVA relativa ai mesi da agosto a ottobre 2014. Dopo una prima decisione amministrativa annullata in sede di ricorso, le autorità tributarie bulgare hanno emesso un nuovo avviso di accertamento in rettifica l’8 febbraio 2018, confermato dal Direttore il 18 settembre 2018. Tutti i documenti amministrativi emessi nell’ambito della verifica erano documenti elettronici firmati elettronicamente.

Dinanzi al giudice del rinvio, Ekofrukt ha contestato la validità dei documenti, sostenendo che non vi fosse prova di una firma elettronica qualificata. Dagli estratti del registro delle firme elettroniche risultava che il prestatore di servizi fiduciari aveva qualificato le firme come «firme elettroniche professionali»; secondo gli esperti, esse non costituivano firme elettroniche qualificate ai sensi del regolamento n. 910/2014. Il giudice nazionale ha dunque chiesto chiarimenti sulla nozione di firma elettronica qualificata e sui controlli da effettuare.

Normativa rilevante

La Corte richiama in particolare:

• l’articolo 25, paragrafi 1 e 2, del regolamento n. 910/2014, sugli effetti giuridici delle firme elettroniche;
• l’articolo 26 del medesimo regolamento, sui requisiti della firma elettronica avanzata;
• l’articolo 3, punti 12 e 15, relativo alla definizione di firma elettronica qualificata e di certificato qualificato di firma elettronica;
• l’allegato I, che elenca i requisiti del certificato qualificato;
• l’allegato II, sui requisiti dei dispositivi per la creazione di una firma elettronica qualificata;
• l’articolo 2, paragrafo 3, e i considerando 21, 23, 33 e 49, che delimitano l’ambito del regolamento e preservano il ruolo del diritto nazionale;
• l’articolo 17 sul sistema di vigilanza dei prestatori di servizi fiduciari.

Questioni pregiudiziali sottoposte alla Corte

Il giudice del rinvio ha chiesto, in sintesi:

• se l’articolo 25, paragrafo 1, impedisca di dichiarare nullo un atto amministrativo elettronico firmato con firma non qualificata;
• se, per stabilire la qualifica della firma, sia sufficiente la presenza della dicitura nel certificato rilasciato dal prestatore o se occorra verificare i requisiti sostanziali del regolamento;
• se l’assenza di un certificato qualificato basti a escludere la firma qualificata anche quando il prestatore la definisce «professionale»;
• se la traslitterazione del nome del firmatario dall’alfabeto cirillico al latino faccia venir meno la qualifica della firma.

Ricevibilità

La Corte respinge le obiezioni di irricevibilità sollevate dalla Commissione e dal Direttore. Ricorda che spetta al giudice nazionale valutare rilevanza e necessità delle questioni, e rileva che non è manifestamente escluso il nesso tra i quesiti e la controversia principale. Il fatto che il giudice non abbia ancora tratto conclusioni definitive sulla qualifica delle firme impedisce di considerare le questioni ipotetiche.

Ragionamento della Corte sulla prima questione

La Corte afferma che l’articolo 25, paragrafo 1, del regolamento n. 910/2014 stabilisce un principio di non discriminazione della firma elettronica: essa non può essere privata di effetti giuridici o valore probatorio solo perché è elettronica o non è qualificata. Tuttavia, questa disposizione non vieta agli Stati membri di fissare requisiti formali per gli atti amministrativi, né impedisce ai giudici nazionali di dichiarare nullo un atto firmato con una firma che non soddisfa i requisiti per essere qualificata.

La Corte sottolinea che il regolamento non impone quale tipo di firma debba essere usato per un determinato atto amministrativo; tale scelta resta al diritto nazionale, entro il limite per cui una firma qualificata deve avere effetti equivalenti a quelli della firma autografa. Ne deriva che un atto amministrativo elettronico può essere dichiarato nullo se la firma non è qualificata, purché la nullità non dipenda dal solo fatto che la firma è in formato elettronico.

Ragionamento sulla terza questione

La Corte ricorda che la firma elettronica qualificata richiede tre condizioni cumulative:

• una firma elettronica avanzata ai sensi dell’articolo 26;
• la creazione mediante un dispositivo per la creazione di una firma elettronica qualificata, conforme all’allegato II;
• un certificato qualificato di firma elettronica ai sensi dell’articolo 3, punto 15, rilasciato da un prestatore di servizi fiduciari qualificato e conforme all’allegato I.

Di conseguenza, l’assenza di un certificato qualificato è già sufficiente per escludere la qualifica di firma elettronica qualificata. La qualificazione utilizzata dal prestatore come «firma elettronica professionale» è irrilevante, perché tale categoria non incide sulla verifica dei requisiti previsti dal regolamento e non sostituisce i criteri legali della firma qualificata.

Ragionamento sulla seconda questione

La Corte precisa che il solo fatto che la firma sia menzionata nel certificato rilasciato dal prestatore di servizi fiduciari non basta a renderla qualificata. Se la qualifica è contestata in giudizio, il giudice nazionale deve verificare autonomamente il soddisfacimento di tutti i requisiti cumulativi dell’articolo 3, punto 12, inclusi quelli dell’articolo 26 e dell’allegato I.

La Corte respinge l’argomento secondo cui il sistema di vigilanza e certificazione renderebbe superfluo il controllo giudiziale. Il considerando 23 si limita a prevedere che il destinatario di un obbligo di riconoscere un servizio fiduciario possa rifiutarlo solo per ragioni tecniche che ne impediscano lettura o verifica, ma non elimina il controllo del giudice sulla sussistenza dei requisiti di legge.

Ragionamento sulla quarta questione

Quanto alla traslitterazione dei nomi del firmatario dall’alfabeto cirillico al latino, la Corte osserva che l’allegato I richiede che il certificato contenga almeno il nome del firmatario o uno pseudonimo, con chiara indicazione dell’uso di quest’ultimo. Inoltre, per essere una firma elettronica avanzata, la firma deve essere connessa unicamente al firmatario e idonea a identificarlo.

La Corte conclude che la traslitterazione non impedisce, di per sé, la qualifica della firma come qualificata, purché la firma sia univocamente collegata al firmatario e consenta la sua identificazione. Spetta al giudice nazionale verificare concretamente tali condizioni.

Dispositivo

La Corte dichiara, in sostanza, che:

• l’articolo 25, paragrafo 1, non osta alla nullità di un atto amministrativo elettronico firmato con una firma non qualificata, se la nullità non è fondata sul solo fatto che la firma è elettronica;
• l’assenza di un certificato qualificato basta a escludere la qualifica di firma elettronica qualificata, e la dicitura «firma elettronica professionale» è irrilevante;
• la sola presenza della firma nel certificato non basta, dovendo il giudice verificare tutti i requisiti cumulativi dell’articolo 3, punto 12, nonché quelli dell’articolo 26 e dell’allegato I;
• la traslitterazione del nome del firmatario non esclude la qualifica, se la firma è connessa unicamente al firmatario e lo identifica.

Principi pratici per gli operatori

Per gli operatori italiani, la decisione conferma che il regolamento eIDAS non “salva” automaticamente tutti gli atti elettronici: la validità dell’atto dipende anche dai requisiti formali richiesti dal diritto nazionale. In caso di contestazione, il giudice deve verificare in concreto la presenza dei requisiti di firma qualificata, senza fermarsi alla sola etichetta attribuita dal prestatore di servizi fiduciari o a elementi meramente formali del certificato.